Carlos Hernández Gil

Hoy en día, las organizaciones trabajan con multitud de proveedores para externalizar distintos procesos de sus operaciones, desde el almacenamiento de datos en bruto hasta la seguridad, la contabilidad, el soporte a sus clientes o los recursos humanos, entre otros ejemplos. Esa interconectividad genera beneficios significativos al hacer que los procesos sean más rápidos y eficientes, los empleados más productivos y las propias empresas más competitivas. Pero los vínculos de una empresa con sus proveedores también aumentan en gran medida su exposición a los riesgos digitales. Los fallos en las defensas y prácticas de seguridad de un proveedor, o de sus terceros, pueden poner en peligro los datos, sistemas y redes de la empresa, incluso teniendo esta unas defensas relativamente sólidas. Resulta complicado generalizar porque las cifras pueden variar mucho dependiendo de la región, el sector o el tipo de empresa, pero según un estudio de la entidad pública ICEX España Exportación e Inversiones, la empresa media española se apoyaba en 2021 en al menos 100 proveedores. Y estas cifras seguirán aumentando a medida que los ecosistemas empresariales se amplíen y se vuelvan más complejos. En qué momento los proveedores pasan a ser objetivo de la ciberdelincuencia En su constante evolución de objetivos y tácticas, este hecho no ha pasado desapercibido para los ciberdelincuentes. Y es que, aunque existen diversos tipos de ciberdelincuentes (como las personas que actúan movidas por la venganza o por el simple deseo de mostrar que son capaces de hacerlo; los perfiles hacktivistas, que siempre tienen un componente ideológico detrás; los actores patrocinados por estados; o los que se dedican al espionaje corporativo, entre otros), el común de ellos tiene una misma motivación: el beneficio económico. Un 95% de las más de 5.000 fugas de información confirmadas a lo largo de 2022 tuvieron una motivación económica. Y el 62% de ellas se produjeron a través de un tercero. Si nos ponemos por un momento la gorra del ciberdelincuente, pensemos: ¿por qué atacar a una empresa con unas defensas aparentemente sólidas, cuando puedo atacar a otra cuyas defensas no sean tan robustas, que tiene acceso a información sensible de la que luego puedo sacar provecho y que va a provocar un efecto dominó que cause estragos en multitud de empresas a nivel mundial? Menos esfuerzo y muchísimo mayor beneficio. Una breve historia de ataques a la cadena de suministro Lamentablemente para los buenos de esta historia, las cuentas están claras. Así, el número de ataques a la cadena de suministro han aumentado considerablemente en los últimos años. Aunque ejemplos hay muchos y muy variados, solo mencionaremos algunos de los más destacados. Si nos remontamos diez años atrás en el tiempo, un ataque muy famoso fue el que sufrió la cadena estadounidense de grandes almacenes, Target, a partir del robo de unas credenciales de un proveedor de sistemas de climatización que hacía trabajos en algunos de sus centros. Este incidente supuso el robo de 40 millones de tarjetas de crédito y de información personal de 70 millones de clientes. Los números pueden no llamar mucho la atención si los comparamos con ataques más recientes, pero en su momento causó un gran impacto. En los siguientes años se sucedieron una serie de ataques de gran impacto: En 2015, T-Mobile sufrió los daños colaterales del ataque a Experian, uno de sus proveedores, que resultó en el robo de información personal de 15 millones de usuarios. En 2016, Uber sufrió el robo de información confidencial de 57 millones de usuarios y conductores, a raíz de la obtención de unas credenciales en un repositorio de código con las que luego accedieron a un proveedor de almacenamiento en la nube. En 2017, Equifax sufrió un incidente a través de una vulnerabilidad no parcheada en una aplicación de software de terceros. Los atacantes lograron robar la información personal de más de 140 millones de personas. En 2018, fue la cadena de hoteles Marriott quien sufrió el robo de información personal de más de 500 millones de huéspedes a través de