El 62% de las empresas mexicanas desconocen el tamaño de sus superficies de ataque cibernético

Un estudio desarrollado por la unidad de investigación de SILIKN (de enero a mayo de 2020), el cual incluyó una encuesta a 1,000 empresas — pequeñas, medianas y grandes— mexicanas o extranjeras con operaciones en México, dio a conocer que el 62% de las compañías desconocen el tamaño real que tienen sus superficies de ataque cibernético.

La superficie de ataque es la suma de vulnerabilidades o datos conocidos que pueden ser explotados por un atacante informático.

La investigación menciona que las empresas se han enfocado en cuidar los sistemas de los empleados y la infraestructura de la nube, pero no conocen la extensión de sus áreas vulnerables que incluyen agentes externos como los dominios de phishing que utilizan la marca de una empresa, aplicaciones móviles falsificadas o complementos web vulnerables, entre otros.

La gran variedad de componentes potencialmente vulnerables señala que las empresas a menudo no conocen todos sus activos, por lo que no pueden defender aquello que no saben que existe. Muchas compañías van actualizando su infraestructura, pero dejan atrás los equipos y sistemas obsoletos, los cuales representan fallos en la seguridad. De igual forma afecta el llamado “shadow IT”, práctica en la cual los empleados instalan sus propias soluciones de hardware y software, para cumplir con sus tareas laborales, pero que no están gestionadas ni autorizadas por la empresa.

De acuerdo con el análisis, la gran mayoría de las infracciones externas se deben a vulnerabilidades en las que una empresa no tiene visibilidad o ha perdido visibilidad. Otras infracciones han sido causadas por compañías que dejan servidores de almacenamiento mal configurados o que usan aplicaciones con base en bibliotecas de código abierto con fallos.

El rápido crecimiento de componentes web obsoletos e inseguros es una vulnerabilidad importante para la mayoría de las empresas. La empresa promedio tiene casi 500 formularios inseguros, casi 80 marcos web con vulnerabilidades conocidas y más de 900 servidores web que ejecutan software vulnerable conocido.

La pandemia de coronavirus y el paso al trabajo remoto han causado un aumento significativo en el área de superficie de ataque vulnerable. Las organizaciones experimentaron un rápido aumento a finales de marzo 2020 de servidores y aplicaciones para trabajo remoto, incluidos dispositivos VPN vulnerables.

Pentesting: elemento para la visibilidad de los activos tecnológicos

Una forma de conocer estos riesgos es a través de pruebas de pentesting. La prueba de penetración (o pentesting para abreviar) es un tipo de prueba de seguridad que se utiliza para probar la protección del entorno de una empresa. Ya sea una aplicación o un entorno de red, también intenta explotar las vulnerabilidades para determinar si es posible el acceso no autorizado u otra actividad maliciosa. Si un sistema no está protegido, cualquier atacante puede interrumpir o tomar acceso autorizado a ese sistema.

Para muchas organizaciones, uno de los beneficios más populares de las pruebas de penetración es que le dará una línea de base para trabajar para curar el riesgo de una manera estructurada y óptima. Una prueba de penetración le mostrará la lista de vulnerabilidades en el entorno objetivo y los riesgos asociados con él. Se realizará una evaluación de alto orden del riesgo para que las vulnerabilidades se puedan informar como problemas de alto / medio / bajo riesgo. La secuencia del riesgo lo ayudará a abordar primero los riesgos más altos y luego otros.

Una violación de seguridad puede afectar no solo a la organización objetivo sino también a sus clientes, empleados, socios y terceros que trabajan con ella. Sin embargo, si la compañía programa una prueba de penetración regularmente y toma las medidas necesarias para la seguridad, ayudará a los profesionales a generar confianza en la organización.

Las pruebas de penetración ayudan a tomar una fotografía de la postura de seguridad actual y una oportunidad para identificar posibles puntos de incumplimiento. La prueba de penetración nos dará una visión independiente de la efectividad de los procesos de seguridad existentes, asegurando que las prácticas de administración de configuración se hayan seguido correctamente. Esta es una oportunidad ideal para revisar la eficiencia de la inversión en seguridad actual. Lo que debe mejorarse y lo que funciona y lo que no funciona y la cantidad de inversión necesaria para construir el entorno más seguro en la organización.

De igual forma, el pentesting cuida la reputación de las organizaciones. Una buena reputación de la empresa se construye después de muchos años de lucha y trabajo duro y con una gran cantidad de inversión. Esto puede cambiarse repentinamente debido a una sola violación de seguridad. El punto de vista del público para una organización es muy sensible a los problemas de seguridad y puede tener consecuencias destructivas que pueden tardar años en repararse. Entonces, si se realiza una prueba de penetración adecuada de manera regular, podemos crear un muro fuerte para los atacantes no autorizados que siempre intentaron penetrar y obtener acceso en cualquier organización.

Las empresas deben comenzar a supervisar sus propias redes y descubrir cuáles son los activos que tiene en Internet. Una vez que lo tengan claro, es importante conocer qué parte de la infraestructura ubica a la empresa como un objetivo y quién podría ser el atacante.

Para contrarrestar a los ciberdelincuentes, los equipos de seguridad deben tener visibilidad en toda la red para desarrollar un inventario completo de los activos digitales conectados a ellos y marcar los activos que se convierten en riesgos para que puedan ser actualizados y administrados a tiempo.

Por Víctor Ruiz, fundador de SILIKN