Qui és el responsable d'un ciberatac?

La part positiva de patir un ciberatac, si n'hi ha, és que ens ajuda a ser conscients com en som de vulnerables. A partir d'aquí, hem començat a plantejar-nos si de veritat estem fent tot el necessari per protegir els nostres negocis convenientment, però també si podem seguir confiant en els proveïdors que ens faciliten les seves solucions tecnològiques o els seus serveis de telecomunicacions.

Una de les coses que ens han ensenyat els últims incidents de seguretat, com WannaCry, és que per fer mal a través d'un atac no cal centrar-se en el Centre de Procés de Dades (CPD), en el qual es guarda la informació més sensible del negoci i al que segurament es destina gran part del pressupost de seguretat. Dirigint de forma indiscriminada a actius menys estratègics, però molt més nombrosos, també és possible causar un gran perjudici.
D'altra banda, aquest tipus d'incidents obren també un debat sobre la quota de responsabilitat que ha d'assumir cada part implicada, i sobre quines mesures cal prendre per evitar atacs similars en el futur. Per això, caldria preguntar-se qui ha obert la porta al ciberdelinqüent. Ha estat l'usuari amb el seu programari desactualitzat, el fabricant del sistema operatiu en haver-lo comercialitzat amb una vulnerabilitat o l'operador de la xarxa en permetre el pas al hacker?

Naturalment, el primer responsable és qui comet el delicte. En aquest cas, no ens queda més remei que confiar en els cossos i forces de seguretat perquè l'identifiquin i el parin. Però tal i com estan les coses últimament potser caldria començar a valorar tant els mitjans disponibles com els resultats assolits pels responsables d'investigar i prevenir atacs en el ciberespai. És possible que en aquest punt sigui necessari fer algun canvi amb urgència.
En segon lloc apareixen els desenvolupadors de programari i els seus actuals models de negoci. Si el hacker ha estat capaç d'aprofitar una vulnerabilitat d'un sistema operatiu per a introduir-se en un dispositiu, és perquè aquest programari es va comercialitzar amb un defecte. És cert que els fabricants de programari estan contínuament publicant pegats per evitar aquest tipus de problemes, però també és cert que en un determinat moment decideixen deixar de fer-ho per a les versions dels seus productes que consideren obsoletes, el que augmenta la vulnerabilitat per als clients que no renoven el seu programari antic.

Apareixen després els propietaris de la xarxa de telecomunicacions, que és un mitjà que podrien utilitzar els hackers per arribar fins les seves víctimes, és a dir, els clients de l'operador. En un món en què tot està connectat, sembla lògic exigir als operadors de telecomunicacions la implantació de totes les mesures de seguretat possibles per evitar l'ús malintencionat de la seva infraestructura i el mal que aquest mal ús pugui causar a tercers. En aquesta situació, caldria preguntar als operadors si han adjudicat la responsabilitat de la seguretat de les seves xarxes i sistemes a una persona concreta en la seva organització, amb suport des de la més alta direcció i dotat dels mitjans necessaris per a abordar els aspectes relatius a la seguretat de forma integral. I caldria preguntar també si els operadors, lloc de fiar-se cegament dels proveïdors de tecnologia i solucions, revisen de forma proactiva les seves configuracions i fan proves exhaustives dels seus sistemes per no només aturar, sinó també prevenir possibles atacs.

Finalment, cal no oblidar-se del regulador. La CMT, en el cas d'Espanya, hauria de posar la seguretat en el centre de les seves prioritats. Potser és necessari imposar als players d'aquest sector l'adopció d'una sèrie de mesures que garanteixin un nivell òptim de seguretat en les xarxes de telecomunicacions, per tal de protegir al màxim els negocis i les dades d'empreses i usuaris. Si gairebé tot en la societat està regulat, com és possible que en un món cada vegada més connectat i amb alta dependència de les infraestructures de telecomunicacions l'àrea de seguretat de xarxes encara no ho estigui?
Per la tàctica emprada en recents atacs massius, com el cas de WannaCry, aquests incidents han suposat un abans i un després en l'àmbit de seguretat. Ja no es tracta només de protegir els actius propis, sinó d'evitar els danys que aquests atacs poden causar a tercers. Si és veritat això que ara el client se situa en el centre de totes les estratègies, seria convenient que les parts implicades comencessin a treballar de forma coordinada i actuessin amb la responsabilitat que d'ells s'espera. Si no ho fan, potser aquest client, del qual també diem que és més exigent i està més informat que mai, començarà a demanar responsabilitats d'una manera també més contundent.

Font: Blue Telecom