Montevideo, 25 de setiembre de 2020.
En el contexto de las soluciones brindadas por Datasec nos encontramos con un crecimiento en la demanda de servicios de análisis forense por parte de empresas que han sido víctimas, directa o indirectamente de un incidente de ciberseguridad. En este marco hemos observado como las empresas con menor escala relativa o poder en las relaciones comerciales se encuentran en una situación especialmente vulnerable.
Un claro ejemplo son los incidentes de BEC/EAC, fraudes o engaños por correo electrónico, que llevan a que los fondos de una transacción comercial genuina terminen en los bolsillos de un criminal.
Si bien podríamos entender que el engañado, y por ende máximo responsable, es quien realiza el giro, lo cierto es que las circunstancias normalmente implican a ambas partes.
¿Quién cubre la pérdida? ¿Quién más tiene responsabilidad en lo sucedido? ¿Quién tiene más para perder con el final de la relación comercial?
Aquí el escenario excede lo que un análisis técnico puede llegar a determinar. En virtud de este panorama que observamos, el mensaje a destacar es que las pequeñas y medianas empresas de Latinoamérica, que en muchos casos no se encuentran en un contexto para invertir, ni sensibilizadas al respecto, son las que tienen más para perder.
La ciberseguridad y seguridad de la información de los procesos operativos de las empresas pequeñas y medianas deben ser aún más robustas que la de sus pares mayores. Las grandes corporaciones suelen tener otras opciones, recursos y tolerancia a las pérdidas, incluso trasladando el impacto de sus incidentes a otros que no pueden demostrar de forma robusta que siguen las mejores prácticas.
¿Cuál es la alternativa?
No es fácil el camino, pero el mejor escenario es aquel en el cual uno puede evitar las dudas y dejar claro que el incidente no sucedió en virtud de nuestras acciones u omisiones, vulnerabilidades o fallas en los procesos operativos.
Debemos indicar claramente a todas las contrapartes comerciales cuales son nuestros procesos de solicitud o realización de transferencias, cambios de cuentas bancarias u otras operaciones sensibles. Estas comunicaciones deben contener elementos que den garantías de autenticidad y debemos enfatizar a nuestras contrapartes la necesidad de tomar en cuenta los elementos de seguridad que utilicemos.
La seguridad de nuestro correo electrónico debe ser especialmente robusta; en este sentido, deberíamos contar con certificados vigentes de autenticidad emitidos por entidades de confianza, e informar a todas nuestras contrapartes comerciales que, para ser válidos, nuestros correos habrán siempre de estar firmados haciendo uso de los mismos.
Las acciones sensibles deben incluir al menos dos factores de autenticación.
Nuestros procesos, deben ser realmente seguros.
De lo contrario, el pequeño pierde, y quizá no solamente él…
