Lo que Moody's y Standard & Poor's son para las calificaciones crediticias de las empresas, empresas como FICO y Bitsight se están convirtiendo en las calificaciones de riesgo cibernético para las empresas. Las empresas han confiado en las calificaciones crediticias para determinar los niveles de riesgo de las inversiones y ahora las empresas confían en las calificadoras para tener un punto de referencia estándar del riesgo cibernético. Esta industria en crecimiento de las calificadoras incluye una serie de proveedores y sus clientes utilizan sus servicios de diversas maneras.

Usos de las puntuaciones de ciberseguridad

Las compañías de seguros suelen utilizar las puntuaciones de ciberseguridad para ayudar a asignar el nivel de riesgo para el seguro cibernético. Posible impacto: El coste del seguro cibernético será probablemente más alto para las pequeñas empresas con lagunas en su ciberseguridad que para las empresas que cuentan con medidas sólidas.

Las empresas utilizan las puntuaciones para calificar a sus terceros proveedores durante el proceso de selección. Impacto potencial: Los proveedores pueden perder las ofertas no por el coste o los compromisos de servicio, sino por la escasa ciberseguridad.

Las empresas utilizan las puntuaciones para supervisar el nivel de riesgo de seguridad de sus proveedores externos y el impacto potencial para ellos. Impacto potencial: Las grandes empresas pueden exigir a sus proveedores medidas de ciberseguridad más estrictas y rescindir los acuerdos con los proveedores de baja puntuación.

Las empresas utilizan las puntuaciones para controlar el nivel de ciberseguridad de sus competidores. Impacto potencial: Las empresas pueden encontrar formas de aprovechar una ventaja competitiva de su fuerte ciberseguridad frente a las medidas más débiles de sus competidores.

Las empresas utilizan su propia puntuación para comunicar su nivel de riesgo al consejo de administración. Impacto potencial: Esto puede proporcionar apoyo a la gestión de la ciberseguridad para obtener el apoyo que necesitan debido a una mayor conciencia de la junta.

Los datos

Los datos que componen la puntuación de ciberseguridad se recogen de diversas fuentes de información de acceso público, entre ellas

• Foros de hackers y datos disponibles en la Dark Web
• Uso de la autenticación multifactorial por parte de una empresa
• Vulnerabilidades conocidas de la red de una empresa
• Puertos abiertos a la red de una empresa
• Prácticas de parcheo

Las calificadoras de riesgo también analizan los datos que pueden entrar o salir de una red para determinar el volumen de malware, spam o virus que pueden estar asociados a la red de una empresa. Las calificadoras combinan los datos recogidos y analizados con sus modelos predictivos patentados. En algunos servicios, los datos se supervisan continuamente y una calificación puede cambiar rápidamente para reflejar cualquier fluctuación. Por ejemplo, si los datos robados aparecen repentinamente a la venta en la Dark Web, la calificación de la empresa afectada puede disminuir rápidamente.

Lo que puede hacer usted

Si su empresa utiliza proveedores externos, usted debería pensar en investigar los servicios de las empresas de scoring. Si usted es un proveedor de una gran empresa, usted debería considerar la posibilidad de hablar con su cliente sobre cómo están utilizando las puntuaciones de ciberseguridad para sus proveedores, como usted. La ciberseguridad ya no es un asunto privado dentro de su propia empresa. Los futuros acuerdos comerciales y contratos pueden ganarse o perderse por la eficacia de la ciberseguridad, no sólo por el precio o los niveles de servicio.

La organización de intercambio de información sobre ciberamenazas de la industria del automóvil, Auto-ISAC, ha anunciado recientemente sus mejores prácticas para las medidas de ciberseguridad en los automóviles. Las mejores prácticas están destinadas a todos los fabricantes y proveedores de la industria del automóvil, independientemente de su tamaño. La organización afirma que ha incorporado flexibilidad para su aplicación por parte de diversas empresas.

Auto-ISAC es miembro del Consejo Nacional de Centros de Análisis e Intercambio de Información (ISAC). Los ISAC se crearon para varios sectores de infraestructuras críticas tras una directiva presidencial de 1998. La directiva pedía a los principales sectores de infraestructuras críticas que establecieran organizaciones que compartieran información sobre amenazas y vulnerabilidades dentro de su industria específica. Auto-ISAC es propiedad de los fabricantes y proveedores de automóviles y está gestionado por ellos.

Las mejores prácticas del Auto-ISAC se clasifican por funciones:

• Gobernanza
• Evaluación y gestión de riesgos
• Seguridad por diseño
• Detección y protección de amenazas
• Respuesta a incidentes
• Sensibilización y formación
• Colaboración y compromiso con terceros adecuados

Una lección aprendida de la categoría de evaluación y gestión de riesgos es el reconocimiento de que la ciberseguridad debe formar parte de la cadena de suministro. Las mejores prácticas recomiendan incluir la cadena de suministro en las evaluaciones de riesgos, así como desarrollar un proceso para confirmar el cumplimiento por parte de los proveedores críticos para verificar los requisitos de seguridad, las directrices y la formación. Un fabricante no puede garantizar la seguridad final sin incluir a todos los proveedores clave.