un ataque a la plataforma de reservas que usaba para sus hoteles. ⚠️ El ataque que volvió a situar en el radar de todas las empresas los ataques a la cadena de suministro fue el que sufrió SolarWinds en 2020. Esta compañía de software ofrece soluciones SaaS en diversos ámbitos. Su producto más utilizado fue víctima de un ataque por el que los atacantes acabaron comprometiendo a más de 18.000 organizaciones en todo el mundo, tanto del ámbito público como del privado, con un fuerte impacto en EE.UU. donde se vieron afectadas más de 400 compañías del índex Fortune 500. Y así llegamos a 2023. El pasado mes de abril, nuestro equipo de Threat Intelligence en su informe semanal de amenazas hacía un análisis del grupo cl0p, destacando su capacidad para causar daños significativos operativa y reputacionalmente con la filtración de documentación de carácter confidencial sustraída de multitud de víctimas a nivel mundial. Concretamente se advertía sobre una de las técnicas utilizadas, que consiste en la explotación de vulnerabilidades en productos concretos como el sistema de transferencia de archivos Accellion FTA o la herramienta de transferencia segura de archivos GoAnywhere MFT, las cuales tuvieron impacto en más de 130 organizaciones a nivel mundial. Poco después, en junio de este mismo año, el grupo cl0p copó todos los titulares de noticias en el ámbito de la ciberseguridad con su ataque a la herramienta de transferencia de archivos MOVEit. A pesar de ser una tecnología cuya popularidad se reduce a Estados Unidos, el impacto de este ataque ha sido global, afectando a más de 2.000 organizaciones (entre las que estarían British Airways, la BBC o Tesla, entre otras) y más de 60 millones de personas. Cyber Security Cómo las soluciones DRP (Digital Risk Protection) defienden tu negocio de las ciberamenazas 6 de noviembre de 2023 Cómo protegerse de ataques a través de un tercero Las amenazas a la cadena de suministro continúan sucediendo. Por eso es importante integrar la gestión del riesgo de terceros en la operación del día a día de las empresas, recurriendo a prácticas efectivas como: Evaluación de la postura de seguridad de terceros. Un 83% de los encuestados por Gartner, respondió que descubrieron riesgos en sus proveedores después de haberlos incorporado a su cadena de suministro. ◾ Esto pone de manifiesto dos cosas: la relevancia que tiene comprender los riesgos de seguridad que un proveedor puede suponer para nuestro negocio antes de su onboarding; y que los métodos tradicionales para medir ese riesgo, como los cuestionarios de seguridad, aunque útiles, no son la solución más efectiva y es mejor recurrir a evaluaciones basadas en datos objetivos. Monitorización continua de toda la cadena de suministro. Una vez incorporado a nuestra cadena de suministro, es necesario mantener la monitorización del riesgo durante toda la vida de la relación creando alertas automáticas que nos avisen cuando se identifiquen nuevos riesgos o cuando el perfil de riesgo del proveedor varíe. ◾ Esto a su vez solventa otro de los puntos débiles de los métodos tradicionales, que suelen proporcionar una imagen estática del riesgo, del momento en que se realiza el análisis. Monitorización de los proveedores de terceros. Como hemos visto anteriormente, cada vez es más común que un proveedor se vea comprometido a partir de un tercero. Por ello resulta crucial que la monitorización de la cadena de suministro se extienda también a proveedores de nuestros proveedores (como aplicaciones SaaS o proveedores de alojamiento en la nube). ◾ Esto nos permite no solo identificar riesgos cuando se produzcan, sino también tener claro dónde se concentra el riesgo del stack tecnológico de nuestros proveedores. Reporting en términos de negocio. Combatir el riesgo en la cadena de suministro es una tarea que involucra a multitud de áreas y perfiles dentro de una misma organización. Para ello, como en muchos otros ámbitos, la comunicación juega un papel fundamental. ◾ Ser capaces de pasar de una conversación con métricas técnicas y jerga de Ciberseguridad a otra con términos de negocio, facilitará la