Las entidades bancarias frente a un evento de cyber-seguridad
El sector financiero se encuentra inmerso en la ejecución de una transformación estratégica que persigue:
• Mejorar la calidad de sus productos y servicios con una estrategia de diseño digital, que necesita transferir datos de clientes entre diferentes organizaciones, el conocido como open banking.
• Digitalizar la relación con sus clientes para mejorar su experiencia de usuario y abaratar los canales de captación y mantenimiento de los clientes.
Dicho proceso es el origen de la creciente exposición de las entidades bancarias a riesgos que tienen su origen en fallos de cyber-seguridad. En un entorno digital, la ciberseguridad es una prioridad estratégica de primer orden para cualquier entidad bancaria.
El contexto en que se desarrollan los ataques cibernéticos es día a día más amplio, debido al proceso de digitalización actual de los servicios financieros y supone un relevante ángulo estratégico en la definición del modelo de relación de las entidades bancarias con sus clientes. En paralelo al crecimiento de la brecha de ataque cibernético que las entidades financieras deben proteger, los ciberdelincuentes están desarrollando técnicas de ataque más sofisticadas complicando el proceso de detección.
La ausencia de concienciación y un ritmo lento en la inversión asignada a cyber-seguridad suponen un enorme desafío para las entidades bancarias en su lucha contra los ataques cibernéticos. El análisis de los riesgos que encaran las entidades bancarias en materia de ciberseguridad muestra que la gestión de riesgos debe centrarse en las amenazas que tienen su origen en:
• Intrusiones en los sistemas informáticos de las entidades bancarias. Actualmente es el principal foco de amenaza, lo cual supone un hito relevante en el nivel de sofisticación de los ataques cibernéticos. Los ciberdelincuentes cada vez recurren a técnicas de ataque más avanzadas y sofisticadas, como respuesta a un creciente nivel de seguridad por parte de las entidades bancarias.
• La débil conciencia social en materia de ciberseguridad. Los ciberdelincuentes continúan explotando el factor humano en sus ataques cibernéticos porque sigue siendo una debilidad latente para la mayoría de las entidades bancarias.
• Otro tipo de errores técnicos como: entregar información por error, mantener configuraciones inseguras en los sistemas operativos o la simple pérdida de datos son comunes y representan una proporción relevante de los ataques maliciosos sufridos por las entidades bancarias.
• El robo de contraseñas o credenciales de acceso a los sistemas informáticos, como puerta al despliegue de ataques cibernéticos basados en ransomware. En primer lugar se produce el robo de credenciales, que posteriormente permite a los ciberdelincuentes moverse lateralmente y escalar privilegios. Una vez materializada la intrusión en los sistemas operativos, los ciberdelincuentes pueden desplegar el ataque con ransomware causando relevantes interrupciones operativas e importantes pérdidas financieras.
• La última fuente relevante de ciberataques reside en la vulnerabilidad de la cadena de suministros, que permite a los ciberdelincuentes atacar a la entidad bancaria esquivando todas las medidas internas de seguridad implantadas por la institución financiera.
Las entidades bancarias operan con elevadas cantidades de dinero de sus clientes y con información sensible de los mismos, que deben de proteger y que es objetivo de los ciberdelincuentes. Por ello es necesario diseñar una estrategia preventiva efectiva y adecuada en materia de ciberseguridad.
¿Sobre qué pilares debe descansar la estrategia adecuada en material de cyber-seguridad para una entidad financiera?
La resiliencia operativa es fundamental en la lucha de las entidades bancarias contra los ciberdelincuentes, ya que permite resistir los ataques y gestionar sus consecuencias. Con el objetivo de maximizar dicha resiliencia operativa, los pilares básicos de la estrategia de una entidad bancaria en cyber-seguridad deben ser:
• La creación de un centro de operaciones seguro, robusto y ágil que permita a las entidades bancarias monitorear las amenazas y dar respuesta en tiempo real a las mismas. La creación del centro de operaciones debe ir acompañada de una dotación adecuada de medios humanos, un equipo capaz de responder a los ataques maliciosos, y de medios tecnológicos, con herramientas para la detección de cualquier amenaza. El objetivo es mejorar los tiempos de respuesta para evitar situaciones críticas por eventos de cyber-seguridad.
• El desarrollo de planes de capacitación y concienciación en cyber-seguridad para el conjunto de la organización. Es vital qué el conjunto de la entidad bancaria conozca los riesgos, las consecuencias que tienen para la organización y las medidas de carácter preventivo implantadas para mitigar y evitar estos riesgos. La generación de una cultura organizacional en materia de ciberseguridad es esencial para el éxito de la estrategia. Todo miembro de la organización es y debe sentirse co-responsable del objetivo de resiliencia operativa de la entidad bancaria.
• La dotación de un plan de gestión de crisis que permita realizar simulaciones que testeen de forma periódica la capacidad de resiliencia de la entidad bancaria ante ataques cibernéticos. Estas pruebas tienen un triple objetivo: medir la capacidad de resistencia actual, testear la eficacia de nuevas medidas y familiarizar al conjunto de la organización con los protocolos de respuesta ante ataques cibernéticos.
• La generación de herramientas que permitan anticiparse a los ataques maliciosos y simular el comportamiento de los ciberdelincuentes con el objetivo de dotar a la estrategia de capacidad anticipatoria ante los eventos de cyber-seguridad. En el desarrollo de este tipo de herramientas, los procesos basados en inteligencia artificial tienen gran relevancia.
• El desarrollo de planes de gestión de crisis centrados en la recuperación de la información atacada o sustraída. Un recurso útil para lograr la recuperación de información de forma ágil y eficiente es el almacenamiento de copias de seguridad en nubes seguras. El objetivo es dotar a la entidad bancaria de capacidad para asegurar la continuidad del servicio en cualquier momento, independientemente de la magnitud y origen de la amenaza.
• La dotación de métodos de seguridad multicapa para mitigar la probabilidad de que un ataque se comprometa al conjunto de los sistemas operativos. La implantación de sistemas de identidad y acceso con seguridad multinivel y multifactorial es un recurso de gran implantación para lograr evitar las intrusiones.
• Por último, es vital delimitar el acceso a los datos que tienen los proveedores y el acceso de otros socios a los sistemas informáticos y al centro de operaciones. En la industria bancaria, dada la naturaleza de la información que se maneja, es fundamental asegurar la invulnerabilidad de dichos sistemas operativos.
Los pilares anteriores deben estar presentes en las agendas de todos los responsables de garantizar la seguridad ante ataques cibernéticas en el sector financiero. La cyber-seguridad es una responsabilidad compartida por el conjunto de cada entidad bancaria, que debe aunar la generación de una cultura organizacional compartida, el compromiso de inversiones necesarias y el desarrollo de las políticas de gestión de riesgos adecuadas. La cuestión ya no es si una entidad bancaria será o no atacado, sino cuándo se verá amenazado por un ataque cibernético.
¿Estás listo para fortalecer la ciberseguridad de tu entidad bancaria?
Implementar estas estrategias puede marcar la diferencia entre prevenir un ataque y enfrentar sus consecuencias. Comparte tus opiniones, experiencias o preguntas en los comentarios.