Los ejecutivos de negocios de alto rango dicen que el ransomware es una gran preocupación para ellos, pero sus organizaciones no están preparadas para hacer nada al respecto.
Esos fueron los resultados de una encuesta publicada el lunes por la firma global de servicios de consultoría y asesoría Deloitte.
Casi dos tercios (64.8 por ciento) de los 50 ejecutivos de nivel C y otros ejecutivos encuestados por Deloitte revelaron que el ransomware será una preocupación importante para sus organizaciones durante los próximos 12 meses, pero solo un tercio de los líderes corporativos han simulado un ataque a prepararse para tal incidente.
«Durante los últimos 12 a 18 meses, los ejecutivos de todas las industrias y sectores han sido testigos, y han experimentado cada vez más de primera mano, la asombrosa frecuencia, sofisticación, costo e impacto tanto económico como operativo de los ataques de ransomware», dijo el director general de Deloitte, Curt Aubley. en una oracion.
“Como algunos ransomware pueden evadir las herramientas antivirus y los atacantes encuentran más formas de presionar a las víctimas para que paguen los rescates, estos ataques suelen tener repercusiones nacionales y mundiales”, continuó. «No hay tiempo que perder cuando se trata de perfeccionar y probar programas de respuesta a incidentes para ransomware y otros eventos cibernéticos».
Seguridad por oscuridad
La mayoría de las organizaciones creen en la seguridad a través de la oscuridad, observó Saryu Nayyar, director ejecutivo de Gurucul, una empresa de inteligencia de amenazas en El Segundo, California.
«Simplemente no creen que los piratas informáticos los notarán si mantienen la cabeza baja», dijo a TechNewsWorld.
Esa actitud de cabeza en la arena prevalece especialmente entre las organizaciones más pequeñas y menos maduras, señaló Allie Mellen, analista de seguridad y riesgo de Forrester Research.
“El ransomware es un ataque de igualdad de oportunidades”, dijo a TechNewsWorld. “Se dirige por igual a empresas grandes y pequeñas”.
“Hay una serie de grupos de ransomware que solo se enfocan en lo que pueden obtener”, continuó. “Son muy oportunistas”.
“Hemos visto grupos que se alejan específicamente de la caza mayor debido al impacto geopolítico potencial que puede tener”, dijo. “Están atacando a organizaciones más pequeñas o consumidores individuales”.
“Esos ataques no tienen un perfil tan alto ahora debido a la publicidad que están recibiendo los ataques de ransomware en organizaciones más grandes”, agregó.
Silo de TI
Chenxi Wang, fundador y socio general de Rain Capital, una firma de capital de riesgo en San Francisco, sostuvo que la mayoría de los ejecutivos de nivel C están poniendo el ransomware en un silo de TI y subestiman su amenaza para todo el negocio.
“Muchos aún no consideran que las amenazas de ransomware sean un problema comercial de funciones cruzadas en el que puedan participar activamente”, dijo a TechNewsWorld.
Traducir el riesgo cibernético en riesgo comercial es un problema general, señaló Brandon Hoffman, director de seguridad de Intel 471, un proveedor de inteligencia sobre delitos cibernéticos en Dallas.
“En el pasado, el revestimiento del cielo de los eventos cibernéticos se consideraba una táctica para obtener un presupuesto para una unidad de negocios sin un ROI claramente definido”, dijo a TechNewsWorld.
“La exposición y la cobertura actuales relacionadas con el ransomware no parecen haber movido significativamente la aguja”, dijo.
“También puede ser que los equipos ejecutivos sientan que su seguro cibernético es la brecha de cobertura en áreas que realmente no pueden solucionar operativamente, pero este punto de vista es igualmente peligroso”, agregó Hoffman.
Política miope
Chris Clements, vicepresidente de arquitectura de soluciones de Cerberus Sentinel, una empresa de consultoría de seguridad cibernética y pruebas de penetración en Scottsdale, Arizona, estuvo de acuerdo en que una estrategia de defensa que se apoya en el seguro cibernético es miope.
“El seguro cibernético puede pagar para ayudar a compensar los costos de pagar un rescate, pero eso nunca está garantizado”, dijo a TechNewsWorld.