comunicación con todos los grupos de interés y su alineamiento de cara a lograr el fin común. Combate el riesgo de terceros con Telefónica Tech Mejorar la resiliencia de tu cadena de suministro y combatir la amenaza oculta que supone para tu negocio el riesgo de terceros es posible con Telefónica Tech. Dentro de nuestro catálogo de servicios NextDefense Cyber Threat Intelligence, ofrecemos el servicio Third-Party Risk en el que combinamos la tecnología de Bitsight, líder en el ámbito de los ratings de seguridad, con los servicios profesionales de nuestro DOC global, para permitir a nuestros clientes: Monitorizar de manera continua el nivel de seguridad de sus proveedores, medir los controles de seguridad de sus proveedores, mitigar el riesgo en la cadena de suministro, y cuantificar y comunicar el riesgo en un lenguaje entendible por todos los líderes de las distintas funciones de seguridad de la organización. Además, nuestro servicio Third-Party Risk también incluye la evaluación de proveedores potenciales antes de establecer una relación comercial con ellos. Esto nos permite identificar posibles riesgos de seguridad y tomar decisiones informadas sobre si es seguro o no trabajar con ellos. Este enfoque integral y proactivo nos permite ayudar a nuestros clientes a fortalecer su cadena de suministro y proteger su negocio de posibles amenazas externas. Esto no solo beneficia a nuestros clientes, sino que también contribuye a elevar los estándares de seguridad en toda la cadena de suministro. Cyber Security Pentesting y Security Assessment: dos caras de la misma moneda en Ciberseguridad 26 de octubre de 2023

Hace tiempo que la transformación digital pasó de ocupar titulares de noticias futuristas a ser una realidad. En el ecosistema empresarial actual la digitalización de las operaciones es imprescindible en prácticamente todas las organizaciones por los beneficios que conlleva:ampliar su llegada a un mayor número de clientes, mejorar la satisfacción, optimizar los procesos, reducir costes… No solo para las propias empresas, también para sus clientes, empleados o proveedores. Pero la comodidad y la eficiencia propias de moverse en este plano digital trae consigo otras consecuencias menos deseables como el aumento exponencial de los activos digitales y, sobre todo, su exposición a los riesgos digitales. En este contexto, cobra especial relevancia el concepto Digital Risk Protection (comúnmente conocido como DRP, por sus siglas en inglés) que ayuda a las empresas a conocer y proteger sus activos digitales sin necesidad de profundos conocimientos técnicos. Pero, ¿qué son los riesgos digitales y por qué son importantes? Empecemos por el principio: ¿qué son los riesgos digitales? Podemos definirlos como los potenciales daños o el impacto negativo que se derivan de la dependencia cada vez mayor de herramientas digitales. Las empresas ya están acostumbradas a enfrentarse a riesgos tradicionales como los peligros físicos (fuegos, desastres naturales, accidentes) o disrupciones en su cadena de suministro. Estos riesgos son tangibles; tienen un impacto localizado (por ejemplo, un incendio en una oficina o una manifestación a la entrada de un almacén); y son bien conocidos, lo cual permite establecer procedimientos (medidas de seguridad física, protocolos de seguridad, planes de recuperación en caso de catástrofe) y contar con seguros para mitigarlos. Por el contrario, los riesgos digitales son de naturaleza cambiante, al estar las tecnologías en constante desarrollo; pueden afectar a las operaciones, la reputación y los clientes de una empresa en todo el mundo; por su complejidad, los seguros no siempre cubren las consecuencias financieras o reputacionales (aunque esto también es algo que avanza a pasos agigantados); la mitigación requiere medidas especializadas, como puedan ser las actualizaciones regulares de software, la eliminación del contenido fraudulento o que no debiera estar accesible desde Internet, la concienciación de empleados, los sistemas de detección de intrusiones o los planes de respuesta a incidentes. Las empresas deben ser capaces de gestionar