Otra lección que se puede aprender de la industria del automóvil es su reconocimiento de que la ciberseguridad en la industria es una cuestión de seguridad, no una ventaja competitiva. Las mejores prácticas llaman específicamente a la necesidad de compartir información con terceras partes como Auto-ISAC, compañeros, investigadores y agencias gubernamentales. La colaboración es importante entre las partes interesadas para defenderse de los ciberataques.

Billington Cybersecurity, una empresa de medios de comunicación que produce diversos eventos sobre ciberseguridad, organizó la semana pasada una conferencia para la industria del automóvil. The Cyber Wire cubrió la conferencia en detalle y señaló que los grandes fabricantes se están tomando en serio la colaboración y el intercambio.

A la conferencia asistieron el Departamento de Transporte, fabricantes de automóviles y proveedores. Los participantes parecen estar muy interesados en cómo otras industrias críticas, como la aeroespacial y la de defensa, están gestionando la ciberseguridad. Otra lección aprendida para las pequeñas empresas es que , cada vez más, las industrias se dan cuenta de que los ciberataques deben ser discutidos entre los actores de la industria y compartir las mejores prácticas.

Las pequeñas empresas tienen la oportunidad, en muchos de sus sectores, de participar en las conversaciones sobre ciberseguridad y en las iniciativas de ciberseguridad del sector. Las pequeñas empresas tienen tanto que perder en los ciberataques como las grandes empresas. Las voces de las pequeñas empresas deben expresarse para garantizar que sus necesidades estén representadas.

En congruencia con la iniciativa nacional del Departamento de Seguridad Nacional de promover un esfuerzo unificado de ciberseguridad, el Instituto Nacional de Ciberseguridad está presentando podcasts diarios que discuten temas de seguridad de la información. Para la segunda semana del Mes de Concienciación sobre la Ciberseguridad Nacional, el NCI quiere centrarse en el podcast titulado "Cifrado". Este tema es uno de los más importantes a la hora de combatir las ciberamenazas y estar preparados contra los ciberataques modernos.

¿Qué es la codificación?

Para simplificar las cosas, James Antonakos, del Instituto Nacional de Ciberseguridad, explica el cifrado como el proceso de tomar datos legibles y hacerlos ilegibles para los humanos. La encriptación es posible gracias al uso de algoritmos para crear códigos complejos a partir de datos simples, dificultando así el acceso de los ciberladrones a la información. Según la Universidad Tecnológica de Florida, el cifrado es la forma de seguridad de datos más utilizada porque su texto cifrado y su codificación hacen que sea más difícil de descifrar que la información básica protegida por contraseña. Sin embargo, para entender realmente la encriptación, hay que examinar más de cerca los distintos tipos.

Simétrico vs. Asimétrico

Simétrico

Este tipo de encriptación también suele llamarse "encriptación de clave secreta". Los ordenadores utilizan el mismo algoritmo, o secuencia de claves, para descifrar el cifrado que para cifrar inicialmente la información. Esto supone una ventaja en términos de gestión de claves, ya que sólo hay que memorizar un código. Sin embargo, como sólo hay una línea de defensa, las empresas deben tener cuidado al elegir quién tiene acceso a la clave.

Asimétrico

A veces llamado "cifrado de clave pública", este método significa que la ciberdefensa se ha construido con más de una clave. Normalmente, se trata de una clave para cifrar la información y otra distinta para descifrar los datos. Aunque los gestores que utilizan el cifrado asimétrico no tienen que dedicar tanto tiempo a preocuparse por la distribución de las claves o por el número de personas que tienen acceso a ellas, deben prestar mucha atención a la gestión de las mismas. Tener múltiples claves puede crear confusión, por lo que es importante mantener las claves organizadas.

¿Por qué es importante?

Aunque a los responsables de la ciberseguridad no les guste el cifrado porque requiere un mantenimiento constante, a menudo es su última línea de defensa contra los ciberataques, según Tech Republic. Aunque los piratas informáticos traspasen los cortafuegos, las contraseñas y el software antiespía, el cifrado sigue estando presente para evitar que vean los datos protegidos. Como los algoritmos de encriptación suelen ser difíciles de romper, este método de ciberseguridad suele ser el más eficaz.

Para obtener más información sobre la encriptación y otros temas relacionados con la ciberseguridad, visite hoy mismo el sitio web del Instituto Nacional de Ciberseguridad.usted también puede informarse sobre los programas de grado como la Licenciatura en Ciencias en Ciberseguridad y el Máster en Ciencias en Ciberseguridad en línea de Excelsior College.