Un nuevo informe de ciberseguridad de 2022 de la Cloud Security Alliance (CSA) y Proofpoint revela que las organizaciones tienen dificultades para proteger de forma eficaz los nuevos entornos de nube implementados durante la pandemia, y para adaptar su estrategia de ciberseguridad general a la evolución del panorama de seguridad.
Para el estudio sobre ataques web y cloud, entrevistamos a más de 950 profesionales de seguridad y de TI de organizaciones de distintos tamaños y ubicaciones a fin de tener una idea más clara del conocimiento, las actitudes y las opiniones sobre las amenazas distribuidas a través de la nube y la web.
Las organizaciones han acelerado de manera importante sus iniciativas de transformación digital para adaptarse a plantillas remotas a raíz de la COVID-19. Estas iniciativas están destinadas por lo general a mejorar la productividad de los empleados y a otros objetivos empresariales, pero a menudo tienen repercusiones y generan retos no deseados debido a los grandes cambios estructurales que requieren.
Uno de estos desafíos es el de desarrollar un enfoque coherente para las amenazas web y cloud gestionando al mismo tiempo la infraestructura de seguridad tradicional y local. La mentalidad centrada en la nube (cloud-first) ya había empujado a los empleados a escenarios de “acceso remoto”, incluso estando en la oficina, antes del confinamiento por la pandemia, lo que ya suponía de hecho el fin del perímetro de seguridad tradicional. Las oportunidades de pirateo aumentaban cuando los empleados se vieron obligados a cambiar sus despachos por sus propias oficinas domésticas.
Los riesgos y amenazas asociados a la cadena de suministro aumentan cuando las organizaciones siguen migrando a la nube y dependen cada vea más de terceros y partners. El estudio indica que el 81 % de las organizaciones participantes tienen una preocupación de moderada a alta sobre los riesgos asociados a proveedores y partners.
Los partners y otras personas externas no están estrictamente obligados a aplicar las políticas empresariales de las organizaciones y son difíciles de supervisar en cuanto a cumplimiento, lo que los convierte en un eslabón extremadamente débil de la cadena de procesos empresariales. Casi la mitad (48 %) de los profesionales de seguridad y de TI entrevistados mencionaron específicamente su preocupación por los ataques web a la cadena de suministro o por la pérdida de datos a través de la cadena de suministro. Un impresionante 58 % de las organizaciones indicaron que los usuarios externos y los proveedores fueron víctimas de fugas de datos basadas en la nube en 2021.
Protección de los datos confidenciales
Las divulgaciones de datos y propiedad intelectual de los clientes son el más preciado botín para los hackers. Una vez en su poder, sobre todo tras un ataque con éxito a un determinado empleado, resulta difícil realizar el seguimiento del origen de la fuga, sobre todo cuando la administración de los usuarios se realiza de forma flexible desde ubicaciones remotas. Las herramientas de las que disponía el departamento de TI cuando se decretó el confinamiento no estaban diseñadas para proteger de manera integral a los usuarios remotos que trabajaban con aplicaciones cloud desde dispositivos que podía no estar completamente administrados por sus empleados.
No sorprende que la protección de los datos sea una de las principales prioridades de las empresas: un 47 % de los participantes señala la “pérdida de datos confidenciales” como la consecuencia más preocupante de los ataques web y cloud. Los tipos específicos de datos que más preocupan a las organizaciones son los datos de clientes, las credenciales y la propiedad intelectual. El 43 % de las organizaciones mencionaron la protección de los datos de los clientes como principal objetivo de seguridad para la nube y la web en 2022. No obstante, solo un tercio (36 %) de las organizaciones entrevistadas afirmaron disponer de una solución dedicada de prevención de la pérdida de datos (DLP).
¿Son los sistemas antiguos realmente el problema?
Casi la mitad de los profesionales de seguridad y de TI entrevistados (47 %) culparon a la presencia de sistemas antiguos de su estado de seguridad en la nube. Sin embargo, esto no es exactamente cierto, ya que los sistemas locales antiguos se sometían a mayores controles antes de la pandemia.
Las empresas suelen empeorar los problemas a los que ya se enfrentan adoptando enfoques centrados en la nube (cloud-first) sin una inversión proporcional en seguridad para la nube y el teletrabajo. Tampoco sorprende que la encuesta revele que dos tercios de las organizaciones consideraran en riesgo su seguridad para la nube.
La mitad de las organizaciones entrevistadas tienen niveles insuficientes de soporte técnico para la seguridad en la nube, y aun así apuestan la viabilidad de su futuro al comercio en la nube. Por supuesto, es extremadamente peligroso considerar la seguridad para la nube como un proceso secundario.
Menos de la mitad de los encuestados en el estudio había invertido suficientemente en equipos dedicados a la seguridad para la nube. Al mismo tiempo, menos de la mitad de los encuestados creen que las soluciones actuales para proteger frente ataques web y amenazas originadas en la nube satisfagan sus necesidades. Solo podemos concluir que muy pocas empresas invierten en seguridad para la nube y que las que lo hacen tienen poca confianza en sus inversiones.
Las personas constituyen el nuevo perímetro
Las principales fuentes de riesgos de seguridad en la nube son (y han sido siempre) los usuarios de los sistemas de TI empresariales. Como consecuencia, todas las organizaciones que utilicen tecnología deben imperiosamente disponer de tecnología que ayude a proteger a los usuarios de sus propios errores. Para protegerlos contra ataques web y en la nube, las organizaciones utilizan por lo general formación para concienciar en materia de seguridad (49 %).
Las personas constituyen el nuevo perímetro. Es responsabilidad de la organización formar a sus empleados e interesados sobre cómo identificar, resistir y denunciar los ataques antes de que el daño esté hecho. Es absolutamente fundamental instaurar una cultura de seguridad en su organización, además de utilizar varias soluciones optimizadas a la hora de proteger a sus empleados frente a las amenazas cloud y web, y salvaguardar los datos de la empresa.
El camino a seguir
A continuación incluimos varias recomendaciones para que las organizaciones mejoren su seguridad, basadas en las conclusiones de nuestro estudio:
- Determine la seguridad adicional que necesita en función del caso de uso.
- Invierta en personal con experiencia en seguridad de la nube y del teletrabajo.
- Exija autenticación que bloquee los puntos de entrada de ataques.
- Reconsidere las inversiones en proveedores de soluciones de seguridad en cuanto a funciones de seguridad de la nube y seguimiento de registros.
- Mejore el soporte a usuarios concretos con independencia de la ubicación y la plataforma.
- Convierta el flujo de trabajo en la nube en un factor principal en las evaluaciones de riesgos para la empresa actuales y futuras.
Descargue ya nuestro informe gratuito.
Más información sobre las soluciones de seguridad para la nube de Proofpoint.