*Durante
momentos de tensión política interna y externa entre gobiernos,
proteger los sistemas de ciberataques se convierte en una cuestión
crítica. Datos muestran que los países de Latinoamérica no están lo
suficientemente preparados.
Puede
parecer irónico que una solución de seguridad electrónica
(videovigilancia, control de acceso, alarmas, comunicaciones y más)
diseñada para proteger a las personas y las propiedades pueda
proporcionar un punto de entrada para los ciberdelincuentes. Debido a
que estos sistemas están cada vez más conectados a redes e
infraestructura de TI, pueden ser bastante vulnerables si no cuentan con
las medidas de ciberseguridad necesarias.
Con
el aumento de la cantidad de ataques cibernéticos en todo el mundo y
tensiones políticas entre diferentes países, se hace evidente que el
sector público necesita implementar mejoras efectivas de ciberseguridad
en sus redes de TI para reducir vulnerabilidades.
En
2021, los ciberataques aumentaron 600% en Latinoamérica y el Caribe.
Según datos de Fortinet, la región sufrió 289.000 millones de intentos
de ciberataques en 2021. En primer lugar, se posiciona México con 53.9%
de los intentos, seguido por Brasil con 30.6%.
La
Universidad de Chile, en un estudio publicado en 2021 en su portal de
'Revistas Académicas', toma como referencia dos métricas internacionales
para ubicar la ciberseguridad de la región comparada con el resto del
mundo. Latinoamérica se encuentra en el sexto lugar de las regiones que
han priorizado el desarrollo de las cibercapacidades, solo por encima de
África y Oceanía, según el Índice Nacional de Ciberseguridad de la
E-Governance Academy. De acuerdo con las métricas evaluadas, 10 de los
11 países de la región estudiados: Perú, Colombia, Chile, México,
Argentina, Brasil, Jamaica, Panamá, Surinam y Honduras, tienen cero en
los indicadores que miden la protección de servicios esenciales, la
delimitación de amenazas, la contribución mundial a la ciberseguridad y
la administración de la crisis cibernética de los Estados. Solo Trinidad
y Tobago superó esta cifra.
Estos
datos evidencian lo común que están siendo los ataques cibernéticos en
Latinoamérica y cómo casi todos los días llegan noticias de filtraciones
de datos o incidentes de 'ransomware' en el sector público. Cualquier
organización gubernamental, colegio o institución de educación superior,
grande o pequeña, es vulnerable a un ciberataque disruptivo y costoso.
Riesgos de ciberseguridad en sistemas de seguridad electrónica
Hoy
en día es fundamental reconocer los riesgos de ciberseguridad que
pueden existir en dispositivos de seguridad electrónica como cámaras,
controladores de puertas y sus sistemas de monitoreo.
¿Cómo
logran entrar los atacantes? ¿Acaso un empleado dio clic en un enlace
dentro un correo electrónico de 'phishing'? ¿O será que nunca se cambió
la contraseña predeterminada de alguna aplicación o dispositivo? ¿Quizás
fue a través de una cámara de seguridad olvidada conectada a la red del
parqueadero?
Según Camilo Sánchez, Gerente de Desarrollo de Negocios de Genetec, "una
idea persistente, pero errónea, es que los ataques cibernéticos a los
sistemas de seguridad electrónica solo se limitan a daños o robos de
información de estos sistemas. Por ejemplo, las amenazas reconocidas a
menudo incluyen la capacidad de detener de forma remota la transmisión
de video de una cámara, abrir o bloquear una puerta o interrumpir los
sistemas críticos de algún edificio. Ciertamente, la preocupación por
los riesgos de la seguridad física de las personas o instalaciones está
presente; sin embargo, la mayoría de los ataques cibernéticos no se
limitan a estos casos. Estos ataques se dirigen también a aplicaciones,
archivos y datos de otras soluciones administrados por el departamento
de TI”.
Un
ataque que se origina en una cámara puede viajar por la red para
bloquear el acceso a aplicaciones críticas, retener archivos para pedir
rescate y robar datos financieros o información personal de empleados,
estudiantes, clientes o residentes.
Por
ejemplo, el botnet (software malicioso) conocido como Mirai continúa
interrumpiendo sistemas y redes con ataques a dispositivos conectados a
Internet, incluidas las cámaras. Para encontrar dispositivos
vulnerables, el malware se basaba inicialmente en intentar iniciar
sesión con nombres de usuario y contraseñas predeterminados de fábrica y
ahora ha evolucionado para explotar vulnerabilidades sin parches.
Un
análisis realizado por Genetec, empresa líder de software de soluciones
de seguridad electrónica unificadas, encontró que una gran cantidad de
cámaras de seguridad permiten este tipo de ataque. Según su estudio,
casi 7 de cada 10 cámaras tenían firmware desactualizado.
