“La ciberseguridad se está volviendo un factor determinante en el éxito de las empresas y en cómo afrontan esta crisis”

La transformación digital no es un proceso ajeno a las empresas. Los líderes de negocios tenían claro el futuro era digital, pero la transición se hacía lentamente. No obstante, la crisis originada por la pandemia del COVID-19 ha acelerado estos procesos, convenciendo incluso a los más escépticos de que la digitalización es el principal camino para la supervivencia empresarial en este nuevo normal. Alexander García, socio de Consultoría de Negocios de PwC Perú, explica el rol fundamental que juega la ciberseguridad al momento de construir proyectos exitosos de negocios digitales y trabajo remoto.

¿Cuáles son los riesgos emergentes en ciberseguridad debido a la pandemia?

Con la pandemia hemos visto que algunas amenazas cibernéticas se han incrementado significativamente, como los ataques de phishing y ransomware, así como algunas vulnerabilidades existentes en aplicaciones y/o sistemas que permiten el trabajo remoto. En el caso del phishing, en las últimas semanas se han creado miles de dominios falsos para enviar correos electrónicos o crear páginas web que permitan capturar las credenciales de los usuarios aprovechando la necesidad de información y el temor de los ciudadanos por la pandemia.

En el caso del ransomware, si bien es una técnica de ataque conocida hace varios años, siguen apareciendo casos en nuestro país porque los equipos de TI están concentrados en la operación de los servicios de TI vía remota, o han tenido que flexibilizar sus medidas de seguridad, siendo esto aprovechado por los ciberdelincuentes. A todo esto también podríamos sumar el incremento del uso de sistemas para acceso remoto o de aplicaciones para videollamadas con conocidas vulnerabilidades, las cuales han sido explotadas por cibercriminales para acceder a los sistemas de información de las organizaciones.

¿Cómo deben abordarse estos riesgos?

Debemos empezar por entender que las fronteras de las compañías se han ampliado con la transformación digital, y esta pandemia ha acelerado esa expansión con el trabajo remoto, llegando a cada uno de los hogares de los colaboradores. En ese sentido, es importante contar con medidas de seguridad adecuadas para las conexiones remotas. Para mitigar estos riesgos es importante implementar medidas de autenticación multifactor para prevenir cualquier acceso no autorizado, capacitar a los colaboradores respecto a lo que deben y no deben hacer cuando trabajan remotamente; y monitorear la actividad en los sistemas de información para identificar y responder ante cualquier intento de intrusión.

¿Qué otras medidas de seguridad podrían adoptar las empresas para mitigar las posibles amenazas en el trabajo remoto?

La primera medida de seguridad es capacitar a los empleados sobre cuáles son las reglas de juego para trabajar remotamente. En segundo lugar, se debe alertar periódicamente sobre cualquier amenaza emergente en el ciberespacio, para que estén informados y sepan cómo actuar en caso reciban algún correo malicioso o detecten alguna actividad inusual en sus dispositivos móviles. Esto de la mano con la implementación de herramientas y/o software que mitigue el riesgo de malware, phishing o robo de información. Y, por último, es muy importante monitorear el tráfico y/o conexiones remotas a nuestros sistemas para prevenir cualquier acceso no autorizado.

Respecto a la protección de información, ¿cómo debería ser el tratamiento de los datos personales de los trabajadores en este contexto?

En el caso de las empresas, se debe reforzar las políticas, procedimientos y controles, tanto tecnológicos como manuales, al capturar, procesar, almacenar y eliminar los datos personales relacionados con el seguimiento de la salud de los empleados, así como los exámenes médicos y cualquier otra información relacionada a estos temas. Toda la información de nuestros colaboradores deberá ser formalmente consentida, cumpliendo con las normas vigentes de cada país en materia de privacidad.

Todos los puntos mencionados parten de un fortalecimiento de la cultura de ciberseguridad, ya que la responsabilidad recae no solo en la empresa sino también en el trabajador. ¿Cómo se puede reforzar la cibercultura en este contexto?

La cultura de ciberseguridad se debe reforzar identificando aquellos comportamientos inseguros en la forma como los colaboradores interactúan con los sistemas y recursos tecnológicos de la organización. Luego, con esa información, se puede reforzar la importancia de la ciberseguridad a través de cursos virtuales, talleres de trabajo o realizando simulaciones de ataques informáticos. Sin embargo, lo clave es entender que se trata de una tarea que nunca acaba y debe ser periódica.

¿Cómo cambiará el panorama de la ciberseguridad una vez haya concluido este periodo de crisis?

La ciberseguridad se está volviendo un factor determinante en el éxito de las empresas y en cómo afrontan esta crisis, porque las está obligando a pasar de un esquema mixto de oferta de servicios y productos “presencial” y “digital”, a un esquema de negocio predominantemente digital. Este cambio va a generar que cuando hablemos de negocios digitales o transformación digital, tengamos que hablar de ciberseguridad como un pilar importante para que estas iniciativas alcancen los beneficios esperados y los canales presenciales solo sean para uso en caso de contingencia.

Acerca del autor

Alexander García

Es socio del área de Advisory con más de 20 años de experiencia profesional en el campo de auditoría financiera, auditoría interna, riesgos y controles de procesos de negocio incluyendo los sistemas de información. Alexander ha trabajado los dos últimos años en las oficinas de PwC en la ciudad de Toronto desempeñándose como Gerente del área de Consulting & Deals en las líneas de negocio de IT Risk y SAP Controls Consulting.

Posee una amplia experiencia asesorando empresas de diversos sectores económicos en cuanto al diseño, evaluación, implementación y monitoreo de marcos de control interno de acuerdo con la ley Sarbanes Oxley (SOX), COSO, COBiT e ISO 27001. En el 2012 ha recibido entrenamiento en la versión 5.0 de COBIT.

Asimismo, cuenta con certificaciones internacionales otorgadas por ISACA tales como CISA (Certified Information System Auditor), CISM (Certified Information Security Manager) y CRISC (Certified Risk and Information System Controls) que avalan su experiencia.

Ingeniero Industrial Colegiado de la Pontificia Universidad Católica del Perú y con estudios de especialización en Tecnologías de Información y Contabilidad Financiera en ESAN. Asimismo, ha liderado los cursos de capacitación de riesgos y controles SAP para PwC Canada y Perú.

Deja un comentario