"Las consecuencias de los fallos de seguridad serán cada vez más graves"

Fernando Anaya, country manager de Proofpoint, cree que en España todavía existe una desconexión entre la alta directiva de las empresas y los CISO en cuanto a riesgos cibernéticos.

Teniendo en cuenta el repunte actual de ciberataques, ¿cuáles son los principales desafíos que encara la industria para 2023?

Las organizaciones siguen intentando ver cómo invertir recursos para hacer frente a los riesgos en ciberseguridad, pero ahora este reto es mucho más complicado. Las turbulencias que se están viviendo en el entorno actual por la recesión económica y conflictos globales, unidas a la creciente complejidad de nuestros sistemas digitales interconectados, han creado un nuevo tipo de riesgo sistémico mundial. Si en cualquiera de los puntos conectados se produce un fallo importante, debido a ataques de ransomware u otras vulnerabilidades, puede desencadenarse un enorme efecto dominó que afecte a múltiples organizaciones. Las consecuencias de esos fallos serán cada vez más graves, desde interrupciones operativas hasta multas o pérdidas de ingresos, con la dificultad añadida de que costará más detectar las ciberamenazas. Mientras tanto, las personas continuarán como uno de los mayores riesgos intrínsecos de toda organización. Según un informe de Verizon, en el 82% de las filtraciones de datos está implicado el factor humano. Cada individuo es un objetivo de lo más vulnerable, y un vector de ataque en sí mismo, al que se dirigirán los ciberdelincuentes con sus amenazas constantemente.  

¿Qué tendencias tecnológicas dominarán en el 2023? ¿En qué proyectos trabaja la compañía?

Entre las previsiones para 2023 destacamos que el ransomware seguirá siendo una de las tácticas más elegidas por los ciberdelincuentes, pero aumentará su complejidad. Es posible que veamos un aumento de técnicas de doble extorsión en ransomware para extraer grandes cantidades de datos confidenciales antes de cifrar los archivos robados, exigiendo al mismo tiempo rescates altísimos a aquellas organizaciones que quieran recuperarlos. Incluso, será tendencia la triple extorsión mediante la cual se pedirán pagos no solo a la organización objetivo, sino a cualquier otra que pueda verse afectada. Los atacantes seguirán innovando para explotar la tecnología a su favor y aprovecharse de la vulnerabilidad humana o, por ejemplo, de la confianza que depositan las empresas en partners y proveedores de su cadena de suministro. Eludir la autenticación multifactor (AMF) continuará en el punto de mira de los atacantes a través del uso de novedosos kits de phishing para robar tokens u obtener fácilmente credenciales de usuarios. Asimismo, el comercio de herramientas de hackeo en la dark web estará plenamente en auge, lo que hará que proliferen ataques para los que se necesite tiempo y escasos conocimientos técnicos, al igual que sucederá con una cada vez más accesible tecnología deepfake para fraudes del CEO, de identidad o control de cuentas. Por parte de Proofpoint, la compañía ha seguido innovando a un ritmo rápido en los últimos años e invertirá fuertemente en tecnología este 2023 y también en adelante.

"Los atacantes seguirán innovando para explotar la tecnología a su favor y aprovecharse de la vulnerabilidad humana"

Nos encontramos ante un momento de consolidación del mercado con multitud de fusiones y adquisiciones en busca de plataformas holísticas. ¿Cómo ve este panorama la empresa?

En Proofpoint mantenemos un fuerte compromiso con la innovación y el crecimiento para poder aportar una tecnología líder en ciberseguridad que dificulte al máximo las intenciones maliciosas de los atacantes, ampliando y optimizando nuestras capacidades para seguir garantizando la seguridad de las personas y de los datos corporativos. Prueba de ello es nuestra reciente adquisición de Illusive, pioneros en detección y respuesta a amenazas de identidad, que ampliará la protección de la información en amenazas críticas como el ransomware y las filtraciones de datos. Asimismo, hemos trabajado en integraciones de nuestras soluciones con las de otras compañías tecnológicas líderes para que los equipos de seguridad estén mejor equipados y tengan más visibilidad de amenazas en varios niveles, desde el correo electrónico, que sigue siendo el principal vector de ataque, hasta endpoints. Dentro del sector, estamos bien posicionados para nutrirnos de experiencias y seguir desarrollando nuestra oferta para prevenir, defender y responder ante las amenazas de ciberseguridad actuales y del futuro.  

¿Qué nota le daría a la madurez del ecosistema español de empresas, administraciones públicas y ciudadanía en cuanto a ciberseguridad?

En España, al igual que sucede en otros países, existe una desconexión entre los consejos de administración de las empresas y los CISO en evaluación de riesgos de ciberseguridad. En 2022, según un informe de Proofpoint y Ciberseguridad en MIT Sloan, el 68% de las juntas directivas cree que su empresa puede sufrir un ciberataque, pero solo el 31% de los CISO está de acuerdo con esta afirmación. Hay margen de mejora en la relación entre ambos para poder alinear prioridades con las que aumentar la protección y resiliencia de las organizaciones. Uno de los factores que puede ayudar al cambio es utilizar el mismo lenguaje empresarial. Los CISOs deben informar acerca de vulnerabilidades y riesgos sin emplear la jerga tecnológica propia de la ciberseguridad, con regularidad y de manera que su mensaje cale entre los miembros con posiciones ejecutivas de la empresa. Por otro lado, tomando una perspectiva más amplia, constatamos la necesidad de que desde el sector público y privado se unan más para abordar el problema de la ciberseguridad de forma urgente, así como para aumentar la capacidad de recuperación ante incidentes. Todo esto debe suceder en 2023 a fin de que podamos defendernos con éxito de ciberataques que serán cada vez más potentes.