La frecuencia cada vez mayor de los ataques cibernéticos exacerba la amenaza a la privacidad de los datos que representan tanto para las agencias gubernamentales como para las empresas. Los grupos de privacidad han advertido que los gobiernos nacionales y extranjeros deben intensificar sus esfuerzos para aprobar leyes este año para fortalecer las defensas tecnológicas.
Las leyes de privacidad más estrictas se están revisando y firmando gradualmente en el mercado estadounidense. Pero el proceso ocurre principalmente a nivel estatal.
Al mismo tiempo, los ataques cibernéticos han provocado una guerra en dos frentes para los expertos en TI y los legisladores. La industria del software se enfrenta a problemas de seguridad que hacen factibles los ataques cibernéticos. Los funcionarios gubernamentales y los ejecutivos de empresas luchan con problemas legales complejos relacionados con protecciones de privacidad obsoletas o faltantes.
Las intrusiones más grandes y exitosas en computadoras gubernamentales, corporativas y personales son ocurrencias comunes. campaña de phishing y ataque de ransomware Encuentra nuevas víctimas regularmente. Esta situación se parece mucho a un juego de whack-a-mole.
Los defensores de la privacidad ven una mejor oportunidad para que las leyes de privacidad se afiancen a medida que se enfocan en presionar a los legisladores federales para que promulguen leyes de privacidad del consumidor más estrictas en los próximos años. Estas nuevas leyes deben centrarse en tecnologías emergentes como la inteligencia artificial (IA), el aprendizaje automático (ML), la computación en la nube y la cadena de bloques.
«Espero una mayor regulación, especialmente cuando se trata de leyes estatales que se enfocan en datos personales confidenciales», dijo scott rosaasesor especial de la oficina de Silicon Valley de la firma de abogados internacional O’Melveny & Myers, y miembro del grupo de privacidad y seguridad de datos de la firma.
Pink asesora regularmente a las empresas de medios y tecnología sobre cómo cumplir con el mosaico actual de regulaciones de privacidad estatales y específicas de la industria. Él cree que 2021 podría marcar una nueva era de leyes de privacidad destinadas a proteger todo tipo de información digital valiosa.
«A medida que avanzamos en la siguiente fase de la pandemia, los datos de salud para COVID-19 son una prioridad máxima. Los gobiernos y los sistemas de atención médica están recopilando grandes cantidades de información relacionada con el rastreo de contactos y las vacunas. Implementando leyes, políticas y procedimientos para garantizar la integridad de los datos la voluntad es la clave», dijo Pink a TechNewsWorld.
Hizo hincapié en que los ataques cibernéticos son un riesgo importante, especialmente porque el trabajo remoto y la creciente sofisticación de los ataques de phishing e ingeniería social crean más vulnerabilidades que nunca. Los ataques cibernéticos y su impacto en la privacidad de los datos pueden afectar gravemente las operaciones de las agencias gubernamentales, las empresas, las escuelas y más.
Tabla de Contenidos
RAT en combinaciones de ataque
La amenaza más frecuente que acecha en 2021 es la infección RAT. El acrónimo RAT significa Troyano de acceso remoto, un tipo de malware que permite a los piratas informáticos controlar dispositivos de forma remota.
Una vez que un programa RAT está conectado a una computadora, los piratas informáticos pueden ver archivos locales, obtener credenciales de inicio de sesión y otra información personal, o usar la conexión para descargar virus y luego propagarlos a otros sin el conocimiento del usuario.
Los hackeos de acceso remoto pueden ser problemáticos, especialmente ahora que millones de personas trabajan desde casa, dice Robert Siciliano, profesor de protección de identidad social en línea. Proteger ahora.
«El protocolo de escritorio remoto de Microsoft y numerosos servicios de tecnología de acceso remoto de terceros aumentan en gran medida la superficie de ataque para los piratas informáticos que buscan penetrar en las redes corporativas y gubernamentales», dijo a TechNewsWorld.
Señaló que algunos de los ataques cibernéticos se basaron en tácticas de escalada disponibles desde la pandemia, a diferencia de las anteriores al año pasado. Ni las corporaciones estadounidenses ni los gobiernos locales, estatales y federales previeron esto.
