Compañías de Telecomunicaciones y ciberataques

Nunca hasta ahora se había visto un cambio tan amplio en la variedad y volumen de las ciberamenazas como durante el último año 2014. En España esa tendencia se ha confirmado en la evolución de 2015, en la que el número de incidentes de ciberseguridad identificados prácticamente triplica al total de incidentes registrados en todo el año pasado.

Uno de los principales vectores de amenazas en el sector de las telecomunicaciones es el riesgo de proliferación de las intrusiones a través de dispositivos móviles, cuya ubicuidad ha agravado los riesgos de seguridad.

Pero si la movilidad representa un desafío de seguridad urgente para las empresas de telecomunicaciones, hasta la fecha no se ha hecho demasiado para implementar las medidas de seguridad. A nivel europeo, sólo el 45% de las organizaciones de telecomunicaciones tiene una estrategia de seguridad de dispositivos móviles en marcha.

Otro aspecto importante a tener en cuenta es la proliferación en el desarrollo de aplicaciones específicas para móviles. Esta tendencia imparable acarrea grandes riesgos cuando no se despliega una adecuada metodología de desarrollo seguro y se implantan prácticas de cifrado de datos tanto en el almacenamiento en los dispositivos como en la capa de transporte.

De la misma manera que el uso de los móviles ha aumentado, también lo ha hecho la utilización de servicios de computación en la nube, en la que los operadores de telecomunicación juegan un papel preponderante. Hoy en día más del 50% de los operadores utilizan este tipo de servicios, aunque pocas veces se hace el debido hincapié en las implicaciones de seguridad en que puede derivar su uso.

Es fundamental que los operadores implanten políticas que formalicen las bases de seguridad en el uso de la nube, incluyendo el cifrado de datos, la protección de los datos críticos para el negocio y la garantía de que los proveedores de servicios se adhieren a las normas de seguridad y regulaciones propias del sector con respecto a dónde se pueden almacenar los datos. También deben exigir que los proveedores de la nube de terceros sigan las prácticas de seguridad.

Los operadores de telecomunicaciones son expertos en la protección de sus propias redes pero también es cierto que los ciberdelincuentes emplean su infraestructura como principal medio de transporte para la mayoría de los ataques, aprovechándose de la propia robustez de la red, su nivel de penetración y sus niveles de servicio.

Así, el despliegue de servicios de acceso de banda ancha proporciona mejor servicio a los clientes pero también mejores vías de ataque por parte de los cibercriminales.

El fenómeno de las botnets, o redes de ordenadores zombis que son infectados por un atacante que puede controlarlos desde un único servidor para perpetrar ataques masivos, está creciendo cada vez más. Esto se debe, entre otras razones, a que hay muchos más ordenadores susceptibles de ser atacados (los equipos domésticos con menos niveles de seguridad) y con mejores capacidades de conectividad (el acceso a Internet con servicios desde los 30 hasta los 300 megas). Este escenario de progreso indudable conlleva a la par un aumento de las posibilidades para los ciberdelincuentes.

Tarde o temprano el operador de telecomunicaciones tendrá que tomar una acción para proporcionar servicios de seguridad sobre la red de acceso. En España, algunos de los principales operadores están realizando fuertes inversiones en desarrollar soluciones para sus clientes en este terreno, aunque dichas soluciones para ser efectivas desde un punto de vista de los consumidores, deberían estar coordinadas y realizadas de manera conjunta para poder garantizar su efectividad.

Es necesario evolucionar hacia una mayor inteligencia en seguridad y garantizar que los incidentes de seguridad pasen a ser tenidos en cuenta como un riesgo crítico para el negocio. Aunque estas amenazas no siempre se pueden prevenir, sí pueden ser controladas a niveles aceptables.

Lo fundamental para lograrlo es el compromiso de los operadores de telecomunicaciones sobre cuatro principios: la seguridad es ahora un imperativo; las amenazas de seguridad son riesgos para el negocio; la información más valiosa de la empresa debe estar siempre protegida en todos los procesos y situaciones; y las inversiones deberían seleccionarse teniendo en cuenta los activos más críticos, las amenazas del ecosistema y sus vulnerabilidades.

Francisco Javier Santos Ortega es director responsable de Ciberseguridad en IT Advisory de KPMG en España

Artículo publicado originalmente El Mundo el 3 de enero de 2016