eficazmente tanto los riesgos tradicionales como los digitales para garantizar su resiliencia y continuidad, pero, debido a sus características, requieren enfoques y conocimientos diferentes. Digital Risk Protection: Más vale prevenir que curar Este podría ser el lema de todo servicio de Digital Risk Protection, ya que su finalidad principal es actuar como un escudo con el que proteger la huella digital de una empresa frente a los riesgos digitales. Estos riesgos digitales pueden abarcar una amplia gama de amenazas, como, por ejemplo: Fugas de datos: la exposición de información sensible puede darse de manera deliberada (exfiltración tras un ataque ransomware, ataque hacktivista, insider) o fortuita (descuidos, fallos de seguridad). En cualquier caso, las fugas de datos suponen un verdadero quebradero de cabeza y exponen a las empresas a importantes problemas financieros y reputacionales. Abuso de marca: el uso no autorizado de la marca, el logo o cualquier otro elemento de la propiedad intelectual de una empresa con la finalidad de llevar a cabo estafas dirigidas a sus clientes o proveedores mediante la suplantación de identidad en redes sociales, páginas web, correos electrónicos u otros medios, que puedan tener un impacto en la imagen de marca y la reputación corporativa. Ciberataques: intentos deliberados de comprometer la seguridad de los sistemas, obtener acceso no autorizado, robar datos confidenciales, interrumpir las operaciones u otros fines maliciosos, a través de malware, phishing o ataques para explotar vulnerabilidades. Como vemos con estos ejemplos, las amenazas pueden tener a su vez impacto en diversos planos: Financiero: el informe anual de IBM sobre el coste de una fuga de datos, lo cifra ya en una media de 4,45 millones de dólares, representando un incremento del 15% en los últimos tres años. Pero no es el único ejemplo de impacto financiero: la pérdida de fondos por transacciones fraudulentas; el pago de multas por incumplimiento normativo o de penalizaciones por incumplimiento de compromisos; la reducción de negocio por la paralización de la actividad; el pago de rescates para recuperar el acceso a datos tras un ataque ransomware o la compra de datos exfiltrados, que, aunque no sean prácticas recomendables, pueden darse en momentos de desesperación. Legal: la presión regulatoria es cada vez mayor con importantes sanciones en caso de incumplimiento. La cadena hotelera Marriot se vio afectada por una fuga de datos que le supuso una sanción de 99 millones de libras esterlinas por las autoridades de Reino Unido. Operativo: la caída de sistemas o la pérdida de acceso a datos pueden resultar en una disrupción de la actividad normal de una compañía. Un claro ejemplo fue el ciberataque que sufrió la empresa Colonial Pipeline, que paralizó sus operaciones durante seis días y provocó una escasez generalizada de combustible en el sureste de Estados Unidos. Reputacional: en general, los incidentes de seguridad tienen un impacto negativo en la percepción de una compañía, resultando en ocasiones en la pérdida de confianza de sus socios o clientes y en un escrutinio mayor por parte de las entidades regulatorias. También pueden llegar a afectar al valor de mercado de las empresas cotizadas, como ocurrió en el caso de SolarWinds, cuyas acciones llegaron a perder más de un 20% de su valor la semana siguiente a la revelación del ataque. Cómo funciona un servicio de Digital Risk Protection Teniendo clara la foto del nivel de afectación que pueden conllevar los riesgos digitales, es importante contar con un servicio de Digital Risk Protection que nos ayude a gestionarlos adecuadamente. Para saber qué servicio nos conviene, vamos a ayudarte a identificar las características que debes buscar: Identificación de activos: como comentábamos al inicio del post, el aumento exponencial de los activos hace que en ocasiones sea complicado para una empresa tener un mapa de su huella digital. Por eso, el primer punto de un buen servicio de DRP debe ser la capacidad de hacer un levantamiento de estos activos. Monitorización: basándose en ese inventario de activos se realiza