Como se puede apreciar en el informe conjunto de everis y la IE Law School: Tecnología en banca: la oportunidad de cumplir y competir de 2018, según la Comisión Europea se producen 4.000 ataques de ramsonware (programas que bloquean los dispositivos de forma remota y exigen el pago de un rescate a cambio de proceder a su liberación) todos los días, lo que supone un aumento del 300% con respecto a 2015. El cibercrimen tiene un coste a nivel mundial de alrededor de 900.000 millones de euros anuales, de los cuales la Unión Europea paga 256.000 millones.
Lucha contra la vulnerabilidad de los riesgos informáticos
Las entidades financieras están particularmente expuestas a este tipo de amenazas como consecuencia de su contacto permanente con el público a través de múltiples canales. Las mismas necesitan recopilar y utilizar información sensible del usuario para su correcto funcionamiento y con fin de aumentar la seguridad en sus productos financieros y en los procesos de pago. Todo ello las convierte en el principal blanco de la ciberdelincuencia.
A medida que estas amenazas van en aumento adquieren más importancia en los debates internacionales. En la cumbre del G20 de julio de 2017 la Junta de Estabilidad Financiera (FSB, por sus siglas en inglés) alertó del riesgo que representan los ataques informáticos para la estabilidad y cooperación internacional financiera y destacó la necesidad de mejorar la evaluación de riesgos y la capacidad de respuesta y recuperación ante los ciberataques.
Cuando se trata de supervisar y controlar los riesgos, las respuestas difieren bastante según las fronteras y las entidades. En un esfuerzo por estandarizar los procedimientos, el Mecanismo Único de Supervisión (MUS) de la Unión Europea ha revisado los peligros que suponen los ataques de ciberseguridad implementando un sistema para la comunicación de incidencias en un esfuerzo por estandarizar la identificación de los mismos y, en consecuencia, las medidas necesarias que deben ser adoptadas por las entidades financieras. En colaboración con la Autoridad Bancaria Europea (ABE) se han implementado pautas para ayudar a las entidades financieras a autoevaluarse en un esfuerzo por aminorar los riesgos informáticos.
En 2016 se aprobó en Europa la Directiva sobre seguridad de redes y sistemas de información, que requiere que todos los estados miembros implementen una estrategia a nivel nacional que garantice la seguridad de la información. La cooperación estratégica, el intercambio de información y la creación de una red para responder a las amenazas de seguridad forman la base de la misma. Dicha directiva describe los requisitos de seguridad para dos categorías de operadores:
- Operadores de servicios esenciales como salud, agua y operaciones bancarias, para los cuales las violaciones de seguridad podrían tener graves consecuencias sociales y económicas.
- Proveedores de servicios digitales, simplificando la forma en que los motores de búsqueda, los servicios en la nube, etc. gestionan la seguridad y las incidencias.
La Comisión Europea, en su misión por apoyar a los Estados miembros y fortalecer la respuesta de la Unión Europea ante los ataques informáticos, también ha propuesto la creación de la Agencia Europea de Ciberseguridad para establecer un plan rápido de respuesta ante los ataques informáticos a gran escala, diseñar un fondo de respuesta de emergencia, así como la preparación de una nueva directiva para combatir el fraude de medios de pago distintos al efectivo.
Reglamento para fortalecer la seguridad de los bancos
El reglamento de ciberseguridad de la UE fue propuesto como parte de un conjunto de medidas de amplio alcance destinadas a mejorar y reforzar las medidas en este ámbito. y, para cumplir con él las entidades financieras deben:
- Asumir la ciberseguridad como un aspecto importante del negocio e integrar dicha gestión en los sistemas de cumplimiento y seguridad tecnológica.
- Definir un marco a partir del cual identificar riesgos, detectar irregularidades y planificar la recuperación en caso de un ataque.
- Tener en cuenta las experiencias pasadas y contar con profesionales en materia de ciberseguridad.
- Establecer estructuras de defensa de primera y segunda línea en la gestión de riesgos.
- Asegurarse de que todo el personal, desde los cargos directivos hasta los mandos de nivel más bajo, entienden la exposición al riesgo y cómo gestionarlo.
- Disponer de la infraestructura tecnológica necesaria para dar soporte a los procedimientos de seguridad.
Soluciones ante las brechas tecnológicas
La ciberdelincuencia evoluciona constantemente. El uso de la tecnología debe progresar eficazmente y de forma paralela a fin de proteger satisfactoriamente a las entidades y los individuos. Adaptarse a nuevos riesgos requiere de una tecnología cada vez más innovadora en la lucha contra delitos cada vez más agresivos y con gran capacidad de propagación.
A medida que los cibercriminales se vuelven más creativos, puede ser difícil mantenerse al día. En los últimos años han aumentado los fraudes de suplantación de identidad y los de pharming, práctica que consiste en engañar a los usuarios para que faciliten información confidencial, junto a los ataques de denegación de servicio (DDoS) que comprometen infraestructura esencial. Asimismo, los ataques de malwareless (acrónimo de programas sin malicia) que controlan los sistemas mediante las herramientas de administrador son difíciles de detectar, a diferencia de los ataques a través de programas externos, que también suponen una amenaza significativa. Pero la tecnología se ha convertido en una potente herramienta para hacer frente a estas nuevas variantes de ataques informáticos, y las entidades financieras implementan cada vez más las últimas tecnologías a fin de reducir los riesgos de forma más eficaz:
- La tecnología Blockchain ofrece un entorno de seguridad para un intercambio de información confidencial mediante el uso de herramientas de encriptación tanto públicas como privadas.
- Los sistemas de aprendizaje automático (machine learning) se utilizan para supervisar el comportamiento y detectar desviaciones sospechosas con respecto a lo esperado, lo que ayuda a identificar y comunicar ataques de programas malwareless.
- Los servicios en la nube proporcionan un importante ahorro de costes en infraestructuras y una mayor agilidad y flexibilidad.
En este acelerado proceso de transformación digital, la estandarización de las normativas y la innovación tecnológica son esenciales para mantener el control sobre la información confidencial y de esta forma poder reducir el riesgo y los efectos de los ataques informáticos.
Fuentes:
El ‘fintech’ y la ciberseguridad, prioridades de la regulación europea
Resilience, Deterrence and Defence: Building strong cybersecurity in Europe
Cyber attacks cost global economy $817b a year: Think-tank