En el actual mundo computarizado, surgen nuevos riesgos cada hora de cada d\u00eda. Conectarse a internet abre la posibilidad de que un pirata inform\u00e1tico ponga en la mira su organizaci\u00f3n. El cibercrimen se est\u00e1 convirtiendo en un gran negocio y el riesgo cibern\u00e9tico se est\u00e1 convirtiendo en el centro de atenci\u00f3n de las organizaciones y los gobiernos a nivel global. Los riesgos monetarios y para la reputaci\u00f3n son altos si las organizaciones no tienen un plan adecuado de seguridad inform\u00e1tica.<\/p>\n\n\n\n
La seguridad inform\u00e1tica y las filtraciones de datos siguen en aumento y afectan a organizaciones de todos los tama\u00f1os y sectores. El \u00faltimo Informe de preparaci\u00f3n cibern\u00e9tica de Hiscox 2023<\/a> revela que los ataques inform\u00e1ticos han aumentado constantemente durante cuatro a\u00f1os consecutivos, con un notable incremento en los dirigidos a empresas m\u00e1s peque\u00f1as, alcanzando un 36 %. Seg\u00fan Statista<\/a>, el sector manufacturero experiment\u00f3 la mayor proporci\u00f3n de ataques inform\u00e1ticos en comparaci\u00f3n con otras industrias en 2022, seguido de cerca por el sector de finanzas y seguros. Algunos casos recientes<\/a> han implicado robos de informaci\u00f3n confidencial, lo que ha provocado importantes p\u00e9rdidas financieras para las empresas afectadas.<\/p>\n\n\n\n \u00bfQu\u00e9 es seguridad inform\u00e1tica?<\/strong><\/p>\n\n\n\n La seguridad inform\u00e1tica consiste en asegurarse de que los datos de su organizaci\u00f3n est\u00e1n a salvo de ataques por parte de actores maliciosos, tanto internos como externos. Puede abarcar un conjunto de tecnolog\u00edas, procesos, estructuras y pr\u00e1cticas empleadas para proteger redes, computadores, programas y datos frente a da\u00f1os o accesos no autorizados. El objetivo de cualquier estrategia de seguridad inform\u00e1tica es garantizar la confidencialidad, la integridad de los datos y la disponibilidad.<\/p>\n\n\n\n Hay varios medios principales mediante los cuales algunos problemas de seguridad inform\u00e1tica pueden afectar (o incluso destruir) una organizaci\u00f3n y su reputaci\u00f3n. Existe el riesgo de que un pirata inform\u00e1tico obtenga informaci\u00f3n sensible, por ejemplo, datos sobre cuentas bancarias o tarjetas de cr\u00e9dito. Hay mercados abiertos para tal informaci\u00f3n en la \u201cinternet oscura\u201d. Si otros acceden a tal informaci\u00f3n sensible, es posible que la organizaci\u00f3n encuentre que sus cuentas bancarias o tarjetas de cr\u00e9dito est\u00e9n vac\u00edas o infringiendo las leyes sobre privacidad. Cada mes, a nivel global, se producen violaciones muy medi\u00e1ticas a la seguridad inform\u00e1tica que tienen impacto en los datos personales.<\/p>\n\n\n\n Un segundo problema relacionado es que cuando un pirata inform\u00e1tico obtiene informaci\u00f3n sensible sobre la organizaci\u00f3n, es posible que esta vea su reputaci\u00f3n estropeada. Pocas organizaciones peque\u00f1as pueden sobrevivir al da\u00f1o que dicha p\u00e9rdida de datos puede ocasionar a su reputaci\u00f3n. El da\u00f1o a la reputaci\u00f3n y al prestigio puede ser m\u00e1s devastador que la propia p\u00e9rdida de datos. Es posible que la p\u00e9rdida de datos de clientes traiga consigo procesos judiciales o reglamentarios contra la organizaci\u00f3n. Un tercero podr\u00eda presentar una demanda contra una organizaci\u00f3n puesto que esta ha sufrido una p\u00e9rdida. Las organizaciones tambi\u00e9n podr\u00edan quedar sujetas a sanciones o procesos judiciales derivadas del incumplimiento de las leyes de privacidad en muchas jurisdicciones.