Por: Álvaro Núñez, Docente del Máster Universitario en Seguridad Informática de la Universidad Internacional de La Rioja (UNIR) Los recientes ataques cibernéticos al sector bancario han demostrado que ninguna empresa está exenta de recibirlos en cualquier momento. Se suele decir que todos los sistemas son inseguros hasta que se demuestra lo contrario, y, dada la complejidad de la situación, es imposible asegurar que un sistema está protegido al 100%. Implementar unas buenas prácticas de seguridad siempre es importante para evitar tener brechas o agujeros que puedan poner en jaque los datos de la empresa. Y esto aplica a todos los procesos que puedan tener, desde máquinas que contienen datos, empleados de la empresa que pueden ser el objetivo de tener acceso a la red de la organización, hasta los propios desarrollos de software y servicios o incluso las páginas web, las cuales también pueden ser objetivo de distintos ataques, como denegaciones de servicio o deformación de las mismas. La ciberseguridad es una inversión que no puede ser prescindible, dado los constantes ataques que cada día se perfeccionan y se renuevan. Sin embargo, ¿Por dónde se debería empezar para aumentar la certeza de que un banco o cualquier empresa esté más protegida? El primer paso es identificar todas las posibles amenazas a las que está expuesta la empresa y el sistema de ataque que más le encaje dada su naturaleza. Esto permitirá poner barreras que eviten, en gran medida, que los ataques tengan éxito. En el caso del sector bancario, el phishing es uno de los ataques más populares que afecta, no tan directamente a la entidad bancaria, sino a sus clientes. Este ataque pretende confundir al cliente haciéndose pasar por el banco para pedirle sus credenciales, y por tanto robarlas y poder hacer operaciones en su nombre. En este sentido, es obligatorio para el banco informar constantemente de este tipo de estafas a sus clientes, y recordarles que la entidad nunca les solicitará sus datos de acceso a través de correo o teléfono. Otro tipo de ataques que también están a la orden del día son el ransomware (malware que secuestra los datos y pide un rescate por ellos), ataques a las páginas y servicios webs para dejarlos fuera de servicio durante varias horas o incluso días, ataques a proveedores para que los servicios que ofrecen no funcionen correctamente, etc. El segundo paso es armarse de un equipo de seguridad (un departamento de la entidad bancaria o contratar servicios de auditorías) lo suficientemente capacitado para verificar constantemente que las medidas de seguridad están funcionando bien y, si surge algún inconveniente, se pueda corregir cuanto antes para evitar los posibles riesgos, y por lo tanto, actualizar los sistemas a la par que los desafíos que se van encontrando. En este equipo, se debe contar con un buen líder que conozca cómo aplicar buenas políticas de seguridad en los sistemas y un buen plan de respuesta ante posibles incidentes. El último paso es incluir a los colaboradores en este proceso, algo fundamental para reforzar la protección desde todos los espacios de la entidad y a través de todos los actores que la conforman. Los colaboradores también deben adquirir conocimientos básicos sobre estos ataques para evitar caer en estafas y causar daños a la propia entidad, por ejemplo, si un atacante busca engañar a un empleado para que ejecute el mencionado ransomware. Pero, sobre todo, los líderes deben concientizar a su equipo sobre la crucial tarea que es proteger a la empresa y sus clientes frente a un contexto cada vez más cambiante. En el caso de que un ataque esté suscitándose, la mejor respuesta es ser transparente con los clientes y tener un buen plan de respuesta ante incidentes para evaluar los daños y mitigar los ataques cuanto antes. Hay que evitar que el ataque vaya a más, e intentar reducir las consecuencias a la mayor brevedad posible. Ninguna entidad está fuera de peligro, pero lo que hace la diferencia son los planes y acciones que se ejecutan antes y durante el ataque para menorar su impacto.