Estafa cibernética profesional; Nuevas caras del riesgo; Lo cibernético aumenta la valoración

Bienvenido a CISO Corner, el resumen semanal de artículos de Dark Reading diseñados específicamente para lectores de operaciones de seguridad y líderes de seguridad. Cada semana presentamos artículos de nuestra sección de Noticias, The Edge, DR Technology, DR Global y nuestra sección de Comentarios. Nuestro objetivo es brindarle diversas perspectivas para ayudar a poner en práctica estrategias de ciberseguridad para líderes en organizaciones de todas las formas y tamaños.

En esta edición de CISO Corner:

Las empresas con cibergobernanza crean casi cuatro veces más valor

Por David Strom, autor colaborador de Dark Reading

Aquellos que tienen comités dedicados que incluyen un experto cibernético, en lugar de depender de la junta directiva en pleno, tienen más probabilidades de mejorar la seguridad y el desempeño financiero.

Las empresas que hicieron el esfuerzo de seguir directrices para una mejor gobernanza de la ciberseguridad crearon casi cuatro veces su valor para los accionistas en comparación con las empresas que no lo hicieron.

Ése es el hallazgo de una nueva encuesta realizada conjuntamente por Bitsight y el Diligent Institute que midió la experiencia en ciberseguridad en 23 factores de riesgo diferentes, como: Presencia de infecciones por botnetsServidores que alojan malware, certificados de cifrado obsoletos para comunicaciones web y de correo electrónico y puertos de red abiertos en servidores de acceso público.

El informe también concluyó que se logran mejores resultados cuando hay comités de la junta separados que se centran en riesgos específicos y cumplimiento de auditoría. «Las juntas directivas que ejercen la supervisión cibernética a través de comités especializados con un experto cibernético, en lugar de depender de la junta completa, tienen más probabilidades de mejorar su postura general de seguridad y su desempeño financiero», coincide Ladi Adefala, consultor de ciberseguridad y director ejecutivo de Omega315.

Leer más: Las empresas con cibergobernanza crean casi cuatro veces más valor

Relacionado: Con las prohibiciones de TikTok, ahora es el momento de la gobernanza operativa

Incluso los ciberprofesionales están siendo estafados: dentro de un verdadero ataque de vishing

Por Elizabeth Montalbano, autora colaboradora de Dark Reading

Los atacantes exitosos se centran en la manipulación psicológica de las emociones humanas, razón por la cual cualquiera, incluso un ciberprofesional o una persona experta en tecnología, puede convertirse en víctima.

Comenzó con una llamada alrededor de las 10:30 a.m. de un martes desde un número de teléfono celular desconocido. He estado trabajando en mi computadora en casa y no suelo contestar llamadas de gente que no conozco. Por alguna razón decidí dejar lo que estaba haciendo y atender esa llamada.

Ese fue mi primer error en una serie de errores que cometería durante las siguientes cuatro horas durante las cuales… Víctima de una campaña de vishing o voice phishing. Al final de la terrible experiencia, había transferido casi 5.000 € en fondos de mi cuenta bancaria y en Bitcoin a los estafadores. Mi banco pudo cancelar la mayoría de las transferencias; Sin embargo, perdí 1.000 € que había enviado a la billetera Bitcoin de los atacantes.

Los expertos dicen que no importa cuánta experiencia tenga sobre las tácticas de los atacantes o cuánta experiencia tenga en la detección de estafas. La clave del éxito de los atacantes es algo más antiguo que la tecnología, porque reside en manipular aquello que nos hace humanos: nuestras emociones.

Leer más: No contestes el teléfono: dentro de un ataque de vishing real

Relacionado: Los piratas informáticos norcoreanos vuelven a atacar a los investigadores de seguridad

Mitigar el riesgo de terceros requiere un enfoque colaborativo y exhaustivo

Comentario de Matt Mettenheimer, director asociado de Cyber ​​​​Advisory, Cybersecurity Practice, S-RM

El problema puede parecer desalentador, pero la mayoría de las empresas tienen más libertad y flexibilidad para abordar los riesgos de terceros de lo que creen.

El riesgo de terceros presenta un desafío único para las empresas: en la superficie, un tercero puede parecer digno de confianza. Pero sin una visibilidad total de las operaciones internas de este proveedor externo, ¿cómo puede una empresa garantizar que los datos que se le confían estén seguros?

Debido a las relaciones de larga data que tienen con sus proveedores externos, las empresas a menudo restan importancia a este tema apremiante. Pero la aparición de proveedores cuartos e incluso quintos debería alentar a las empresas a proteger sus datos externos. Hacer Control de seguridad adecuado con un tercero Ahora también es necesario averiguar si el tercero está subcontratando datos privados de los clientes a otras partes posteriores, lo que probablemente sea el caso dada la proliferación de servicios SaaS.

Afortunadamente, existen cinco pasos sencillos y listos para usar que brindan a las organizaciones una hoja de ruta inicial para mitigar con éxito los riesgos de terceros.

Leer más: Mitigar el riesgo de terceros requiere un enfoque colaborativo y exhaustivo

Relacionado: Cl0p reivindica el ataque MOVEit; Así lo hizo la pandilla.

El gobierno australiano refuerza su ciberseguridad tras graves ataques

Por John Leyden, escritor colaborador de Dark Reading Global

El gobierno está proponiendo regulaciones de ciberseguridad más modernas y completas para las empresas, el gobierno y los proveedores de infraestructura crítica en Australia.

