En los últimos años la ciberdelincuencias y ataques cibernéticos contra empresas han tenido un gran aumento convirtiéndose en uno de los problemas más preocupantes. En este artículo te contaremos qué es la ciberresiliencia y cómo afecta a todas las empresas sin importar su tamaño.
¿Qué es la ciberresiliencia?
La digitalización incesante del mundo que nos rodea y la gran dependencia tecnológica que tiene la sociedad hace que los ciberataques sean cada día más comunes y una de las mayores fuentes de preocupación.
A pesar de esto, las organización y empresas, por lo general, no se encuentran totalmente preparadas para resistir frente a este tipo de ataques, debido entre otros, a falta de medidas para contrarrestarlos. Existe poca preparación de los sistemas informáticos para bloquear estos ataques, falta de formación del personal respecto a ciberseguridad, recursos insuficientes en esta materia y falta de evaluaciones periódicas que evalúen el nivel de seguridad de los activos.
En este marco, ya no basta con la ciberseguridad al uso si no que las empresas tienen que ser capaces de anticipar los ataques, resistirlos, recuperarse de ellos y evolucionar para que no vuelvan a tener éxito. Este conjunto de cualidades, por tanto, es lo que se conoce como ciberresiliencia y como podemos imaginar, incluye componentes de seguridad cibernética, gestión de riesgos, continuidad del negocio y recuperación de desastres.
¿Cómo podemos implementar la ciberresiliencia en nuestro negocio digital?
Dado que nos encontramos con un tejido con gran heterogeneidad de empresas y organizaciones, no se puede generalizar un protocolo para implementar la ciberresiliencia pero sí que se pueden establecer una serie de pautas básicas que nos dirijan en la dirección adecuada:
- Dar prioridad a los servicios según el impacto (económico, social, medioambiental, etcétera) que cause su pérdida o deterioro.
- Conocer y catalogar las diferentes amenazas según el impacto que puedan tener sobre los diferentes servicios.
- Implementar mecanismos preventivos contra amenazas actuales y posibles amenazas futuras.
- Crear procesos de mitigación que minimicen el daño una vez se produce un incidente.
- Monitorizar constantemente las vulnerabilidades para remediarlas y de esta forma reducir los vectores de ataque.
- Desarrollar y mejorar los protocolos de comunicación dentro de la empresa para coordinarse correctamente ante un ataque.
- Ejecutar y mejorar constantemente todos estos pasos para conseguir una mejora continua.
Realizados estos pasos, nos queda la duda de cómo de ciberresiliente es nuestra organización o empresa. ¿Pero cómo podemos medir esta ciberresiliencia?
Niveles de ciberresiliencia
Desde el Instituto Nacional de Ciberseguridad (INCIBE) se propone el modelo IMC (Indicadores para la Medición de la Ciberresiliencia). Este modelo, basado en lo propuesto en el marco de indicadores de ciberresiliencia del MITRE, se basa en un nivel de medición de la madurez de las diferentes medidas adoptadas para favorecer la ciberresiliencia. Este modelo cuenta con seis niveles de madurez que abarcan desde el nivel más bajo (L0) hasta el nivel de madurez total (L5):
- Nivel L0: inexistente. Como su nombre indica, en este nivel no se está aplicando ninguna medida de cara a mejorar la ciberresiliencia.
- Nivel L1: inicial. La empresa u organización ha comenzado a identificar los requisitos necesarios de ciberresiliencia.
- Nivel L2: repetible. Se han establecido los criterios de ciberresiliencia pero no se han documentado.
- Nivel L3: definido. Los diferentes criterios han sido debidamente documentados y además se mantienen actualizados.
- Nivel L4: gestionado. A parte de mantener actualizados los criterios se gestionan y verifican de forma recurrente.
- Nivel L5: optimizado. El máximo nivel de madurez donde se aplican acciones de mejora en la definición de los requisitos de ciberresiliencia.
Niveles de madurez del modelo IMC
Gracias a este modelo de madurez se puede conocer el nivel de ciberresiliencia en el que nos encontramos y de esta forma fijar las metas para llegar a un nivel de madurez total.
Conclusión
Las misiones, las funciones empresariales, las organizaciones y las naciones dependen cada vez más del ciberespacio y la tecnología. Cada vez se reconoce más la necesidad de la resiliencia cibernética para que los sistemas de información y comunicaciones y quienes dependen de ellos sean resistentes frente a ataques persistentes, sigilosos y sofisticados centrados en los recursos cibernéticos.
Mientras que la resiliencia se describe a veces como una propiedad emergente, la resiliencia frente a las amenazas cibernéticas debe ser diseñada. Es por esto que en los últimos años se está trabajando desde el Instituto Nacional de Tecnologías de la Comunicación (INTECO) en un marco común, siendo una primera aproximación la Estrategia Nacional de Ciberseguridad aprobada en 2019 por el Consejo de Seguridad Nacional y más recientemente la Directiva NIS (Security of Network and Information Systems) cuyo ámbito abarca a toda la Unión Europea.
958 050 205