entonces una monitorización en todas las fuentes en busca de menciones o contenido que esté relacionado con esos activos y pueda suponer una amenaza para la compañía. En este punto, lo importante es contar con una amplia gama de fuentes que se mantenga siempre actualizada, ya que, por la naturaleza de la actividad de los ciberdelincuentes, las fuentes son muy cambiantes. Alertas: cuando se localiza alguna actividad o contenido sospechosos, es crucial informar al cliente de ello para que pueda tomar las medidas adecuadas. Para ello, se generan alertas en tiempo real con toda la información de contexto disponible e indicaciones sobre las acciones a tomar. Respuesta: por último, es vital que el servicio cuente con un equipo especializado y capacidades de respuesta para mitigar el impacto de las amenazas. Y, sobre todo, todos estos puntos deben darse de manera continua. En qué te puede ayudar contar con un servicio de DRP Podríamos enumerar un amplio listado de beneficios, pero simplemente destacaremos algunos de los principales: Identificar gaps en la seguridad: es complicado proteger lo que no conocemos. Identificar activos expuestos ayuda a minimizar los ataques exitosos al reducir la superficie de ataque. Proteger la marca y la reputación online: la monitorización continua de los canales relacionados con tu sector o donde tu empresa tiene presencia, pueden ayudar a prevenir y a identificar amenazas que dañen la reputación de tu compañía. Mitigar ciberataques: los hallazgos de un servicio de DRP permiten informar a otros equipos para tomar las medidas oportunas y bloquear el acceso a sistemas o recursos que puedan ser vulnerables, evitando así incidentes de seguridad. Reducir los costes: además de evitarnos las consecuencias de carácter financiero que hemos visto anteriormente, contar con un servicio externalizado nos permite ahorrar en la contratación de perfiles para los que hay mucha demanda y poca oferta. Cumplir con requisitos normativos: uno de los principales activos de las empresas es la información (de su negocio, sus clientes, sus proveedores…). Un servicio de DRP ayuda a proteger esta información y monitoriza de manera continua para identificar potenciales riesgos que afecten al cumplimiento normativo. Mejorar la postura de seguridad y la resiliencia: en última instancia, todas las acciones que realiza un servicio de DRP van encaminadas a proteger los activos digitales y la información, lo cual fortalece la postura de seguridad y mejora la resiliencia de las empresas. Y cómo puede ayudarte Telefónica Tech Afortunadamente, no es necesario contar con las capacidades internamente ni tener conocimientos técnicos avanzados para gestionar adecuadamente los riesgos digitales. Simplemente hay que contar con un socio de confianza con una oferta adaptada a tu nivel de madurez y tus requisitos. En Telefónica Tech contamos con los profesionales y la experiencia para ser tu socio de confianza. Dentro de nuestro porfolio de servicios NextDefense, nuestro servicio Digital Risk Protection cumple con las características que hemos comentado en este post: te ayudamos a identificar tus activos, tenemos acceso a una amplia gama de fuentes (internas, web abierta, deep y dark web, propietarias gracias a nuestro ecosistema de partners) que monitorizamos de manera continua, nuestro equipo de analistas detecta aquellas cuestiones que puedan afectar negativamente a tu negocio, las analiza tanto manualmente como con ayuda de avanzadas técnicas de IA y ML, las contextualiza y te reportamos solo aquellas que puedan suponer una amenaza para ti, reduciendo el ruido y permitiendo que enfoques tus recursos donde de verdad importan y, por último, nuestro equipo especializado en prevención del fraude trabaja en la mitigación y la retirada de las amenazas que te afecten. De esta manera, cubrimos de forma integral (end-to-end) los riesgos digitales con un servicio que se adapta a tus necesidades y que tiene un modelo de costes predecible y flexible, que escala con tu negocio. Cyber Security Estrategias de Ciberseguridad para proteger el sector financiero 10 de octubre de 2023