Lo que Moody’s y Standard & Poor’s son para las calificaciones crediticias de las empresas, empresas como FICO y Bitsight lo están llegando a ser para las calificaciones de riesgo cibernético de las empresas. Las empresas han recurrido a las calificaciones crediticias para determinar los niveles de riesgo de inversión y ahora confían en las agencias de calificación para disponer de un punto de referencia estándar del riesgo cibernético. Este sector en expansión de las agencias de calificación cuenta con varios proveedores, y sus clientes utilizan sus servicios de diversas maneras.

Usos de las puntuaciones de ciberseguridad

Las compañías de seguros suelen utilizar puntuaciones de ciberseguridad para determinar el nivel de riesgo a efectos de los seguros cibernéticos. Posible repercusión: es probable que el coste de los seguros cibernéticos sea más elevado para las pequeñas empresas que presenten deficiencias en su ciberseguridad que para aquellas que cuenten con medidas sólidas.

Las empresas utilizan puntuaciones para evaluar a sus proveedores externos durante el proceso de selección. Posible repercusión: los proveedores podrían perder licitaciones no por motivos de coste o de compromisos de servicio, sino por una ciberseguridad deficiente.

Las empresas utilizan puntuaciones para supervisar el nivel de riesgo de seguridad de sus proveedores externos y el posible impacto que esto podría tener en ellas. Posible impacto: las grandes empresas pueden exigir a sus proveedores medidas de ciberseguridad más estrictas y rescindir los contratos con aquellos que obtengan puntuaciones bajas.

Las empresas utilizan puntuaciones para supervisar el nivel de ciberseguridad de sus competidores. Posible repercusión: las empresas podrían encontrar formas de sacar partido de la ventaja competitiva que les proporciona su sólida ciberseguridad frente a las medidas más deficientes de sus competidores.

Las empresas utilizan su propia puntuación para comunicar su nivel de riesgo al consejo de administración. Posible repercusión: esto podría ayudar a que la dirección de ciberseguridad obtenga el apoyo que necesita, gracias a una mayor sensibilización del consejo.

Los datos

Los datos que conforman la puntuación de ciberseguridad se recopilan de diversas fuentes de información de acceso público, entre las que se incluyen:

• Foros de hackers y datos disponibles en la Dark Web
• El uso de la autenticación multifactorial por parte de una empresa
• Vulnerabilidades conocidas en la red de una empresa
• Puertos abiertos en la red de una empresa
• Prácticas de aplicación de parches

Los evaluadores de riesgo también analizan los datos que pueden entrar o salir de una red para determinar el volumen de malware, spam o virus que pueda estar asociado a la red de una empresa. Los evaluadores combinan los datos recopilados y analizados con sus modelos predictivos propios. En algunos servicios, los datos se supervisan de forma continua y la calificación puede cambiar rápidamente para reflejar cualquier fluctuación. Por ejemplo, si de repente aparecen datos robados a la venta en la Dark Web, la calificación de la empresa afectada puede reducirse rápidamente.

Lo que usted hacer

Si su empresa recurre a proveedores externos, usted plantearse informarse sobre los servicios que ofrecen las empresas de evaluación de ciberseguridad. Si usted proveedor de una gran empresa, usted considerar la posibilidad de hablar con su cliente sobre cómo utilizan las puntuaciones de ciberseguridad para evaluar a sus proveedores, como usted. La ciberseguridad ya no es un asunto interno de su propia empresa. En el futuro, la obtención o pérdida de acuerdos comerciales y contratos podría depender de la eficacia en materia de ciberseguridad, y no solo del precio o los niveles de servicio.

Auto-ISAC, la organización dedicada al intercambio de información sobre amenazas cibernéticas en el sector de la automoción, ha anunciado recientemente sus buenas prácticas en materia de medidas de ciberseguridad para los vehículos. Dichas buenas prácticas están dirigidas a todos los fabricantes y proveedores del sector de la automoción, independientemente de su tamaño. La organización afirma que ha incorporado flexibilidad para que puedan ser aplicadas por una amplia variedad de empresas.

