Las organizaciones empiezan a valorar la importancia de ser proactivas en materia de seguridad, según revela un estudio realizado por Dimension Data e IDC.
Cuando los tiempos se ponen difíciles en materia económica, las empresas miran más que nunca con lupa sus inversiones. Este es precisamente uno de los aspectos fundamentales, junto con el panorama actual de amenazas y la implementación de tecnologías de Prevención de Fuga de Datos (DLP por sus siglas en inglés), que aborda un estudio realizado por Dimension Data en colaboración con IDC.
El estudio declara que las cuestiones de seguridad que más preocupan a las organizaciones son: el robo o pérdida de PCs con el 54%, los ataques de spam en un 45%, el abuso o hacking con 45%, y las herramientas de espionaje alcanzando un 45%.
Según la definición de la firma líder de análisis, Gartner, las tecnologías DLP son «aquellas que – como función básica – realizan una inspección a fondo del contenido de datos en reposo o en movimiento y pueden desempeñar un cierto nivel de adopción correctiva basada en políticas de la empresa, las cuales pueden ir desde una simple notificación hasta el bloqueo total».
El informe sobre el estado de la seguridad de las TI incluye los resultados de 407 entrevistas realizadas a directivos de compañías (de más de 500 trabajadores) presentes en 18 países cubriendo América, Europa Occidental, Oriente Medio y África, y Asia-Pacífico.
Una estadística de Gartner señaló que de 85 a 90% de las fugas de información son por accidente o resultado de procesos mal ejecutados, por ejemplo, mandarle un mensaje a un destinatario equivocado porque coincide su correo al ser completado automáticamente con el de otra persona.
Panorama de seguridad
Los participantes afirmaron que las brechas de seguridad por causas externas (52%), el abuso intencional interno (49%), el abuso de acceso remoto (47%), el robo de identidad (47%) y los ataques de virus (43%) serán los incidentes más peligrosos a los que tengan que hacer frente.
Es preocupante que las organizaciones estén afrontando las amenazas de forma reactiva, con un enfoque ad-hoc, y sin poner en marcha controles de seguridad básicos. Desde la experiencia de Dimension Data, realmente no importa lo sofisticadas que sean las soluciones puntuales. Si las organizaciones no han implementado las cinco categorías principales de control de seguridad: firewall, prevención de intrusiones, seguridad de sistema, seguridad de contenido web y seguridad de contenido de email, entonces están enfocándose solamente en un 20% del riesgo, quedando expuestas un 80%.
Prevención de fuga de datos
De acuerdo al estudio, las organizaciones creen que sufrirán fugas de datos en alguna etapa, aunque ésta será accidental y no maliciosa. El hecho de que un 57% de las compañías entrevistadas confirme tener planificado invertir en tecnología DLP indica una amplia aceptación de la necesidad de complementar el enfoque de seguridad centrado en la red al agregar seguridad de datos.
En cuanto a las amenazas intencionales, tanto internas como externas, estas requieren un sistema de defensa más sofisticado, complicado, pero no necesariamente caro. El combate a los ciber-criminales requiere una colaboración propositiva mucho más intensa de parte de la industria y un fuerte ecosistema de seguridad, construido alrededor de un proceso de desarrollo común, enfocado en riesgos.
Por otra parte, 45% de las organizaciones encuestadas creen que la fuga de datos es más probable que se produzca por errores humanos de los empleados que por hackers externos con intenciones maliciosas, lo cual representaría al 15% de las empresas.
El 85% de los encuestados cree que la pérdida de datos a través de hacking externo es “muy improbable”, y un 55% percibe que sólo tiene un “impacto moderado” o “ninguno” en sus negocios. Pero resulta interesante que más de un 60% considera que es improbable que se vean afectados por un ataque de virus.
Además, cabe destacar que con el incremento en los despidos en el actual clima económico, la probabilidad de que un empleado deliberadamente destruya o robe información sensible de la organización ha incrementado.
La mayoría de las soluciones de seguridad está centrada en el perímetro como son los firewalls, VPNs, etc. y en los recursos tales como laptops o servidores. Mientras son componentes necesarios de una completa estrategia de seguridad, protegen la infraestructura que contiene la información, y no los datos.
Para enfrentar estos retos, las compañías se están moviendo hacia las tecnologías DLP, ya que se trata de un enfoque integral de la protección de la información, en vez de simplemente proteger las redes y sistemas. Crea barreras automáticas y técnicas tanto para los errores humanos como para los ataques maliciosos.
La tecnología DLP permite definir e implementar una política de seguridad efectiva para el flujo de información para poder mantener el control de los datos críticos, previniendo violaciones accidentales a las políticas de cumplimiento y confidencialidad, y soportando la ubicación del usuario mientras utiliza ordenadores portátiles o dispositivos más pequeños.
Inversión en seguridad de TI
El estudio muestra que las organizaciones están empezando a darse cuenta del valor de tomar un enfoque proactivo hacia la seguridad, a pesar de que sólo un 19% de las compañías incrementó su gasto en TI de 2008 a 2009. Un 41% recortó su gasto en TI, principalmente debido a la actual recesión económica. Por su parte, casi un 60% de las organizaciones destinó una media de un 10% de sus presupuestos al área de seguridad.
Las compañías entrevistadas están cambiando su enfoque de inversión en soluciones puntuales por un enfoque más integral. Así, un 59% tiene planificado invertir en auditorías de seguridad, un 57% en prevención de pérdida de datos y un 52% en servicios de consultoría.
Estos resultados indican una mayor comprensión entre las organizaciones de que reaccionar a los incidentes de seguridad y la adquisición de tecnologías puntuales sin tener en cuenta cómo encajan entre ellas, es más costoso y menos efectivo que planificar una estrategia integral.
Cumplimiento de normativas
Las fallas en la seguridad de TI en los últimos años han demostrado el hecho de que cumplir con cierta legislación y normativas no necesariamente equivale a estar protegido. La escala del crimen electrónico en el área de redes wireless y en Internet se está expandiendo a niveles muy altos. El estudio revela que las grandes organizaciones con más de 1.000 empleados tienden a cumplir mejor con las normativas que las pequeñas. Además, las compañías en América y en el sector público se preocupan más por las regulaciones de seguridad TI que en otras regiones o industrias. Esto deja a un enorme conjunto de organizaciones que no están haciendo lo suficiente para cumplir con las regulaciones o para estar protegidas.