<\/p>\n\n\n\n El aspecto m\u00e1s reciente y alarmante sobre seguridad inform\u00e1tica que ocasiona problemas considerables para las organizaciones son los programas de secuestro inform\u00e1tico (ransomware<\/em>). A principios de 2012, las denuncias sobre campa\u00f1as de secuestro inform\u00e1tico adoptaron modelos de negocio con un enfoque comercial. En muchos casos, una parte de un programa maligno (malware) se oculta y se incrusta dentro de otro tipo de documento solamente a la espera de que lo ejecute el usuario que est\u00e1 en la mira. Despu\u00e9s de ejecutarlo, es posible que el malware cifre los datos de la organizaci\u00f3n con una clave de cifrado de 2,048 bits o se comunique con un servidor de comando y control centralizado a la espera de las instrucciones que lleve a cabo el adversario. Una vez infectados, los datos de la organizaci\u00f3n siguen estando inaccesibles dado que los datos est\u00e1n cifrados mediante la clave de cifrado del atacante. Una vez que todos los datos accesibles est\u00e9n cifrados, lo cual incluye en muchos casos los datos y sistemas referentes a copias de seguridad, la organizaci\u00f3n recibir\u00e1 dentro de unos d\u00edas instrucciones sobre la forma de pagar un rescate o el adversario eliminar\u00e1 la clave de cifrado y los datos se perder\u00e1n. Literalmente, el adversario mantiene los datos hasta el rescate, de ah\u00ed lo de secuestro inform\u00e1tico. La clave de cifrado es lo suficientemente potente que descifrarla, en lugar de pagar un rescate, es poco rentable; algunos calculan que un computador de escritorio promedio se tardar\u00eda cinco cuatrillones de a\u00f1os en descifrar los datos sin la clave. En algunos casos, la organizaci\u00f3n objetivo puede esperar que algunos investigadores hayan descubierto una forma de descifrar el acceso a los datos con base en un error de dise\u00f1o. De lo contrario, la organizaci\u00f3n tendr\u00e1 que pensar en restaurar los sistemas y los datos a partir de una copia de seguridad o considerar la posibilidad de pagar el rescate. Hay que tener en cuenta que incluso la restauraci\u00f3n de los datos no elimina el riesgo de que los programas de secuestro inform\u00e1tico no se activen de nuevo o regresen bas\u00e1ndose en la integridad comprometida del entorno.<\/p>\n\n\n\n Gobernanza de la seguridad inform\u00e1tica<\/strong><\/p>\n\n\n\n Se debe establecer un plan de gobernanza y gesti\u00f3n de riesgos de la seguridad inform\u00e1tica adecuado para el tama\u00f1o de la organizaci\u00f3n. Los propietarios y los directivos tienen que considerar los riesgos para la seguridad de la informaci\u00f3n como un riesgo empresarial significativo. Este deber\u00eda estar al mismo nivel de los riesgos de cumplimiento, operativos, financieros y de reputaci\u00f3n, con criterios de medici\u00f3n adecuados y resultados que est\u00e9n bajo seguimiento y gesti\u00f3n.<\/p>\n\n\n\n Hay marcos voluntarios que se pueden utilizar para considerar la evaluaci\u00f3n de riesgos y las mejores pr\u00e1cticas relacionadas. Por ejemplo, el (NIST) Cybersecurity Framework<\/em><\/a> (Marco de Seguridad Inform\u00e1tica del Instituto Nacional de Normas y Tecnolog\u00eda [NIST, por sus siglas en ingl\u00e9s] de los EE. UU.) incluye cinco funciones concurrentes y continuas:<\/p>\n\n\n\n Protecci\u00f3n contra software maliciosos y ataques externos<\/strong><\/p>\n\n\n\n Siguen surgiendo nuevas amenazas y cada organizaci\u00f3n debe