Auto-ISAC es miembro del Consejo Nacional de Centros de Intercambio y Análisis de Información (ISAC). Los ISAC se crearon para diversos sectores de infraestructuras críticas a raíz de una directiva presidencial de 1998. Dicha directiva instaba a los sectores clave de infraestructuras críticas a establecer organizaciones que compartieran información sobre amenazas y vulnerabilidades dentro de su sector específico. Auto-ISAC es propiedad de fabricantes y proveedores del sector de la automoción, quienes también se encargan de su gestión.

Las buenas prácticas del Auto-ISAC se clasifican por funciones:

• Gobernanza
• Evaluación y gestión de riesgos
• Seguridad desde el diseño
• Detección de amenazas y protección
• Respuesta ante incidentes
• Sensibilización y formación
• Colaboración y compromiso con terceros pertinentes

Una de las lecciones extraídas de la categoría de evaluación y gestión de riesgos es el reconocimiento de que la ciberseguridad debe formar parte de la cadena de suministro. Las mejores prácticas recomiendan incluir la cadena de suministro en las evaluaciones de riesgos, así como desarrollar un proceso para confirmar el cumplimiento por parte de los proveedores críticos, con el fin de verificar los requisitos de seguridad, las directrices y la formación. Un fabricante no puede garantizar la seguridad final sin incluir a todos los proveedores clave.

Otra lección que se puede extraer de la industria del automóvil es su reconocimiento de que la ciberseguridad en este sector tiene que ver con la seguridad, y no con una ventaja competitiva. Las mejores prácticas destacan específicamente la necesidad de compartir información con terceros, como Auto-ISAC, otras empresas del sector, investigadores y organismos gubernamentales. La colaboración entre las partes interesadas es fundamental para defenderse de los ciberataques.

Billington Cybersecurity, una empresa de comunicación que organiza diversos eventos sobre ciberseguridad, celebró la semana pasada una conferencia dirigida al sector de la automoción. The Cyber Wire cubrió la conferencia en profundidad y señaló que los grandes fabricantes se están tomando muy en serio la colaboración y el intercambio de información.

A la conferencia asistieron representantes del Ministerio de Transporte, fabricantes de automóviles y proveedores. Los participantes parecían mostrar un gran interés por conocer cómo abordan la ciberseguridad otros sectores críticos, como el aeroespacial y el de la defensa. Otra lección que pueden extraer las pequeñas empresas es que , cada vez más, los sectores se dan cuenta de que es necesario debatir sobre los ciberataques entre los distintos actores del sector y compartir las mejores prácticas.

Las pequeñas empresas tienen la oportunidad, en muchos de sus sectores, de participar en los debates sobre ciberseguridad y en las iniciativas del sector en este ámbito. Las pequeñas empresas tienen tanto que perder ante los ciberataques como las grandes empresas. Es necesario que se escuche la voz de las pequeñas empresas para garantizar que sus necesidades queden representadas.

En consonancia con la iniciativa nacional del Departamento de Seguridad Nacional para promover un esfuerzo unificado en materia de ciberseguridad, el Instituto Nacional de Ciberseguridad (NCI) ofrece podcasts diarios en los que se abordan temas relacionados con la seguridad de la información. Con motivo de la segunda semana del Mes Nacional de Concienciación sobre la Ciberseguridad, el NCI desea centrarse en el podcast titulado «Cifrado». Este tema es uno de los más importantes a la hora de combatir las ciberamenazas y estar preparados frente a los ciberataques actuales.

¿Qué es el cifrado?

Para simplificar, James Antonakos, del Instituto Nacional de Ciberseguridad, explica que el cifrado es el proceso de convertir datos legibles en datos ilegibles para los seres humanos. El cifrado es posible gracias al uso de algoritmos que crean códigos complejos a partir de datos sencillos, lo que dificulta de forma efectiva que los ciberdelincuentes puedan acceder a la información. Según la Universidad Tecnológica de Florida, el cifrado es la forma más utilizada de seguridad de datos, ya que su texto cifrado y su codificación hacen que sea más difícil de descifrar que la información básica protegida con contraseña. Sin embargo, para comprender realmente el cifrado, es necesario analizar más detenidamente los distintos tipos existentes.

