La filtración de datos del Clinic, ejemplo de la deficiente adopción de la ciberseguridad

El ciberataque de ransomware que el pasado 5 de marzo sufrió el Hospital Clinic de Barcelona dio lugar este jueves 30 del mismo mes a un nuevo episodio de vulneración de la privacidad, al publicarse parte de la información de pacientes y empleados robada por los ciberdelincuentes.

El grupo que llevó a cabo el ataque, RansomHouse, filtró en la dark web entre tres y cuatro gigas del total de 4,5 terabytes de datos secuestrados cuatro semanas antes. Se trata de una medida más de extorsión dentro de la estrategia de los hackers maliciosos, que han respondido así a la negativa de la Generalitat de Catalunya a pagar el rescate, y que amenazan con publicar toda la información de que disponen.

Varias voces, tanto de expertos en ciberseguridad como de ciudadanía en general, ponen este caso como ejemplo de una más que probable carencia de los niveles de seguridad informática necesarios en las organizaciones españolas. Desgraciadamente, no es un ejemplo aislado, como muestra un estudio de Cisco presentado el día anterior a la noticia de la filtración.

Solamente siete de cada cien organizaciones en España tienen un nivel de preparación 'maduro' para hacer frente a los riesgos de ciberseguridad en un mundo híbrido. Así se desprende del informe Cisco Cybesercurity Readiness Index presentado  durante una Rueda de Prensa virtual.

Basado en encuestas a 6.700 responsables de ciberseguridad de 27 países (incluido España), el estudio evalúa la preparación de las empresas en cinco pilares básicos de ciberse
guridad -identidad, dispositivos, red, cargas de trabajo de aplicaciones, y datos- clasificándoles en cuatro etapas de preparación ascendente en función de las soluciones adoptadas: Principiante, Formativa, Progresiva y Madura.

"Las organizaciones han pasado de un modelo operativo en gran medida estático a un mundo híbrido en el que se trabaja desde múltiples dispositivos en múltiples ubicaciones, conectándose a múltiples redes y aplicaciones y generando una enorme cantidad de datos. Esto presenta nuevos y únicos retos", destacó durante su presentación Ángel Ortiz, Director de Ciberseguridad en Cisco España.

Resiliencia en un mundo híbrido

El informe analiza los aspectos en los que las empresas lo están haciendo bien y también las lagunas de preparación en materia de ciberseguridad. Dos terceras partes de las organizaciones en España se encuentran en las fases Principiante (8%) o Formativa (59%), lo que significa que su nivel de preparación está por debajo de la media global. Sólo el 33% alcanzan los niveles Progresivo (26%) y Maduro (7%).

Estos datos son reveladores, ya que el 83% de los encuestados en España esperan que un incidente de ciberseguridad perturbe su negocio en los próximos 12 a 24 meses. Y el coste de no estar preparado puede resultar considerable: en el último año, una de cada dos organizaciones españolas han sufrido una brecha o ataque (siendo malware, phishing y filtración de datos los principales incidentes) con un coste económico de al menos 100.000 dólares para el 56%.

A escala global, más de la mitad de las empresas (el 55%) se encuentran en las fases Principiante (8%) o Formativa (47%), mientras el 45% alcanzan los niveles Progresivo (30%) y Maduro (15%). Ocho de cada diez empresas en el mundo (el 82%) esperan sufrir un incidente grave de ciberseguridad en un intervalo de uno a dos años. Y el 60% de media mundial han tenido ya que enfrentarse a pérdidas económicas, que para cuatro de cada diez (el 41%) superan los 500.000 dólares.

"Ahora que las amenazas están presentes en todas partes, las empresas tienen que repensar su estrategia", continuó el responsable de Cisco España. "Las medidas aisladas ya no son eficaces; deben crear resiliencia, que es la capacidad de verificar las amenazas, comprender las conexiones en toda la organización y ver el contexto completo de cualquier incidente para priorizar la respuesta".

Preparación en los cinco pilares clave

•    Dispositivos: el mayor porcentaje de organizaciones españolas se encuentran en la fase de madurez, con un 28% (31% en el mundo).

•    Datos: constituye el segundo pilar con mayor número de empresas en la fase de madurez (16% en España y 22% a escala global).

•    Cargas de trabajo de las aplicaciones: es el pilar en el que las organizaciones españolas están menos preparadas, con un 75% en las etapas Principiante o Formativa (65% en el mundo).

•    Identidad: Sólo el 11% de las organizaciones españolas se encuentran en la fase Madura (20% de media global).

•    Seguridad de la red: Las empresas españolas también se están quedando atrás en este frente, con un 65% en las etapas Principiante o Formativa (56% a escala global).

Aunque la brecha de preparación puede resultar alarmante, los CISOs son conscientes de los riesgos y están dispuestos a invertir en ciberseguridad: ocho de cada diez organizaciones españolas (el 81%) prevén aumentar su presupuesto en al menos el 10% en los próximos 12 meses (86% de media mundial) y el 95% esperan actualizaciones de la infraestructura de TI en los próximos 24 meses (93% en el mundo).

Como concluyó Ortiz, "la mayoría de organizaciones ya persiguen la resiliencia en sus funciones financieras, operativas, organizativas y de cadena de suministro. La resiliencia de la seguridad es transversal a todas ellas, y mejorar en preparación debe convertirse en un imperativo y una prioridad para los líderes empresariales".