- Todavía no sabemos las intenciones de los piratas informáticos. ¿Es esta la razón?
Por Antonio Celso Ribeiro Brasiliano*
En la era digital, ninguna empresa está a salvo y libre de piratas informáticos. Por lo tanto, es fundamental conocer a tus oponentes, a través de sus perfiles. También se debe profundizar en el conocimiento de los perfiles de los piratas informáticos, conocer sus intenciones, de acuerdo con la norma ABNT NBR ISO/IEC 27005: 2023, tenemos que identificar el estado final deseado de los piratas informáticos. Y con este perfil planteado, podremos prospectar qué ataques, con qué nivel de tecnicismo se atacará a las empresas de determinados segmentos. Con esto conoceremos las tipologías de ataques.
La inteligencia de amenazas debe incluir este tema para que los responsables de ciberseguridad puedan planificar las medidas de seguridad en función del EFD de los hackers.
Los modelos de IA se volverán altamente sofisticados y capaces de manejar diversos conjuntos de datos que son difíciles de descifrar, como los que se encuentran en la web oscura y dentro de formularios de datos «ocultos».
A medida que los proveedores continúen innovando con Inteligencia Artificial (IA), los equipos de seguridad se sentirán más seguros de su capacidad para aumentar los flujos de trabajo de seguridad con datos de inteligencia de amenazas cibernéticas.
Tanto las empresas como los profesionales deben tener como guía el uso de la IA como herramienta para mitigar los ciberataques.
Los ciberataques son muy completos y abarcan una amplia variedad de actividades maliciosas realizadas por individuos o grupos con la intención de explotar vulnerabilidades en sistemas informáticos, redes o dispositivos conectados.
A lo largo de los años, con el crecimiento acelerado de la digitalización, los ciberataques han seguido la evolución de la tecnología. Hoy, además de ser extremadamente comunes, estos incidentes son más sofisticados y potencialmente dañinos. Para que te hagas una idea, según Cybersecurity Ventures se espera que el coste de la ciberdelincuencia alcance los 8 billones de dólares en 2023 y crezca hasta los 10,5 billones de dólares en 2025. Esto demuestra que el tema es de gran relevancia y debe ser tratado con la máxima atención, y tenemos que cambiar nuestras estrategias. Tenemos que: cambiar tu mentalidad, es decir, tenemos que cambiar nuestra forma de pensar, cambiar la forma en que nos enfrentamos a los hackers. Está claro que no está funcionando. No estamos siendo asertivos. ¡Así que tenemos que ver dónde estamos pecando!
El problema, en mi interpretación, es la falta de mapeo de los perfiles de los hackers, además de conocer los tipos de ataques y las vulnerabilidades más explotadas. Conocer más profundamente tus características y habilidades es conocer tus habilidades e intenciones, es conocer el Estado Final Deseado (EFD).
El EFD es la visión del hacker, proporciona la base para idear planes: cómo implementará el ataque para hacer realidad sus intenciones. Él decide: cuándo, qué y cómo hacerlo, de acuerdo con las condiciones existentes.
El hacker parte de la situación actual y visualiza un conjunto de condiciones deseadas, que representan el estado que se alcanzará al final del ciberataque. Tenemos que entenderlo a través de un análisis lógico.
El hacker completa esta visualización con el Enfoque Operativo: cómo se implementará el ciberataque para que pueda cumplir sus intenciones Estado final deseado (EFD).
La gran tarea de los gestores de riesgos cibernéticos es identificar las fuentes de estos riesgos, es decir, sus vulnerabilidades. Es necesario mirar al pasado y conocer la frecuencia de los ataques en el contexto del modus operandi de los hackers. Y el tercer y más importante vector es conocer, a través de los estudios de Inteligencia, el Estado Final Deseado – EFD-. Contaremos así con la Intención, Motivación y Capacidad Técnica del hacker para entrar en el entorno cibernético de la empresa.
Este concepto, originado en el ámbito de los riesgos cibernéticos, debería ser incluido por los gestores de riesgos corporativos como criterio de análisis en otras disciplinas, como la seguridad corporativa, en el contexto de las desviaciones de comportamiento que abarcan el cumplimiento de la empresa, el fraude corporativo y otras en las que el factor humano es un agente activo.
El EFD, concepto presente en la norma de seguridad de la información, ciberseguridad y protección de la privacidad, debe ser aplicado directamente por los gestores del resto de categorías de riesgo como metodología de visualización del riesgo materializado.
De nada sirve conocer los tecnicismos de los ataques y los sistemas de ciberseguridad si no sabemos cómo se pueden llevar a cabo.
Este es nuestro gran reto en este siglo XXI de cambios constantes y amenazas disruptivas. ¡Nuestro reto mundial VUCA y BANE! ¡El avance de la digitalización no puede ignorar los riesgos!
*Antonio Celso Ribeiro Brasiliano, PhD, Doutor em Filosofia da Ciência da Segurança Internacional, pela Universidade de Cambridge, Inglaterra. Presidente da Brasiliano INTERISK . abrasiliano@brasiliano.com.br
