Una organización empresarial puede sufrir una interrupción grave de sus servicios sin que exista un atacante detrás. Esa es una de las lecciones que Damián López, director de Seguridad de la Información en Asociación Cibao de Ahorros y Préstamos, expuso durante el XXIX Congreso Internacional de Finanzas y Auditoría (CIFA) y el XXIV Seminario Latinoamericano de Contadores y Auditores (Selatca) al analizar distintos incidentes internacionales.
López citó el caso de TSB Bank, cuya migración de sistemas afectó a sus clientes y posteriormente derivó en una multa de 48.65 millones de libras por parte del regulador. Para el ejecutivo, el episodio muestra la relevancia del gobierno y de la gestión de terceros y de servicios externalizados.
También mencionó el caso de CrowdStrike, donde una actualización de los sensores Falcon para estaciones Windows provocó una caída masiva de sistemas. López señaló que el problema no fue provocado por un atacante, sino por una actualización que, según explicó, llegó a producción sin haber pasado adecuadamente por los procesos de prueba.
Estos casos muestran que la confianza digital también puede deteriorarse por decisiones internas o por la dependencia de proveedores tecnológicos. “No toda confianza digital se puede ver afectada solamente detrás de un atacante”, sostuvo López.
El ejecutivo también puso como ejemplo el incidente sufrido por BancoEstado en 2020, donde se mantuvieron activos sistemas críticos y hubo comunicación con los clientes sobre sus fondos y cuentas. Para López, la resiliencia no significa necesariamente que no exista impacto.
La resiliencia, explicó, consiste en poder sostener aquello que es crítico, aun cuando una organización sea afectada. También requiere contar con capacidades para responder y recuperarse después del incidente. “La resiliencia es algo que se construye desde antes”, afirmó.
López planteó que las organizaciones deben conocer qué terceros forman parte de su operación, qué procesos pueden detenerse sin afectar la estrategia y si están preparadas para tomar decisiones bajo presión y con información incompleta.
A su juicio, la preparación también implica distribuir las responsabilidades durante una crisis. Mientras algunos equipos deben concentrarse en contener el incidente, otros deben encargarse de las coordinaciones y de observar elementos que no son visibles en la primera capa del problema.