El factor nube también es importante
No obstante, los piratas informáticos no han tenido éxito utilizando estrictamente tácticas modernas de alta tecnología. Las amenazas actuales son una escalada de los métodos de amenazas existentes que existen desde hace años y se aceleraron con el uso más generalizado de la computación en la nube y el desarrollo ágil, según Naama Ben Dov, Empresas YLuna firma de capital de riesgo estadounidense-israelí enfocada en inversiones en ciberseguridad en etapa inicial.
La migración a la nube es una parte importante de los problemas de privacidad de datos que vemos hoy. Los datos siguen siendo el objetivo de mayor valor para los atacantes.Como tal, el robo de datos es la amenaza más frecuente este año, insiste el cofundador y director ejecutivo Eldad Chai. satori cibernéticouna empresa de gobernanza y acceso a datos con sede en Tel Aviv, es una de las empresas de cartera de YL Ventures.
«Al acceder a los datos de una empresa, los atacantes pueden causar daños reputacionales, legales y operativos desproporcionados a cualquier otro vector de ataque», dijo a TechNewsWorld.
Por supuesto, la mayoría de los datos están en la nube. Chai señaló que la tendencia de migrar datos a la nube se ha acelerado en los últimos años y ahora está alcanzando un máximo histórico con el éxito de plataformas como Snowflake y el impulso que brinda a los planes de migración a la nube en 2020.
«La migración masiva de datos a la nube, la democratización de los datos dentro de las organizaciones y el entorno de trabajo desde el hogar han ampliado la superficie de ataque de los datos, lo que hace que sea extremadamente difícil ejecutar programas efectivos de protección de datos», dijo Chai.
La FMH también tiene problemas
El escenario de trabajo desde casa facilita el trabajo de un hacker. Los atacantes siguen a donde van sus objetivos, observa Ben Dov. Ahora, más que nunca, estos datos se tambalean entre las computadoras de los trabajadores domésticos, los espacios de trabajo de la oficina y los repositorios en la nube.
La sabiduría convencional ha sostenido durante mucho tiempo que los empleados son más productivos en un entorno de oficina; cuando llegó COVID, los gerentes de TI en su mayoría no estaban preparados, dijo Siciliano.
Si bien algunas empresas implementan asistencia técnica para los empleados que usan sus propias computadoras y enrutadores en el hogar para solucionar problemas de seguridad de los dispositivos fuera de la red, no es suficiente.
«Conectar dispositivos para trabajar desde casa a una red corporativa mal configurada es el mayor temor de un administrador de TI», dijo.
demasiado poco y demasiado tarde
En los EE. UU., por ejemplo, las leyes federales existentes (como la Ley de mejora del teletrabajo de 2010) nunca anticiparon por completo este nivel de trabajo desde casa. En opinión de Siciliano, es poco probable que el gobierno federal haga cambios importantes en el corto plazo, dados los muchos otros problemas existenciales que amenazan la vida.
Una amenaza creciente para las violaciones de la privacidad de los datos es el ransomware. Pero es una consecuencia, no una causa de la pérdida de privacidad. Señaló que el ransomware eventualmente puede ser el efecto de un troyano o tecnología de acceso remoto.
«Los gerentes de TI deben ser más proactivos en la configuración de hardware y software y en la capacitación sobre seguridad», dijo Siciliano sobre la prevención de violaciones de la privacidad de datos.
Transformando la Tecnología Amenaza Eficiencia
Según Ben Dov de YL Ventures, la amenaza de privacidad más generalizada que enfrentamos en 2021 proviene de la dependencia de los servicios de TI de terceros que reemplazan o reemplazan cada vez más las aplicaciones que históricamente se han implementado en las instalaciones.
«Al igual que el incidente de SolarWinds, muchos ataques a la cadena de suministro tienen como objetivo los sistemas de administración de TI que estaban en uso mucho antes del surgimiento de la nube. Las organizaciones aún confían en estas estrategias, y este ataque obligará a las personas a reconsiderar el alcance de la exposición de la cadena de suministro de TI», dijo. le dijo a TechNewsWorld.
Lo mismo se aplica a las aplicaciones de software, continuó. La cantidad de software de terceros se ha disparado en los últimos años. Esta realidad impide que las organizaciones comprendan los riesgos que plantea la exposición a dichos componentes de terceros.
