Europa ve más hacktivismo, ecos del RGPD y nuevas leyes de seguridad en 2024

Un panorama geopolítico en evolución ha impactado la ciberseguridad en Europa este año, planteando desafíos particulares para proteger la infraestructura crítica y los datos confidenciales.

La guerra de Ucrania y el conflicto en Gaza han provocado un aumento del hacktivismo, y las bandas de ransomware se han destacado por explotar rápidamente nuevas vulnerabilidades críticas para obtener acceso temprano a muchas organizaciones.

Esto se ve exacerbado por el hecho de que los actores de amenazas tienen más acceso a diversas opciones de automatización, ya sean kits de herramientas de comando y control (C2) fácilmente disponibles, IA generativa (GenAI) para respaldar sus esfuerzos de phishing o ransomware disponible comercialmente en la web oscura.

Según Max Heinemeyer, director de productos de Darktrace, la infraestructura crítica es ahora más que nunca el objetivo de los atacantes.

«Es bueno ver que en los últimos años varias leyes lo reconocen, incluida la directiva europea NIS2, pero también leyes locales, como la Ley de seguridad informática 2.0 en Alemania», afirma.

Hacktivismo e infraestructura crítica

El Conflicto en Ucrania dominó el comienzo del año con la amenaza de Ciberataques contra estados-nación y contraataques que potencialmente escapen del teatro de guerra a los Estados Unidos ecosistema cibernético europeo más ampliodice Gareth Lindahl-Wise, CISO de Ontinue.

«La infraestructura crítica seguirá siendo un objetivo tanto para fines propagandísticos como para fines de perturbación real», afirma. “Se siguen buscando activamente datos confidenciales para obtener ventajas militares operativas, fines de extorsión criminal y ventajas comerciales y de estado-nación”.

La Agencia de Ciberseguridad de la Unión Europea (ENISA), la agencia de la UE comprometida con lograr un alto nivel común de ciberseguridad en toda Europa, realiza un análisis anual de amenazas a la ciberseguridad y publica los resultados de sus conclusiones en su Informes sobre el “panorama de amenazas”.

Según la portavoz de ENISA, Laura Heuvinck, la agencia registró alrededor de 2.580 incidentes en el período comprendido entre julio de 2022 y junio de 2023.

«De este total hay 220 incidentes que apuntan específicamente a dos o más estados miembros de la UE», dice. «En la mayoría de los casos, las mayores amenazas pueden estar motivadas por una combinación de intenciones, como ganancia financiera, perturbación, espionaje, destrucción o ideología en el caso del hacktivismo».

El Política NIS2 El texto contiene disposiciones para aumentar los requisitos de ciberseguridad para los servicios digitales utilizados en áreas críticas de la economía y la sociedad, incluidos sectores como la gestión de residuos y la fabricación.

El trabajo híbrido y sus desafíos de seguridad

La transformación digital está creando una complejidad cada vez mayor para los defensores, y en los últimos años se ha observado un aumento significativo del trabajo remoto e híbrido, las políticas BYOD (traiga su propio dispositivo), la adopción de múltiples nubes y las tendencias de la Industria 4.0, así como cadenas de suministro más digitalizadas, dice Darktrace Heinemeyer.

“Hacer un seguimiento de esta complejidad es el verdadero desafío para las empresas”, afirma. «Cada vez es más difícil entender sus riesgos y lo que necesitan defender».

Esta complejidad está siendo rápidamente explotada por actores de amenazas que continuamente intentan irrumpir en las organizaciones mediante phishing dirigido, vulnerabilidades cibernéticas y compromisos de la cadena de suministro.

«Las organizaciones se están adaptando mediante el uso de IA para superar esta complejidad y detectar actividades anómalas de manera temprana, y consolidando la visibilidad en menos paneles de vidrio», afirma Heinemeyer.

Impacto y aplicación del RGPD

El Reglamento General de Protección de Datos (RGPD), una ley integral de protección de datos implementada por la UE en mayo de 2018, se ha convertido verdaderamente en el «martillo de rigor» regulatorio, con muchas sanciones multimillonarias, dice el vicepresidente de Coalfire, Andrew Barratt.

«El Leyes sobre servicios digitales y mercados digitales. «Las medidas apuntan a nivelar el campo de juego, pero a veces se ven como un ataque a las grandes empresas tecnológicas, predominantemente con sede en Estados Unidos, para las cuales la UE no tiene una respuesta real y que podría decirse que están perdiendo terreno frente a China», señala.

Según Lindahl-Wise de Ontinue, el RGPD sin duda ha generado un nivel significativo de concentración y energía entre el personal de la función de seguridad para comprender mejor qué datos tienen, dónde se encuentran, cómo se protegen y con quién se comparten.

