En México la falta de awareness dificulta la seguridad efectiva de TI

Este año 2023, las compañías mexicanas enfrentarán la gigantesca tarea de prepararse para el nivel de amenazas en el ciberespacio, el cual se ha elevado aún más desde el comienzo de la guerra en Ucrania. Las herramientas tecnológicas de apoyo como el software de orquestación, automatización y respuesta de seguridad (SOAR, por sus siglas en inglés) se han utilizado menos en México en comparación con países de la región LATAM como Brasil con 54% de usuarios de SOAR o países a nivel mundial como EUA y Singapur que lo usan en un 65%. En nuestro país sólo 4 de cada 10 de empresas utilizan SOAR, como parte de sus procesos de gestión de incidentes. 

Aunque el verdadero reto para los equipos de TI del país es atacar la falta de awareness cuando se trata de amenazas graves que acechan la seguridad. Casi la mitad de los equipos de seguridad en México (47%) ha tenido dificultad para aplicar parches por usar una versión antigua de software. Y explican que la razón de esto es que ni siquiera sabían que una nueva versión estaba disponible (60%). Estos son los hallazgos de la segunda parte del estudio “OTRS Spotlight: Corporate Security”, llevado a cabo por la empresa de software, OTRS Group, en colaboración con la compañía de investigación de mercado, Pollfish, realizado entre 500 empleados en equipos de seguridad de TI en todo el mundo, incluidos 100 pertenecientes a México.  

SIEM, SOAR, gestión de vulnerabilidades: beneficios claros, uso expansible

A pesar de la baja tasa de uso, los beneficios de las herramientas como SOAR parecen ser claros para la mayoría del personal de seguridad de TI en México que participaron en la encuesta. El 40% de los encuestados que no lo usan actualmente, indican que planean incorporar el software en un futuro. El retorno de la inversión es prometedor: dos tercios de los participantes a nivel mundial (66%) que ya usaban SOAR afirman que les ha simplificado trabajar con TI. Más de la mitad (56%) confirman que los protege contra los impactos de los incidentes de seguridad futuros. A pesar de las grandes ventajas, aún existen empresas en México (17%) que no tiene planes de incorporar SOAR a corto plazo. Otro 3% simplemente no sabe si ya utilizan o planean incorporar alguno. 

En México las herramientas de seguridad de la información y gestión de eventos (SIEM, por sus siglas en inglés) (67%) y gestión de vulnerabilidades (82%) se utilizan con mucha mayor frecuencia que el software SOAR, números similares a nivel mundial si lo comparamos con el promedio de todos los países encuestados (77% y 81%). Las herramientas de gestión de vulnerabilidades ayudan principalmente a quienes ya usan alguna para resolverlas y mejorar la protección (72%), para estructurarlas y documentarlas (61%) y para detectar las vulnerabilidades más rápido (51%).

La falta de awareness dificulta una seguridad de TI eficaz

En nuestro país, el principal reto es la falta de conciencia entre los colaboradores sobre entender las consecuencias de usar un software desactualizado. Como lo mencionamos al inicio, en los resultados de la encuesta de este año casi la mitad (47%) de los equipos de seguridad en México tuvo problemas para aplicar parches por usar una versión de software desactualizada, una tendencia que no ha cambiado si la comparamos con los resultados del 2021 (48%) en este mismo rubro. Para este año, el 60% explicó que la razón de esto es que ni siquiera sabían que una nueva versión estaba disponible y un preocupante 34% indicó que una de las razones por la que no usaban la última versión del software era porque no dimensionaban las graves consecuencias que esto les atraería.  

También otro reto a nivel mundial es la necesidad de ahorrar costos en las soluciones que ya se encuentran en uso, ya que al hacer recortes aumentan los riesgos de seguridad. Un problema que no es tan grave en México ya que el presupuesto para mantener actualizadas las soluciones que ya se encuentran en uso no es un problema significativo (19%) si lo comparamos  con el promedio mundial (31%).

“Todos los días, los nuevos ataques a los departamentos de TI de las compañías de todas las industrias y tamaños se difunden públicamente. Sin embargo, muchas optan por ignorar este problema y no proporcionan a sus equipos de TI y seguridad los medios necesarios para protegerse lo mejor posible contra los ciberataques ni para prepararse para el peor escenario, ya sea porque subestiman la amenaza o porque no desean realizar las inversiones necesarias”, señala Christopher Kuhn, director de operaciones (COO, por sus siglas en inglés) de OTRS Group y director general de OTRS Inc. “Estas compañías están jugando con fuego. Escatimar en herramientas técnicas de seguridad de TI es igual a un departamento de bomberos sin camión de bomberos. Las herramientas no podrán coartar todos los intentos de ataque, pero mitigarán el daño”.

¿Cuestión de confianza? Los proveedores gubernamentales ganan confiabilidad

El uso de diferentes fuentes de información sobre vulnerabilidades ha cambiado respecto al año pasado. Más de la mitad (56%) de los equipos de seguridad mexicanos obtienen actualmente información sobre vulnerabilidades de las listas de correo (mailings). En segundo lugar, se ubica la consulta a través de las listas de fallas de seguridad informática divulgadas públicamente y por instituciones gubernamentales de otros países (50%) y en tercer lugar se encuentra la consulta de información sobre vulnerabilidades a través de los proveedores gubernamentales (27%). Esta última aumentó un 286% comparado con el 2021, dónde sólo el 7% de los departamentos de TI en México utilizaban al gobierno como fuente confiable. Este año, en último lugar quedaron las consultas a través de vendedores (23%) y proveedores comerciales (21%). 

Un plan de manejo de incidentes como fundamento, pero con mayor awareness

Si bien la gran mayoría de las compañías encuestadas ya cuentan con las bases para una infraestructura de seguridad de TI sólida: en México, el 95% cuenta con un plan de manejo de incidentes. Y pese a que cerca de dos tercios (62%) han encontrado particularmente útil optimizar sus esfuerzos de seguridad de TI y evitar consecuencias más graves; mientras que la mitad (48%) ha encontrado útil documentar y estructurar los incidentes, sólo un tercio (35%) de los encuestados sabe cómo actuar de acuerdo con el plan de manejo de incidentes.

Cuando se trata de mapear sus procesos de seguridad como parte de la gestión de incidentes de seguridad, las empresas en México por lo general combinan varias infraestructuras. Con 66%, las normas ISO/IEC 27035 se utilizan con mayor frecuencia, seguido por CERT (17%), NIST (15%) y KRITIS (11%). Sólo el 10% no utiliza ninguna infraestructura para mapear sus procesos de seguridad. 

“La gran mayoría de las compañías ya cuentan con las bases para una buena seguridad de TI. Ahora, es importante aplicar y profundizar esas bases, ya que los planes de gestión de incidentes no bastan por sí solos para comportarse de manera segura y, por lo tanto, para proteger la empresa a largo plazo”, dice Christopher Kuhn. “Por una parte, el foco debe colocarse en difundir las fuentes de riesgos de seguridad y las medidas preventivas necesarias en toda la compañía. Y por la otra, los ejecutivos no deberían dudar en invertir en herramientas para ayudar a su equipo a incrementar la seguridad y a reaccionar rápida y eficazmente ante una emergencia”.