Necesidades y dificultades de comunicación de incidentes de ciberseguridad entre las empresas

El pasado 5 de diciembre se ha publicado el estudio "Necesidades y dificultades de comunicación de incidentes de ciberseguridad entre las empresas" realizado por la Fundación ESYS en el que han colaborado INCIBE y el Centro Nacional para la Protección de las Infraestructuras Críticas (CNPIC).

El análisis aborda las necesidades y dificultades de comunicación de incidentes de ciberseguridad entre las empresas, y también entre éstas y los organismos implicados en materia de ciberseguridad.

- Empresas participantes en el estudio categorizadas por sector -

Una de las principales conclusiones del estudio, determina que las empresas consideran a la Administración como una de las partes que debe intervenir para resolver los incidentes de ciberseguridad, de la misma forma que lo hace para resolver el resto de tipos de incidentes de seguridad. Para ello, las empresas consideran necesario la creación de un sistema de seguridad basado en un centro de coordinación, principalmente público, pero con la conveniencia de que exista participación privada en el mismo. Se señala que este centro debe disponer de un personal multidisciplinar. Además recoge que las empresas creen que se debe definir un canal claro de comunicación con autoridad suficiente. El centro coordinador podría ser uno de los existentes como el de INCIBE o el CNPIC, con un marco regulador adecuado.

Además se recogen otras conclusiones de interés:

• Las empresas desean recibir información estructurada sobre los incidentes de ciberseguridad relevantes que pudieran afectarles de los que tengan conocimiento SOC´s y CERT’s con los que se relacionen.
• La información debería transmitirse lo más rápido y con la mayor calidad posible.

- Momento en el que las empresas desean recibir la información de los incidentes de seguridad -

• Dentro de las causas por las que las empresas no comunican sus incidentes se encuentran: la pérdida de imagen y las posibles reclamaciones de clientes y, en menor medida, con las posibles sanciones de la Administración.
• Se cree necesaria la articulación formal de un protocolo de comunicación, unificado y acordado entre el centro coordinador y las empresas.
• Los procedimientos de comunicación deben garantizar la confidencialidad e integridad de las incidencias comunicadas y, en la medida de lo posible, la disociación del origen de las mismas.

- Tipos de información de ciberseguridad más interesantes para las empresas -

• La mayoría de las empresas encuestadas les gustaría recibir información de:
  • vulnerabilidades de sus infraestructuras o similares.
  • ataques sufridos por sus clientes.
  • métodos de respuesta a los incidentes ocurridos.
• Las empresas otorgan, en general, menor importancia a:
  • los incidentes sufridos por sus proveedores.
  • relativos a protección de datos.
  • por cambios en la prestación de los servicios.
  • Las empresas que han seleccionado la opción Otros, ponen de manifiesto en sus respuestas que les gustaría disponer de todo tipo de información sobre incidentes, vulnerabilidades y correcciones que les pueda ayudar a prevenir y corregir incidentes.
• En el caso de que existiera algún delito, las empresas reclaman la existencia de una oficina cibernética de denuncias de delitos informáticos que sea ágil y aglutine tras de sí la coordinación con las entidades Público-Privadas que pudieran estar involucradas, tanto para perseguir el delito como para ayudar a decidir y articular una respuesta, de ser estratégicamente necesario.
• Las empresas ven necesaria la coordinación del Centro de Coordinación de Incidentes de Ciberseguridad español con los del resto de la Unión Europea y de otros países.
• Los empresarios sugieren realizar cambios legislativos, principalmente en materia de Protección de Datos, Código Penal e Infraestructuras Críticas.
• Según la opinión de las empresas, la Estrategia de Seguridad Nacional es potestad del Estado, por lo que consideran que gran parte de los gastos para realizar el intercambio de información deberían ser asumidos por el Estado.
• Para reforzar la Participación Público-Privada, destacan articular la participación de las empresas en la gestión, asignación y posible aportación en determinadas circunstancias a los costes del Centro de Coordinación.

Finalmente, en el propio estudio se proponen un conjunto de acciones a realizar por la Administración y las propias empresas, entre las que destacan:

1. Desarrollo de procedimientos y herramientas de intercambio de información entre empresas y CERT’s.
2. Clarificación y desarrollo de los organismos coordinadores de ciberseguridad.
3. Evolución en la legislación existente y una legislación específica de ciberseguridad.
4. Formación de expertos en ciberseguridad.

Por lo tanto desde la empresa es importante dar sus primeros pasos en la ciberseguridad para:

• Conocer y aplicar un plan de seguridad.
• Desarrollar una cultura de seguridad, recordando que no sólo debe basarse en la tecnología.
• Proteger la información y el puesto de trabajo para evitar fugas o pérdidas de información.

Estas y otras medidas están a disposición de las empresas en esta misma sección del portal web.