Estudio del cibercrimen 2015 [Ponemon]

Según el informe "2015 Cost of Cyber Crime Study" realizado por Ponemon Institute y patrocinado por la empresa Hewlett Packard evalúa el costo de la ciberdelincuencia en organizaciones de Australia, Brasil, Alemania, Japón, Rusia, Reino Unido y Estados Unidos.

En el informe, Larry Ponemon señala que "su empresa va a sufrir un ataque cibernético, pero su preparación y planificación puede disminuir el daño".

¿Cuál fue la mayor sorpresa del año en el informe?

Larry Ponemon: En los Estados Unidos, el costo de la ciberdelincuencia es mucho mayor que en cualquier otro país y creció más del 20 por ciento respecto al año pasado. El promedio de pérdidas es de alrededor de U$S15,5 millones para cada una de las empresas participantes de Estados Unidos y U$S 7,4 millones por empresa en Alemania.

Una de las razones es que la mayoría de los ataques en EE.UU. son realmente graves y tienen más valor económico.

¿Qué pueden hacer las organizaciones para reducir su costo?

LP: Hay algunas tecnologías que realmente parecen hacer alguna diferencia. Los sistemas de gestión de eventos y herramientas de inteligencia de red ayudan a detectar anomalías e infiltraciones en el sistema. Los controles de perímetro avanzados como los cortafuegos ahora incorporan información sobre amenazas y tipos de ataques y cuanto más se utilicen soluciones criptográficas, más se dificulta robar los datos.

¿Hay algún eslabón en que las empresas deberían centrarse?

LP: En todas partes el eslabón es definitivamente lo que yo llamo "la buena persona que hace algo estúpido". Por ejemplo, las personas se apresuran a completar sus credenciales de acceso para iniciar una aplicación y generalmente cometen algún error crítico porque la seguridad no es su prioridad.

¿Qué pueden hacer las empresas para entregar código seguro y seguir cumpliendo con los plazos de negocios?

LP: Las organizaciones deben tomar la seguridad del código seriamente y realizar controles de calidad independientes del desarrollador. Pero, la mayoría de las empresas no prestan atención a este problema y no realizan pruebas de seguridad hasta que el producto está en producción. Este es un tema cultural, y empieza desde la alta gerencia: se debe estar dispuesto a esperar unas semanas para asegurarse de que el producto es seguro.

¿Cuáles son algunos delitos emergentes?

LP: El phishing sigue en aumento en todos los países que estudiamos. Solía ser fácil de identificar un correo falso pero ahora los malos son más inteligentes. Por ejemplo, pueden enviar un correo electrónico supuestamente de su hospital y con el nombre de su médico. Incluso pueden mencionar un procedimiento quirúrgico reciente y solicitar cierta información bajo el pretexto de asegurarse de que las recetas pueden ser completadas. Una vez que un criminal tiene sus credenciales, puede ingresar dentro de su organización y comenzar a robar grandes cantidades de información sensible.

Otra cuestión es que el malware es tan avanzado que a menudo evita la detección y puede estar latente durante largos períodos de tiempo antes de iniciar el ataque.

la extorsión también crece. Por ejemplo estas fueron las consecuencias del hack de Ashley Madison, donde sus usuarios estaban recibiendo correos electrónicos con amenazas y extorsiones.

¿Qué consejo darías a una empresa?

LP: Asegurar la infraestructura y asegurar que todos en la organización — no sólo los expertos — entiende los conceptos básicos de seguridad. Asegurar que la política de seguridad está estratégicamente alineada con los objetivos empresariales. Esto eleva la conversación: Si quiere ser visto como un líder en su organización, que desea participar en el establecimiento de la estrategia.

Y por último, pensar más en la contención, que en la prevención. Si trata de tener una prevención perfecta, tendrá que pagar casi una cantidad infinita de dinero, y nunca lo conseguirá.

El informe de Ponemon se puede obtener desde aquí.

Fuente: HP