Cómo orientarse en el mundo de la ciberseguridad: ideas y consejos

A medida que nuestras vidas se entrelazan cada vez más con el mundo digital, la necesidad de contar con una ciberseguridad sólida nunca ha sido mayor. Desde proteger los datos confidenciales de las empresas hasta salvaguardar nuestra información personal, lo que está en juego nunca ha sido tan importante.  

Hemos hablado con Niel Harper, antiguo director de seguridad de la información y responsable de protección de datos de Doodle, para entender mejor este panorama en constante evolución.

En esta entrevista, hablaremos de su trayectoria y su papel en Doodle, las tendencias en ciberseguridad, cómo proteger los datos de los clientes y cómo las pequeñas y medianas empresas (pymes) pueden protegerse en este panorama en constante evolución. 

Las amenazas de ciberseguridad más acuciantes

¿Cuáles crees que son las amenazas de ciberseguridad más acuciantes a las que se enfrentan las empresas hoy en día?

El ransomware —un tipo de software malicioso que bloquea o cifra los datos de la víctima y exige el pago de un rescate para restaurar el acceso— sigue siendo una amenaza importante. Sin embargo, se ha vuelto aún más frecuente, ya que los atacantes centran su atención en la ciberextorsión. 

El clima geopolítico actual también contribuye a que las organizaciones sean cada vez más blanco de adversarios patrocinados por Estados, muy experimentados y bien organizados. 

Además, muchas empresas siguen sin estar preparadas para hacer frente a los riesgos que les plantean terceros (como los ataques a la cadena de suministro). 

Por último, el uso de la IA generativa por parte del personal y de los atacantes externos supone tanto una oportunidad como una amenaza, pero muchas empresas aún no comprenden del todo sus implicaciones.

Garantizar la seguridad de los datos de nuestros clientes

¿Cómo garantiza Doodle la seguridad de los datos de sus clientes, sobre todo con sus productos?

En Doodle, no dependemos de herramientas de seguridad como sustituto de unos controles de seguridad sólidos. Nos centramos principalmente en hacer bien lo básico en materia de ciberseguridad: gestión de identidades y accesos (IAM), gestión de configuraciones, gestión de activos, gestión de vulnerabilidades, pruebas de penetración y gestión de riesgos de terceros, entre otros. Cualquier herramienta se integra en este marco para facilitar la coordinación, la automatización y la defensa en profundidad. 

Hay un «tono desde arriba» centrado en el riesgo, en el que el riesgo cibernético es un tema recurrente en las reuniones de la junta directiva y de la dirección, y un elemento clave en el marco de gestión de riesgos empresariales (ERM). Doodle también se somete a auditorías anuales de SOC 2 Tipo II, Cyber Verify y del RGPD. 

Crear una cultura de concienciación sobre la seguridad

¿Cuál es la clave para crear una cultura de concienciación sobre la seguridad entre los empleados? 

El aspecto más importante para crear una cultura de concienciación sobre la seguridad es un «toque de atención desde arriba» firme. La concienciación sobre la seguridad debe partir de los líderes, que influyen en la cultura de la empresa y guían las acciones de sus equipos.

Por ejemplo, en Doodle, el consejo de administración y la dirección ejecutiva son conscientes y están atentos al impacto potencial de los riesgos cibernéticos en múltiples ámbitos de la empresa. Su apoyo en cuanto a la asunción de riesgos, la comunicación eficaz, la financiación adecuada y el ejemplo personal es fundamental para inculcar las prácticas de seguridad correctas entre el personal. 

También ofrecemos un programa dinámico de formación en concienciación sobre seguridad que aprovecha el aprendizaje en línea, consejos y trucos periódicos, simulaciones de phishing, ejercicios de simulación y formación específica para cada puesto. 

Nuevas tendencias en ciberseguridad 

¿Qué tendencias o tecnologías emergentes en ciberseguridad te entusiasman o te preocupan más? 

Me entusiasma especialmente ver toda la atención que se está prestando al desarrollo de capacidades cibernéticas. Estamos viendo cómo se destinan importantes recursos a reforzar las capacidades de los Estados para protegerse mejor de las amenazas en línea. 

Tengo que felicitar a actores clave como el Foro Global de Experiencia Cibernética (GFCE), el Banco Mundial, la Unión Europea, el Foro Económico Mundial, la Organización de los Estados Americanos (OEA), el Instituto Cyber Peace y otros por su labor en este ámbito. 

Entre las amenazas que más me preocupan están los riesgos de los grandes modelos de lenguaje (LLM) y la IA, el Internet de las cosas (por ejemplo, dispositivos inteligentes, coches conectados, ciudades inteligentes, etc.), la criptografía a prueba de cuántica, y la guerra cibernética y el ciberespionaje patrocinados por los Estados.

Reflexiones y consejos para las empresas

¿Qué consejo darías a las empresas, sobre todo a las pymes, para proteger mejor sus datos y mantener la confianza de los clientes?

Las pymes deben contar con alguien, tanto a nivel ejecutivo como operativo, que entienda y asuma el riesgo cibernético como un riesgo estratégico para el negocio. Con esto quiero decir que la responsabilidad de la ciberseguridad no debería delegarse en un responsable de TI o un administrador de sistemas, porque es mucho más que un riesgo tecnológico.

Una persona cualificada y con experiencia debería encargarse de desarrollar y ejecutar la hoja de ruta de ciberseguridad de la empresa. Si no se dispone de estas habilidades dentro de la propia empresa, deberían plantearse contratar a un director de seguridad de la información (CISO) virtual o a tiempo parcial para supervisar la gestión del riesgo cibernético. 

Como ya se ha mencionado en un comentario anterior, las organizaciones no deben ver las herramientas sofisticadas como una panacea ni como sustituto de una ciberseguridad eficaz. Deben crear un inventario de sus sistemas y datos críticos («joyas de la corona») e implementar controles sólidos en función de la importancia que esos sistemas y activos de información tienen para la empresa.

¡Gracias, Niel, por compartir tus ideas y tu experiencia!