asegurarse de estar preparada para afrontar un entorno din\u00e1mico de amenazas. Las siguientes son algunas de las herramientas y soluciones m\u00e1s importantes en los sistemas utilizadas para ayudar a mitigar estos ataques maliciosos:<\/p>\n\n\n\n Todas estas herramientas son obligatorias para cualquier sistema bien administrado que utilice una estrategia exhaustiva de defensa. El costo de un ataque puede ser significativo, ya que implica p\u00e9rdida de datos, fraude y el costo de reconstruir los sistemas, y debe analizarse en comparaci\u00f3n con el costo de defenderse de tales amenazas.<\/p>\n\n\n\n Se recomienda utilizar un proveedor conocido y de buena reputaci\u00f3n. Algunas empresas fingen proveer tales herramientas, pero, de hecho, esas herramientas en s\u00ed mismas pueden ser programas maliciosos. Sea precavido a la hora de utilizar programas inform\u00e1ticos gratis o de un proveedor desconocido. Por lo general, es mejor utilizar las herramientas que recomienda la organizaci\u00f3n de integraci\u00f3n de sistemas (servicio t\u00e9cnico) del negocio, puesto que se encargar\u00e1 de su instalaci\u00f3n, configuraci\u00f3n y mantenimiento.<\/p>\n\n\n\n El mantenimiento de estas aplicaciones es fundamental, pues todos los d\u00edas aparecen nuevos programas maliciosos. La mayor\u00eda de los proveedores de software ofrecen, por lo menos, una actualizaci\u00f3n autom\u00e1tica diaria para sus bases de datos con el fin de garantizar que el sistema se mantenga protegido eficazmente. Es esencial asegurarse de que estas actualizaciones se implementen correctamente.<\/p>\n\n\n\n Planes de mantenimiento de hardware<\/strong><\/p>\n\n\n\n Deben mantenerse los contratos de mantenimiento con los proveedores de hardware, de manera que las fallas en dichos equipos se puedan rectificar r\u00e1pidamente. Estos contratos deben especificar los niveles de servicio que el proveedor ha de cumplir en caso de presentarse alg\u00fan fallo. Algunos equipos inform\u00e1ticos de vital importancia, tales como servidores, conmutadores y tecnolog\u00edas de copias de seguridad, requieren de atenci\u00f3n inmediata. Muchos contratos especifican mecanismos de respuesta de cuatro horas en caso de fallo en estos componentes. Otros equipos inform\u00e1ticos de menor importancia, tales como las estaciones de trabajo individuales, pueden tener tiempos de respuesta m\u00e1s prolongados.<\/p>\n\n\n\n Algunas organizaciones, especialmente en lugares lejanos, compran algunos componentes fundamentales que tienen una mayor posibilidad de fallar, tales como las fuentes de alimentaci\u00f3n o repuestos que pueden reemplazar r\u00e1pidamente un componente averiado. Las organizaciones que dependen de los contratos de mantenimiento deben asegurarse de que la empresa de servicio t\u00e9cnico mantenga una reserva suficiente de repuestos para cumplir con los compromisos de nivel de servicio de las organizaciones.<\/p>\n\n\n\n La calidad de la empresa externa de soporte de tecnolog\u00edas de la informaci\u00f3n (TI) para la organizaci\u00f3n es de vital importancia a la hora de garantizar la correcta implementaci\u00f3n y soporte de los sistemas. Entre los asuntos que deben tenerse en cuenta a la hora de seleccionar una empresa adecuada, aparecen los siguientes:<\/p>\n\n\n\n Personas y registro de informaci\u00f3n<\/strong><\/p>\n\n\n\n Toda organizaci\u00f3n debe establecer un plan para mitigar el riesgo de que las personas importantes no est\u00e9n disponibles en caso de presentarse alg\u00fan fallo en el sistema. Conserve una lista de datos de contactos correspondientes al personal t\u00e9cnico de reserva. Registre la informaci\u00f3n sobre la configuraci\u00f3n del hardware y las aplicaciones de software y mant\u00e9ngala actualizada para que un nuevo t\u00e9cnico pueda reconstruir r\u00e1pidamente el sistema.