En
2021, un investigador de amenazas de seguridad descubrió que un botnet
basado en Mirai, llamado Moobot, usa otra técnica para infectar
dispositivos de video vigilancia con vulnerabilidades críticas. Esta
técnica inyecta código malicioso en el dispositivo y luego verifica la
red para encontrar dispositivos adicionales que infectar. Más de 100
millones de dispositivos en todo el mundo se ven afectados por esta
vulnerabilidad, lo que la convierte en la mayor vulnerabilidad que jamás
haya afectado a la video vigilancia. Aunque hay un parche de software
disponible para cerrar este riesgo, este botnet de IoT nunca dejará de
buscar un punto vulnerable y, lo más preocupante, que es posible que los
equipos de TI no sepan qué cámaras instaladas deban recibirlo, ya que
estos dispositivos son OEM de muchas marcas que no muestran fácilmente
su origen.
Gobiernos
como los E.E.U.U., el Reino Unido y Dinamarca ya han empezado a
restringir el uso de cámaras que han mostrado múltiples vulnerabilidades
críticas de ciberseguridad como éstas en instalaciones del gobierno e
infraestructuras críticas. En los países de Latinoamérica, sin embargo,
no existe ninguna restricción todavía.
“Las cámaras de seguridad y los sistemas de control de acceso deben considerarse dispositivos de red críticos”, comenta Camilo Sánchez. Agrega que “estos
dispositivos necesitan recibir un alto nivel de protección y monitoreo
para las operaciones y la ciberseguridad. Es por esto que, buscar
fabricantes confiables que implementen la ciberseguridad y privacidad por diseño, es indispensable sobre todo si hablamos de instalaciones gubernamentales y de infraestructura crítica”.
Este
enfoque está ganando aceptación dentro de las organizaciones de TI a
medida que dos cuestiones se vuelven más claras y convincentes. La
primera es el creciente cruce de ataques a la red de cámaras de
seguridad y controladores de puertas conectados a Internet. Estos
dispositivos a menudo brindan a los ciberdelincuentes una entrada fácil a
la red, y el departamento de TI tiene una visibilidad limitada hasta
después del hecho. En segundo lugar, el volumen creciente y la
interrupción de los ataques cibernéticos aumentan inherentemente el
nivel de riesgo de cualquier dispositivo conectado a la red que no esté
adecuadamente protegido.
Uniendo la seguridad electrónica y la ciberseguridad
En
muchas organizaciones, una perspectiva de vieja data es que la
seguridad física y de TI son ámbitos separados, y que su trabajo y sus
preocupaciones no convergen. Sin embargo, esta perspectiva debe cambiar a
la luz del creciente riesgo cibernético que pueden presentar las
tecnologías de seguridad electrónica.
Este
cambio comienza cuando los equipos de seguridad electrónica y de TI se
unen en una sola organización que se centra en un programa de seguridad
integral basado en una comprensión común del riesgo, las
responsabilidades, las estrategias y las buenas prácticas.
Al
comprender que los dominios físicos y cibernéticos están estrechamente
vinculados, los gobiernos pueden implementar nuevas tecnologías, nuevos
roles de personal y nuevas prácticas que fortalezcan la seguridad en
general. A continuación, compartimos una lista de mejores prácticas en
este ámbito:
Lista de mejores prácticas de ciberseguridad
Evaluación de la postura actual
- Crear
un inventario actualizado de todas las cámaras, controladores de
puertas y sistemas de gestión asociados conectados a la red.
- Realizar
una evaluación exhaustiva de la vulnerabilidad de todos los
dispositivos de seguridad físicos conectados para identificar los
modelos y fabricantes de interés.
- Consolidar
y mantener información detallada sobre cada dispositivo de seguridad
electrónica, incluida la conectividad, la versión de firmware y la
configuración.
- Evaluar
el diseño de la red según sea necesario para segmentar los dispositivos
más antiguos y reducir el potencial de ataques cruzados.
- Identificar
a todos los usuarios que tengan conocimiento de los dispositivos y
sistemas de seguridad electrónica, documentando esa información para su
futuro uso y auditoria.
Unificación de la seguridad electrónica y ciberseguridad
- Comenzar
discusiones sobre la combinación de los equipos de seguridad
electrónica y seguridad cibernética, formalizando roles y
responsabilidades.
- Supervisar
y compartir inteligencia sobre las amenazas cibernéticas actuales y las
tendencias entre los equipos, y fomentar la colaboración en acciones
preventivas y capacidades de respuesta.
- Desarrollar políticas y prácticas comunes para las operaciones de seguridad y la gestión de incidentes.
Mejoras para hacer ahora
- Determinar
si los dispositivos de seguridad electrónica instalados tienen la
última versión de firmware y otro software recomendado por el
fabricante.
- Confirmar
que el software de videovigilancia y control de acceso esté actualizado
en los dispositivos de seguridad físicos, así como en los servidores
utilizados para el almacenamiento de datos y para albergar consolas de
monitoreo.
- Cambiar
las contraseñas predeterminadas en uso y establecer una política y un
proceso para exigir cambios de contraseña frecuentes.
Planificación del reemplazo de dispositivos y sistemas
- Identificar cualquier dispositivo que necesite reemplazo debido a su antigüedad o posible riesgo de seguridad.
- Desarrollar un plan que modernice las funciones y la administración de seguridad en una plataforma unificada.
- Evaluar el cumplimiento de los estándares de todos los proveedores en la cadena de suministro de la solución propuesta.
No hay comentarios:
Publicar un comentario