La UE endurece la exigencia de información sobre ciberataques

Miguel Ángel Valero

El Diario Oficial de la Unión Europea (DOUE) del 25 de junio publica varios Reglamentos que endurecen las exigencias de información sobre incidentes relacionados con las tecnologías de la información y comunicación (TIC) y las ciberamenazas. 

El primero es el Reglamento Delegado (UE) 2024/1772 de la Comisión de 13 de marzo de 2024, por el que se completa el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo mediante normas técnicas de regulación que especifican los criterios para la clasificación de los incidentes relacionados con las TIC y las ciberamenazas, establecen umbrales de importancia relativa y especifican la información detallada de las notificaciones de incidentes graves.

El segundo es el Reglamento Delegado (UE) 2024/1773 de la Comisión de 13 de marzo de 2024, por el que se completa el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo mediante normas técnicas de regulación que especifican el contenido detallado de la política relativa a los acuerdos contractuales sobre el uso de servicios de TIC que sustenten funciones esenciales o importantes prestados por proveedores terceros de servicios de TIC.

El tercero es el Reglamento Delegado (UE) 2024/1774 de la Comisión de 13 de marzo de 2024, por el que se completa el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo en lo que respecta a las normas técnicas de regulación que especifican las herramientas, métodos, procesos y políticas de gestión del riesgo relacionado con las TIC y el marco simplificado de gestión del riesgo relacionado con las TIC.

Los tres Reglamentos entrarán en vigor a los 20 días de publicación en el DOUE y serán obligatorios en todos sus elementos y directamente aplicables en cada Estado miembro. 

 Recomendaciones de Hiscox para evitar ciberataques en verano

Los ciberdelincuentes no se van de vacaciones, ya que la llegada del verano aumenta la debilidad en las medidas de seguridad por parte de las empresas. Desde una disminución de personal hasta el uso de dispositivos personales o VPN públicas para realizar actividades del trabajo son circunstancias que favorecen al debilitamiento de las medidas de ciberseguridad en las empresas, lo que se convierte en una oportunidad perfecta para que los ciberdelincuentes lleven a cabo más ataques.

En un contexto en el que, de acuerdo con el Informe de Ciberpreparación 2023, los ciberataques a empresas aumentaron por tercer año consecutivo, la aseguradora Hiscox destaca las principales claves que pueden ayudar a las empresas a predecir un ciberataque y, por lo tanto, actuar de una manera proactiva como parte de su gestión del ciberriesgo.

• 1. Analizar los datos sobre incidentes de seguridad y almacenarlos de manera centralizada: El 53% de las empresas sufrieron ciberataques en el último año. Por lo tanto, si las compañías tienen en consideración sus antecedentes cibernéticos, éstas pueden almacenar en un solo lugar toda la información referente a los incidentes que han sufrido para así poder analizarla y, por lo tanto, encontrar puntos débiles que pueden mejorar y reforzar de ahora en adelante.
• 2. Realizar pruebas de penetración y evaluaciones de vulnerabilidad: Así, antes de comenzar una de las épocas de mayor vulnerabilidad para las empresas, éstas deben asegurar que están protegidas en su totalidad. En este sentido, una de las acciones que pueden llevar a cabo es hacer pruebas, simular un ataque, para evaluar cómo se encuentra la seguridad del sistema y entender su grado de vulnerabilidad a diferentes ataques.
• 3. Comprobar y arreglar vulnerabilidad y actualizar software: Una vez identificadas las vulnerabilidades a las que se enfrentan las empresas, es posible corregir las debilidades que se hayan encontrado y así, evitar sufrir, en la medida de lo posible, otros ciberataques. Las formas más comunes de enfrentarse a este problema es a través de parches, actualizaciones de software, reconfiguración de sistemas o la implementación de controles adicionales. Sin embargo, es importante tener en cuenta que los parches de software tienen un ciclo vital que debe ser revisado constantemente para, en caso de ser necesario, hacer actualizaciones en lossistemas y programas informáticos.
• 4. Aplicar la autenticación multifactor (AMF) y proporcionar redes privadas virtuales (VPN): Por otro lado, teniendo en cuenta que en su mayoría los empleados estarán fuera de las oficinas, es importante ofrecerles la mayor cantidad de herramientas posibles para llevar a cabo su trabajo desde donde se encuentren. Así, pueden habilitarse autenticaciones multifactoriales, con lo que a través del conjunto de contraseñas, tokens o uso de huella digital puede confirmar que son ellos. Esto, aunado a contar con redes privadas virtuales, disminuirá el riesgo de que otras personas puedan acceder a la información sensible de las empresas.
• 5. Inspeccionar y detectar en las comunicaciones cifradas mensajes sospechosos: Es importante también hacer revisiones constantes de las comunicaciones codificadas que entran y salen de los sistemas, para poder identificar patrones o comportamientos que podrían implicar actividades sospechosas - por ejemplo, la transferencia de datos inusuales- para evitar un nuevo punto de entrada a los ciberdelincuentes. Además, es posible bloquear cualquier contenido que desde un inicio sea potencialmente peligroso y una amenaza para las compañías.
• 6. Identificación de nuevos activos de hardware/software y datos en la red: si las empresas llevan a cabo un registro de todos los nuevos dispositivos, aplicaciones y datos que se añaden a la red, tienen una mayor oportunidad de mejorar el control de los activos de la empresa y, por lo tanto, asegurarlos de la mejor manera posible. Además, al hacer este ejercicio, también es posible identificar y eliminar cualquier software malicioso que encuentren a través de antivirus.

“En Hiscox incitamos a las empresas, sin importar su tamaño ni sector, a no bajar la guardia durante una época que representa una oportunidad perfecta para los ciberdelincuentes que quieran atacar. Una estrategia de prevención proactiva, más que reactiva, es la mejor aliada de las compañías para asegurar su protección. Si a esto le sumamos un ciberseguro en el que confiar, las empresas y sus empleados pueden disfrutar tranquilamente de los meses de verano, con la seguridad de que su información está completamente protegida”, afirma Ana Silva, responsable de Suscripción de producto Ciber en Hiscox Iberia.