Bendorf advirtió que la situación sin duda empeorará antes de mejorar. Cada vez se propagan más y más violaciones de la privacidad de los datos, especialmente de los datos privados.
«Mientras haya una falta de formas técnicas significativas para identificar y proteger los datos, es probable que ocurran muchas filtraciones», dijo.
Reparar áreas dañadas
Muchas soluciones existentes se centran en la gobernanza y el cumplimiento de los datos. Estos objetivos son importantes, pero no abordan el origen del problema. Según Ben Dov, solo son buenos dentro de ciertos límites prescritos.
«Necesitamos soluciones que puedan rastrear y monitorear los datos a lo largo de su ciclo de vida, de una manera que se integre de manera significativa con las unidades comerciales existentes de una organización, permitiéndoles realizar en lugar de sofocar la I + D, las ventas y el marketing. La seguridad debe respaldar los procesos comerciales en todos los intereses y objetivos corporativos. ”, respondió ella.
En este momento, los legisladores están principalmente preocupados por nuestro derecho a la privacidad como individuos. Chai de Satori Cyber dijo que si bien esto es bienvenido y necesario, ignora la implementación de planes de privacidad y que cada empresa tiene su propia forma de cumplir con los requisitos de privacidad.
“Poner el enfoque legal en el resultado, por ejemplo, si se pierden los datos, te multan, no aborda muchos de los problemas subyacentes de la protección real de la privacidad individual”, dijo.
Chai no está seguro de si sucederá este año. Pero espera que el gobierno pueda definir y estandarizar mejor los esquemas de protección de datos para guiar a la industria en la implementación de esquemas efectivos y sostenibles.
Nueva privacidad, preocupaciones de seguridad
Con la adopción de la infraestructura en la nube y los servicios en la nube (SaaS), habrá ataques más personalizados y adaptados para eludir las barreras de seguridad existentes en la nube. Los piratas informáticos buscarán formas de eludir los mecanismos de autenticación en la nube, sugirió Ben Dov.
Una cuestión relacionada se refiere a la tendencia de las empresas a desarrollar sus propias aplicaciones internas, convirtiéndose en sus propias empresas de software. Esto abre la puerta a ataques específicos de aplicaciones, advierte.
«Los piratas informáticos siempre elegirán el camino más fácil y, hasta 2020, explotar vulnerabilidades en sistemas operativos más antiguos para instalar malware o ingenieros sociales que instalen malware en sus computadoras portátiles es un camino fácil», agregó Chai. “A medida que los datos y los servidores se trasladan a la nube, eventualmente veremos menos de estos ataques y más ataques enfocados en entornos de nube”.
Un factor clave que debe abordarse, según Siciliano, es la falta de enfoque en los roles de seguridad que los empleados deben desempeñar. Esto es especialmente cierto para el phishing. Los empleados deben comprender mejor cómo sus ineficiencias pueden conducir al desastre.
«La capacitación en concientización sobre seguridad para simulaciones de phishing por sí sola definitivamente no es suficiente y no resuelve el problema. La discusión debe pasar de la concientización sobre seguridad a la apreciación de la seguridad, lo que la mayoría de las organizaciones no hacen ahora», se quejó.
pensamientos finales
La principal brecha que Chai ve hoy con respecto a la seguridad y privacidad de los datos es que las soluciones existentes no se ajustan a los modelos que aprovechan el contexto legal de los datos. Las maquetas de las herramientas de protección de datos existentes son en su mayoría en blanco o negro. O tienes los datos o no tienes acceso a los datos, explicó.
Sin embargo, razonó, el contexto legal y de privacidad de los datos es mucho más complejo. El uso de una parte de los datos se puede autorizar en función del consentimiento otorgado en el momento de la recopilación, la ubicación geográfica de los datos, el tamaño y la naturaleza del conjunto de datos, cómo se utilizan los datos y una variedad de otras consideraciones.
«Hasta que el contexto legal y de privacidad se integre en los modelos de protección de datos existentes, todavía estaremos atrasados», dijo.
Este proceso requerirá colaboraciones y asociaciones mejoradas entre la industria, el gobierno y el mundo académico para compartir datos relacionados con las amenazas a la seguridad cibernética. Ben Dov agregó que también es necesario comprender las amenazas para contrarrestarlas.