En septiembre de 2022, se revelaron vulnerabilidades en las capacidades de respuesta a incidentes cibernéticos de Australia. Ciberataque al proveedor de telecomunicaciones OptusA esto le siguió en octubre un ataque basado en ransomware contra la aseguradora de salud Medibank.

Por esta razón, el gobierno australiano está trabajando en planes para reformar las leyes y regulaciones de ciberseguridad, con la estrategia proclamada de posicionar al país como líder mundial en ciberseguridad para 2030.

Además de cerrar las brechas en las leyes existentes sobre delitos cibernéticos, los legisladores australianos esperan enmendar la Ley de Seguridad de Infraestructuras Críticas (SOCI) de 2018 para poner un mayor enfoque en la prevención de amenazas, el intercambio de información y la respuesta a incidentes cibernéticos.

Leer más: El gobierno australiano refuerza su ciberseguridad tras graves ataques

Relacionado: Los puertos australianos están reanudando sus operaciones después de una perturbación cibernética paralizante

Una guía CISO para determinar la materialidad y el riesgo

Comentario de Peter Dyson, director de análisis de datos, Kovrr

Para muchos CISO, la “materialidad” sigue siendo un concepto poco claro. Sin embargo, deben poder discutir la materialidad y los riesgos con sus directorios.

La SEC ahora exige que las empresas públicas hagan esto evaluar si los incidentes cibernéticos son “significativos”, como umbral para sus informes. Sin embargo, para muchos CISO, el término «materialidad» sigue siendo un término ambiguo que puede interpretarse en función del entorno de ciberseguridad único de una organización.

El quid de la confusión sobre la materialidad radica en determinar qué constituye una “pérdida material”. Algunos estiman que la materialidad impacta el 0,01% de las ventas del año anterior, lo que es aproximadamente un punto básico de ventas (lo que equivale a una hora de ventas para las empresas Fortune 1000).

Al comparar diferentes umbrales con puntos de referencia de la industria, las empresas pueden obtener una comprensión más clara de su vulnerabilidad a ataques cibernéticos graves.

Leer más: Una guía CISO para determinar la materialidad y el riesgo

Relacionado: Prudential presenta notificación voluntaria de infracción ante la SEC

La bonanza del día cero conduce a más ataques contra las empresas

Por Becky Bracken, editora senior de Dark Reading

Según Google, los atacantes avanzados se centran cada vez más en las tecnologías empresariales y sus proveedores, mientras que las plataformas de usuario final logran suprimir los exploits de día cero invirtiendo en ciberseguridad.

En 2023 se explotaron un 50% más de vulnerabilidades de día cero que en 2022. Las empresas se ven especialmente afectadas.

Según una investigación de Mandiant y Google Threat Analysis Group (TAG), los atacantes sofisticados patrocinados por el estado están explotando la amplia superficie de ataque de las organizaciones. Las huellas que consisten en software de múltiples proveedores, componentes de terceros y bibliotecas extensas brindan un rico coto de caza para aquellos capaces de desarrollar exploits de día cero.

Los grupos de ciberdelincuentes se han centrado especialmente en el software de seguridad, incluido Puerta de enlace de seguridad de correo electrónico Barracuda; Dispositivo de seguridad adaptable de Cisco; Ivanti Endpoint Manager, Móvil y Sentry; y Trend Micro Apex One, añade el estudio.

Leer más: La bonanza del día cero conduce a más ataques contra las empresas

Relacionado: Los atacantes aprovechan los errores de día cero de Microsoft Security Bypass

Incluir la remediación de seguridad en la agenda de la reunión de la junta directiva

Comentario de Matt Middleton-Leal, Director General, EMEA Norte, Qualys

Los equipos de TI pueden resistir mejor el escrutinio ayudando a su junta directiva a comprender los riesgos y cómo remediarlos, y explicando su visión a largo plazo para la gestión de riesgos.

Es posible que los directores ejecutivos del pasado no hayan perdido el sueño pensando en cómo su equipo de seguridad abordó ciertos CVE, pero con CVE para errores peligrosos como Apache Log4j Como muchas organizaciones aún no tienen parches, las correcciones de seguridad ahora están en la agenda más amplia. Esto significa que cada vez se pide a más líderes de seguridad que proporcionen información sobre la calidad de su gestión de riesgos desde una perspectiva empresarial.

Esto lleva a preguntas difíciles, particularmente en torno a los presupuestos y cómo se gastan.

La mayoría de los CISO se sienten tentados a utilizar información sobre los principios básicos de la seguridad de TI (el número de problemas detenidos, las actualizaciones implementadas, los problemas críticos resueltos), pero sin compararlos con otros riesgos y problemas comerciales, puede resultar difícil mantener la atención para atraer la atención y mostrar que ofrece un CISO.

Para superar estos problemas, necesitamos utilizar comparaciones y datos contextuales para contar una historia sobre el riesgo. Proporcionar cifras de referencia sobre la cantidad de parches implementados no describe el tremendo esfuerzo que se hizo para solucionar un problema crítico que comprometía una aplicación generadora de ingresos. Tampoco muestra cómo se compara su equipo con los demás. Básicamente, desea mostrarle a la junta lo bien que se ve y cómo continúa cumpliendo con el tiempo.

Leer más: Incluir la remediación de seguridad en la agenda de la reunión de la junta directiva

Relacionado: Lo que le falta a la sala de juntas: CISO