«Además de los elementos ‘consentimiento’ y ‘derecho de uso’, estos deberían haber sido la base central para la seguridad de los datos desde el principio», afirma. «Existe el riesgo de que los datos comercialmente sensibles pero no personales desempeñen un papel subordinado en la priorización».

La UE ha tomado numerosas medidas en los últimos años para fortalecer de manera sostenible la ciberseguridad en Europa, dice Jochen Michels, Jefe de Asuntos Públicos en Europa de Kaspersky.

Los ejemplos incluyen la Directiva NIS2 antes mencionada, una ley de toda la UE que proporciona medidas para un alto nivel común de ciberseguridad en toda la Unión. El Ley de resiliencia cibernéticacuyo objetivo es proteger a los consumidores y las empresas cuando utilizan productos digitales, se está negociando actualmente, pero se espera que entre en vigor a principios de 2024.

Otros esfuerzos incluyen la creación de la Academia Europea de Habilidades en Ciberseguridad y el Centro Europeo de Competencia en Ciberseguridad, así como el desarrollo de Esquemas Europeos de Ciberseguridad, un marco de certificación integral.

«Estas iniciativas se centran principalmente en aspectos como la seguridad de la cadena de suministro, la transparencia, la seguridad por diseño, así como el desarrollo de competencias y la formación», afirma Michels.

Si bien el RGPD ha llevado a un mayor escrutinio de la protección y el procesamiento de datos (p. ej. B. quién utiliza nuestros datos, dónde y con qué propósito: NIS2 está impulsando a las empresas europeas a aumentar significativamente su madurez cibernética, añade Heinemeyer.

«NIS2 ha sido un tema importante en las conferencias de seguridad europeas de este año, como la ITSA en Nuremberg, Alemania», explica. «Las organizaciones se sienten presionadas a actuar y cumplir».

Garantizar la seguridad de IA/ML

Con la ley de la UE sobre IA, que se está negociando actualmente en el diálogo tripartito, la UE ha respondido a los posibles riesgos de ciberseguridad derivados de la GenAI y la IA/aprendizaje automático, destaca Michels. Se espera un acuerdo sobre la ley y su adopción, al menos provisionalmente, para finales de 2023.

«Menciona la ciberseguridad como una parte importante de los requisitos para garantizar la confiabilidad de los sistemas de IA de alto riesgo», explica Michels. «También hay varias iniciativas de inteligencia artificial y ciberseguridad».

Por ejemplo, ENISA está trabajando para mapear el ecosistema de ciberseguridad de la IA y brindar recomendaciones de seguridad para los desafíos previstos. La agencia también publicó el Informe de investigación sobre inteligencia artificial y ciberseguridad.cuyo objetivo es identificar la necesidad de investigar las aplicaciones de ciberseguridad de la IA y proteger la IA.

«Al mismo tiempo, los legisladores han propuesto regulaciones en este ámbito basándose en una evaluación de riesgos», afirma Heuvinck de ENISA.

Específicamente, la propuesta de ley de IA de la UE establece requisitos de ciberseguridad para los sistemas de IA de alto riesgo para garantizar el cumplimiento, identificar riesgos e implementar las medidas de seguridad necesarias.

«Se debe realizar una evaluación de riesgos de seguridad teniendo en cuenta el diseño del sistema y su finalidad prevista», añade.

Heuvinck señala que hay dos aspectos diferentes a considerar cuando se trata del impacto de la IA en la ciberseguridad. Por un lado, la IA puede utilizarse para manipular los resultados esperados. Por ejemplo, la IA se utiliza en la Open Cyber ​​​​Situational Awareness Machine de ENISA, que recopila, clasifica y presenta automáticamente información sobre ciberseguridad y ciberincidentes de fuentes abiertas.

Por otro lado, las técnicas de IA se pueden utilizar para respaldar las medidas de seguridad, pero esto puede implicar riesgos.

“Las preguntas que plantea la IA dependen de nuestra capacidad para evaluar su impacto, monitorearlo y controlarlo, con el objetivo de hacer que la IA sea cibersegura y resiliente para que pueda alcanzar su máximo potencial”, dice.

Desde su perspectiva, es innegable la importancia de la ciberseguridad y la protección de datos en cada parte del ecosistema de IA para crear tecnología confiable para los usuarios finales.

«La ciberseguridad es un hecho si queremos garantizar la confiabilidad, confiabilidad y solidez de los sistemas de IA y al mismo tiempo permitir una mayor aceptación por parte de los usuarios, un uso confiable de los sistemas de IA y el cumplimiento normativo», dice Heuvinck.