Segurilatam 025

/ Segundo cuatrimestre 2023 20 artículo técnico Ciberseguridad cibercriminales a través de técnicas y tácticas empresariales que facilitan la identificación y contrarrestar las amena- zas cibernéticas desde una perspectiva multiesfuerzo. Por ejemplo, el saber sobre la existen- cia de diferentes modus operandi ciber- criminales y las taxonomías de las diver- sas formas de ciberamenazas permiten ajustar las capacidades de respuesta ante situaciones informáticas estudiadas y reducir al mínimo el aprovechamiento ilegal por parte de los ciberatacantes, lo cual se traduce en una menor probabili- dad de pérdidas financieras generadas por incidentes cibernéticos. Del mismo modo, los avances en el uso de la cibercriminología han per- mitido identificar factores comunes en todas estas formas de victimización, visualizándolos como patrones vulne- rables y caracterizando las variables de mayor actividad delincuencial para res- ponder empresarialmente de manera más eficiente. Un ejemplo de ello es el consenso científico sobre una correla- ción existente entre el accionar cibercri- minal y una débil mitigación de riesgos asociados con la gestión de activos de información. Respuesta corporativa Aunque varios profesionales en seguri- dad corporativa afirman que esta corre- lación también puede ser identificada en el desarrollo de auditorías desde un enfoque general, diversos estudios en- cuentran poco eficiente ese enfoque toda vez que cada perfil cibercriminal se especializa en tomar ventaja de los pun- tos débiles de sus víctimas. Y cada orga- nización, desde su propia naturaleza em- presarial, puede tener múltiples puntos vulnerables. Por lo tanto, el desarrollo de auditorías especializadas se convierte en una herramienta más eficiente y con gran expectativa de éxito para anticipar las acciones cibercriminales, enfocadas en una clase específica de riesgos, en este caso, los riesgos asociados con la ciberseguridad de la organización. La anterior conclusión fue el punto de clave en el metaanálisis desarrollado por un grupo de expertos latinoamericanos (Escuela Latinoamericana de Cibercri- minología, 2022), quienes lograron ma- pear las debilidades organizativas frente a las cinco categorías de ciberamenazas y diseñaron un marco de entrenamiento para construir capacidades internas en este tipo de auditorías. Sin una corres- pondencia directa entre las categorías y las líneas de trabajo de este marco, los investigadores testearon y demostraron la aplicabilidad transversal de cinco líneas de acción mediante dos escena- rios de simulación y un programa pilo- to. Estas líneas de acción abordaron el reconocimiento de ciberamenazas, la gestión de activos digitales, la detección de malware , la respuesta a ataques de ingeniería social y la implementación de estrategias de cibergobierno con mode- los de ciberseguridad empresarial. De igual manera, la iniciativa compro- bó la eficacia de un mecanismo para documentar el proceso de auditoría a través de un informe estándar, aplicable a cualquier tipo de organización, y la ne- cesidad de implementar procedimientos de verificación de la integridad de archi- vos digitales mediante una comparación pericial incorporada en las habilidades de los auditores en riesgos de ciberse- guridad empresarial. Los resultados de este marco de crea- ción de capacidades organizativas son muy positivos y prometedores, y transmi- ten un mensaje de anticipación ante el aumento exponencial de los ciberataques contra las instituciones. Por primera vez, se propone utilizar los avances científi- cos en el estudio de los cibercriminales y adaptar ese conocimiento a los escena- rios específicos de vulnerabilidad de cada organización para que las empresas opti- micen sus esfuerzos de inversión en equi- pos de seguridad, evaluación y asegura- miento de calidad. Y, lo más importante, desarrollen su propia base de vulnerabili- dades para no sólo reaccionar ante una explotación maliciosa, sino también para anticipar una respuesta corporativa acor- de con los desafíos de la actual cuarta revolución industrial. Adaptado del trabajo realizado por la Escuela Latinoamericana de Cibercriminología.