Simétrico frente a asimétrico

Simétrico

Este tipo de cifrado también se denomina con frecuencia «cifrado de clave secreta». Los ordenadores utilizan el mismo algoritmo, o secuencia de claves, para descifrar la información que el que habrían empleado inicialmente para cifrarla. Esto supone una ventaja en lo que respecta a la gestión de claves, ya que solo hay que memorizar un código. Sin embargo, dado que solo existe una línea de defensa, las empresas deben actuar con cautela a la hora de decidir a quién conceden acceso a la clave.

Asimétrico

Este método, que en ocasiones se denomina «cifrado de clave pública», implica que la ciberdefensa se ha diseñado utilizando más de una clave. Por lo general, se utiliza una clave para cifrar la información y otra distinta para descifrar los datos. Aunque los responsables que utilizan el cifrado asimétrico no tienen que dedicar tanto tiempo a preocuparse por la distribución de las claves ni por el número de personas que tienen acceso a ellas, deben prestar especial atención a la gestión de las mismas. Disponer de varias claves puede generar confusión, por lo que es importante mantener los códigos bien organizados.

¿Por qué es importante?

Aunque a los responsables de ciberseguridad puede que no les guste el cifrado porque requiere un mantenimiento constante, suele ser su última línea de defensa frente a los ciberataques, según Tech Republic. Incluso si los piratas informáticos logran burlar los cortafuegos, las contraseñas y el software antispyware, el cifrado sigue ahí para impedir que accedan a los datos protegidos. Dado que los algoritmos de cifrado suelen ser difíciles de descifrar, este método de ciberseguridad suele ser el más eficaz.

Para obtener más información sobre el cifrado y otros temas relacionados con la ciberseguridad, visite hoy mismo la página web del Instituto Nacional de Ciberseguridad . Enusted también podrá informarse sobre programas de estudios como la Licenciatura en Ciencias en Ciberseguridad en línea y el Máster en Ciencias en Ciberseguridad en línea de Excelsior College .

Miren… al cielo… es un pájaro… es un avión… ¡es… la conectividad!

Si usted como la mayoría de la gente usted tenido la experiencia de perder la conexión a Internet al viajar a zonas donde hay una «zona sin cobertura». Sin duda, es frustrante. Imagínese lo frustrante que sería usted en zonas enteras del mundo que carecieran de cobertura.

Facebook y Google acuden al rescate en un esfuerzo por eliminar las zonas sin conexión. Facebook acaba de completar las pruebas iniciales de su gigantesco satélite (del tamaño de un 747) alimentado con energía solar que, si todo sale bien, proporcionará servicio de Internet a todo el planeta. En un artículo para CNN Money, Heather Kelly escribe: «Los drones funcionarán con energía solar y utilizarán láseres para proporcionar conexión a Internet a receptores en tierra, con un alcance de hasta 48 kilómetros en cualquier dirección. Las conexiones serán rápidas, con velocidades de hasta decenas de miles de gigabytes por segundo». Facebook prevé una enorme flota de estos drones volando a altitudes extremadamente elevadas y proporcionando conexión a todo el mundo... ¡y de forma gratuita!

Google también ha presentado ideas similares con una flota de globos de gran altitud que persiguen la misma misión. Según google.com… «Muchos de nosotros consideramos que Internet es una comunidad global. Sin embargo, dos tercios de la población mundial aún no tienen acceso a Internet. El Proyecto Loon es una red de globos que viajan en los límites del espacio, diseñada para conectar a las personas que viven en zonas rurales y remotas, ayudar a cubrir las zonas sin cobertura y restablecer la conexión a Internet tras una catástrofe».

La idea de disponer de Internet gratuito sin zonas sin cobertura en todo el planeta es algo de lo que todos podemos disfrutar, tanto aquí en Estados Unidos como en las numerosas regiones menos desarrolladas del mundo.

Fuentes

Kelly, H. (2016) El gigantesco dron de Internet de Facebook supera con éxito su vuelo de prueba. Consultado en Internet en http://money.cnn.com/2016/07/21/technology/facebook-aquila-drone-successful-flight/index.html?iid=ob_homepage_tech_pool

http://www.google.com/loon/