“Muy a menudo, un ataque de ransomware significa que el negocio se detiene por completo; haciendo que la víctima no pueda brindar el servicio a sus clientes”, dijo. “No creo que suficientes ejecutivos tengan eso en cuenta al planificar su estrategia de ciberseguridad”.
“Su negocio podría detenerse abruptamente y no reiniciarse durante días o incluso semanas después, dejando a los empleados inactivos, clientes sin productos o servicios y pérdidas significativas de ingresos”, explicó.
“De la misma manera que el seguro de automóvil no reemplaza los cinturones de seguridad o las bolsas de aire”, continuó, “el seguro de ciberseguridad no reemplaza la implementación de controles de seguridad críticos”.
“Reconocer la gravedad de la amenaza del ransomware es fácil”, agregó Cherise Esparza, CPO, CTO y cofundadora de SecurityGate, una empresa de software de ciberseguridad en Houston.
“Lo que no es fácil es volver a conectar la amenaza con el riesgo y el impacto comercial, y luego tratar de determinar si la amenaza es lo suficientemente probable como para justificar los recursos para protegerse contra ella”, dijo a TechNewsWorld.
Mejor acceso a latón
La comunicación también puede desempeñar un papel en la brecha entre la conciencia y la preparación.
“Una de las principales desconexiones entre los líderes de seguridad de hoy en día es la comunicación ascendente con el nivel C”, observó Chuck Everette, director de defensa de la ciberseguridad en Deep Instinct, una empresa de ciberseguridad de aprendizaje profundo en la ciudad de Nueva York.
“La permanencia típica de los líderes de seguridad y CISO de hoy en día es de solo alrededor de 12 meses”, dijo a TechNewsWorld. “Debido al poco tiempo que están en el puesto, la comunicación en sentido ascendente no siempre es eficiente o eficiente porque no han construido las relaciones o la confianza en el nivel C o en la junta”.
Sin embargo, agregó que los líderes de seguridad tienen más acceso que nunca a los altos mandos de sus empresas.
“Ha habido un cambio en cuanto a dónde informan los líderes de seguridad dentro de las organizaciones”, explicó.
“En el pasado, reportaban a los CFO o CIO, pero ahora están comenzando a reportar directamente al CEO, que es donde deberían estar”, dijo.
“Los líderes de seguridad de hoy deben tener esa influencia y visibilidad con los directores ejecutivos para asesorarlos adecuadamente sobre las amenazas a su empresa y cómo mitigarlas”, continuó. “Este tipo de información no se puede filtrar ni diluir”.
¿Se necesita responsabilidad personal?
Una forma de cerrar la brecha entre la conciencia y la preparación es darles a los ejecutivos de nivel C una muestra de cómo es la vida durante una crisis.
«He visto a empresas elevar rápidamente su eficacia de protección después de que la capacitación incluyera juegos de guerra utilizando rangos cibernéticos de nivel ejecutivo», observó Gunter Ollmann, CISO de Devo Technology, una empresa de análisis de registro y seguridad en Cambridge, Massachusetts.
“Hacer que el equipo ejecutivo pase un día respondiendo activamente a un incidente de ransomware que incluye entrevistas de prensa simuladas, envío de correos electrónicos actualizados a clientes y socios, y gestión de crisis, parece enfocar las mentes y refuerza que un incidente cibernético afecta todas las partes del negocio”. le dijo a TechNewsWorld.
Sin embargo, es posible que se necesite algo más que una mejor comunicación y empatía para cerrar la brecha entre la conciencia y la preparación.
“Las organizaciones no ajustarán la cultura y las prioridades de la gestión ejecutiva hasta que se les haga personalmente responsables de las violaciones de datos y las interrupciones en las operaciones causadas por malware basado en rescate”, dijo Simon Aldama, asesor principal de seguridad de Netenrich, una empresa con sede en San José, California. Empresa de operaciones de TI y seguridad digital.
“El cambio se impulsa cuando el bienestar personal y las finanzas de un ejecutivo se ven directamente afectados”, dijo a TechNewsWorld.
