Análisis de riesgos informáticos y ciberseguridad

 La sociedad actual vive en un camino constante hacia la digitalización, con el uso masivo de los smartphones, la comunicación diaria a través de internet, el uso de la inteligencia artificial, el Big Data, e incluso el IoT, donde los electrodomésticos también se vuelven inteligentes y se conectan a la red.

Todas las ventajas que aporta esta transformación digital vienen acompañadas de una serie de amenazas que ponen en riesgo la seguridad de los sistemas y comprometen la privacidad de la información. 

En este entorno digital las empresas deben analizar los riesgos informáticos y tomar medidas para evitar que se produzcan o para mitigar sus efectos negativos. 

En qué consiste el análisis de riesgos informáticos y ciberseguridad 

Cuando se habla de ciberseguridad, el análisis de riesgos informáticos es la evaluación de los distintos peligros que afectan a nivel informático y que pueden producir situaciones de amenaza al negocio, como robos o intrusiones que comprometan los datos o ataques externos que impidan el funcionamiento de los sistemas propiciando periodos de inactividad empresarial. 

El análisis y gestión de los riesgos previene a las empresas de este tipo de situaciones negativas para su actividad y recoge una serie de factores fundamentales para su consecución. 

Identificación de activos 

Para realizar un análisis de riesgos efectivo, el primer paso es identificar todos los activos de la empresa. Estos activos incluyen todos los recursos relacionados con la gestión e intercambio de información de la empresa, como software, hardware, vías de comunicación, documentación digital y manual e incluso de recursos humanos. 

Riesgos y amenazas 

Una vez se identifiquen todos los activos de información que componen la empresa, deben definirse las amenazas a las que pueden estar expuestos. Estas amenazas pueden ser de diferente índole, como ataques externos, desastres naturales o errores humanos.  

• Ataques externos. Los ciberdelincuentes siempre tienen en su punto de mira a las empresas y sus sistemas, con el objetivo de robar información (bancaria o de otra índole comercial o personal), tirar sus sistemas o utilizar sus recursos. Dos de las mayores amenazas que reciben las empresas hoy en día son ataques de denegación de servicio DDoS (inutilizan los sistemas informáticos de la empresa) o ataques con malware de tipo ransomware (encriptan los datos de la empresa, solicitando un rescate económico en criptomonedas para liberarlos). 
• Errores humanos. La intervención humana en los procesos informáticos siempre está expuesta a que se cometan errores (intencionados o no intencionados). Por ejemplo, un empleado sin los conocimientos suficientes, o con privilegios superiores a los de su función, puede realizar acciones que comprometan los datos o produzcan un malfuncionamiento en los sistemas. 
• Desastres naturales. Es posible que se den situaciones que pongan en peligro los activos informáticos de la empresa como inundaciones o sobrecargas en la red eléctrica. 
• Situaciones extraordinarias, como la pandemia del COVID-19. Las crisis a menudo reducen los niveles de alerta y protección y llevan a los ciberdelincuentes a aprovecharse de esta situación operando bajo esquemas maliciosos. Por ejemplo, las campañas de phishing relacionadas con el COVID-19, en las que los cibercriminales se hacen pasar, por ejemplo, por organizaciones de salud acreditadas están en aumento. Por esta razón es importante que las empresas estén atentas a mensajes fraudulentos relacionados con esta pandemia y se recomienda aumentar la conciencia ante el surgimiento de nuevas amenazas. 

Los riesgos se producen al existir una amenaza que tenga consecuencias negativas para los sistemas de información de la empresa. El análisis de riesgos debe recoger información detallada de todos los riesgos a los que se ve expuestos y cómo afectan a la empresa. 

En esta fase del análisis de riesgos hay que priorizar cada uno de estos riesgos, siendo preciso consultar datos estadísticos sobre incidentes pasados en materia de seguridad. 

Detectar vulnerabilidades 

Las vulnerabilidades se presentan en activos informáticos y presentan un riesgo para la información. Dos ejemplos de vulnerabilidades que suelen encontrarse en el análisis de riesgos informáticos son la falta de actualización de los sistemas operativos (por lo tanto, no incluyen los últimos parches en materia de seguridad) y el uso de contraseñas de acceso débiles (contraseñas cortas que no utilizan combinaciones de letras, números, símbolos y mayúsculas/minúsculas, y que son fácilmente descifrables con procesos automáticos).