<\/p>\n\n\n\n Pol\u00edticas y procedimientos<\/strong><\/p>\n\n\n\n Es fundamental contar con los procedimientos adecuados de gobernanza de TI dentro de la organizaci\u00f3n. Implemente un proceso de evaluaci\u00f3n de riesgos formal y desarrolle pol\u00edticas para garantizar que se haga un uso indebido a los sistemas, adem\u00e1s aseg\u00farese de que las pol\u00edticas aplicables se revisen y actualicen de forma continua para que reflejen los riesgos m\u00e1s recientes. Lo anterior, incluye desarrollar pol\u00edticas y procedimientos de respuesta a incidentes para afrontar, rendir cuentas y ayudar a mitigar adecuadamente el costo de una posible violaci\u00f3n a los sistemas.<\/p>\n\n\n\n La educaci\u00f3n continua para todos los empleados, en lo referente a riesgos tecnol\u00f3gicos, debe formar parte del marco de gesti\u00f3n de riesgos de las organizaciones, teniendo en cuenta que las posibles violaciones a los mecanismos de seguridad se mitiguen gracias a la formaci\u00f3n y las pol\u00edticas que se difundan en todos los niveles del personal. Las pol\u00edticas deben incluir, entre otras, las siguientes cuestiones:<\/p>\n\n\n\n Es probable que cada jurisdicci\u00f3n haya sancionado y aprobado leyes que exijan que se aborden determinadas pol\u00edticas o cuestiones dentro de una pol\u00edtica espec\u00edfica. A continuaci\u00f3n, se enumeran algunas pol\u00edticas comunes que abordan el uso de sistemas, correo electr\u00f3nico, internet y el acceso a distancia.<\/p>\n\n\n\n Pol\u00edtica de uso de sistemas<\/strong><\/p>\n\n\n\n Por lo general, una pol\u00edtica de uso de sistemas describe las reglas mediante las cuales se pueden utilizar los sistemas inform\u00e1ticos de las organizaciones. Entre los ejemplos de elementos que se han de tener en cuenta en esta pol\u00edtica, se incluyen los siguientes:<\/p>\n\n\n\n Pol\u00edtica de uso del correo electr\u00f3nico<\/strong><\/p>\n\n\n\n Entre los elementos que se deben tener en cuenta en la pol\u00edtica de uso del correo electr\u00f3nico, se incluyen los siguientes:<\/p>\n\n\n\n Pol\u00edtica de uso de internet<\/strong><\/p>\n\n\n\n Entre los elementos que se deben tener en cuenta en la pol\u00edtica de uso de internet, se incluyen los siguientes:<\/p>\n\n\n\n Pol\u00edtica de acceso a distancia<\/strong><\/p>\n\n\n\n Entre los elementos que se deben tener en cuenta en la pol\u00edtica de acceso a distancia, se incluyen los siguientes:<\/p>\n\n\n\n Seguros<\/strong><\/p>\n\n\n\n Unas p\u00f3lizas de seguro suficientes deber\u00edan cubrir el costo de reemplazar la infraestructura estropeada, as\u00ed como los costos de la mano de obra para investigar el incidente, reconstruir los sistemas y recuperar los datos. Asimismo, considere una p\u00f3liza de seguros para la p\u00e9rdida de productividad como consecuencia de una falla importante del sistema o de un hecho catastr\u00f3fico.<\/p>\n\n\n\n Este art\u00edculo se public\u00f3 originalmente como <\/sub><\/em>Financial Literacy for SMEs: A Lifeline to the Lifeblood of the Global Economy<\/em><\/sub><\/a> del \u00f3rgano de contadores profesionales Institute Federation of Accountants.<\/sub><\/em><\/p>\n\n\n\n Autores: <\/strong>Steve Ursillo, Jr.<\/a> y Christopher Arnold<\/a><\/sub><\/p>\n\n\n\n \u201cEste documento titulado \u201cCybersecurity Is Critical for all Organizations \u2013 Large and Small<\/em><\/a>\u201d que la Federaci\u00f3n Internacional de Contadores (IFAC) public\u00f3 en ingl\u00e9s el 23 de octubre de 2023, lo ha traducido al espa\u00f1ol el Instituto Nacional de Contadores P\u00fablicos de Colombia (INCP) el 31 de octubre de 2023 y se utiliza con permiso de IFAC. El texto aprobado de todas las publicaciones de IFAC es aquel que IFAC publique en lengua inglesa. La IFAC no asume responsabilidad por la exactitud y completitud de la traducci\u00f3n ni por ninguna medida que se tome como consecuencia de lo anterior.<\/sub><\/p>\n\n\n\n Texto en ingl\u00e9s del documento titulado \u201cCybersecurity Is Critical for all Organizations \u2013 Large and Small\u201d,<\/em> \u00a9 2023 cuyo autor es la International Federaci\u00f3n Internacional de Contadores (IFAC). Todos los derechos reservados.<\/sub><\/p>\n\n\n\n Texto en espa\u00f1ol del documento titulado \u201cLa seguridad inform\u00e1tica es de vital importancia para todas las organizaciones (grandes y peque\u00f1as)<\/em>\u201d, \u00a9 2023 cuyo autor es la International Federaci\u00f3n Internacional de Contadores (IFAC). Todos los derechos reservados.<\/sub><\/p>\n\n\n\n T\u00edtulo original: \u201cCybersecurity Is Critical for all Organizations \u2013 Large and Small<\/em>\u201d. P\u00f3ngase en contacto con Permissions@ifac.org<\/a> con el fin de solicitar permiso para reproducir, almacenar, transmitir o darle otros usos similares a este documento\u201d.<\/sub><\/p>\n","protected":false},"excerpt":{"rendered":" En el actual mundo computarizado, surgen nuevos riesgos cada hora de cada d\u00eda. Conectarse a internet abre la posibilidad de que un pirata inform\u00e1tico ponga en la mira su organizaci\u00f3n. El cibercrimen se est\u00e1 convirtiendo en un gran negocio y el riesgo cibern\u00e9tico se est\u00e1 convirtiendo en el centro de atenci\u00f3n de las organizaciones y… \n
\n
\n
\n
\n
\n
\n
\n
Leer m\u00e1s<\/a><\/p>\n","protected":false},"author":0,"featured_media":3782,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[102,109],"tags":[],"class_list":["post-3781","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ifac","category-noticias-ifac"],"_links":{"self":[{"href":"https:\/\/incp.org.co\/revista-el-contador-publico\/wp-json\/wp\/v2\/posts\/3781","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/incp.org.co\/revista-el-contador-publico\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/incp.org.co\/revista-el-contador-publico\/wp-json\/wp\/v2\/types\/post"}],"replies":[{"embeddable":true,"href":"https:\/\/incp.org.co\/revista-el-contador-publico\/wp-json\/wp\/v2\/comments?post=3781"}],"version-history":[{"count":4,"href":"https:\/\/incp.org.co\/revista-el-contador-publico\/wp-json\/wp\/v2\/posts\/3781\/revisions"}],"predecessor-version":[{"id":3839,"href":"https:\/\/incp.org.co\/revista-el-contador-publico\/wp-json\/wp\/v2\/posts\/3781\/revisions\/3839"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/incp.org.co\/revista-el-contador-publico\/wp-json\/wp\/v2\/media\/3782"}],"wp:attachment":[{"href":"https:\/\/incp.org.co\/revista-el-contador-publico\/wp-json\/wp\/v2\/media?parent=3781"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/incp.org.co\/revista-el-contador-publico\/wp-json\/wp\/v2\/categories?post=3781"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/incp.org.co\/revista-el-contador-publico\/wp-json\/wp\/v2\/tags?post=3781"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}