LATAM CISO advierte poca protección a infraestructura crítica

América Latina se ha vuelto un blanco perfecto para los ciberatacantes, pues la mayoría de los países se encuentran en una etapa inicial de desarrollo de planes de protección, mientras que casi ninguno tiene un plan de protección a su infraestructura crítica nacional, advirtió el estudio LATAM CISO 2024 de Digi Americas Alliance.

El informe cita al Banco Interamericano de Desarrollo (BID), el cual reveló que sólo siete de los 32 países latinoamericanos tienen planes para proteger su infraestructura crítica de ataques cibernéticos.

Además, las cifras dicen que sólo 20 países latinoamericanos cuentan con Equipos de Respuesta a Incidentes de Seguridad Cibernética (CSIRT, por sus siglas en inglés). Por ello, dice el LATAM CISO 2024, el nivel actual de preparación cibernética en la región sugiere que existe un déficit notable que debe abordarse.

LATAM CISO 2024 reveló que el costo anual de los ciberataques en América Latina y el Caribe podría superar los 90 millones de dólares en 2025, con un promedio de más de 18.5 millones de ataques al año.

Costa Rica en emergencia cibernética

El estudio recuerda que entre los incidentes más destacados se encuentra el ataque que sufrió Costa Rica en abril de 2022. Explica que afectó a numerosas agencias gubernamentales y exigió un rescate de 10 millones de dólares.

Ese mismo país fue víctima de otro ataque en mayo de 2022, que tuvo como objetivo la Caja Costarricense de Seguro Social, causando interrupciones en sistemas críticos, incluida la finalización de los pagos de la seguridad social.

El reporte indica que estos ataques provocaron que el país declarara el estado de emergencia, convirtiéndose en el primero en utilizar fondos de emergencia debido a un ciberataque.

Colombia bajo ataque de ransomware

A principios de septiembre del año pasado, Colombia vivió un importante ataque de ransomware que interrumpió gravemente servicios vitales en todo el país.

Este ataque afectó, afirma el LATAM CISO 2024, directamente a 20 entidades públicas, mientras que otras 78 instituciones gubernamentales y 762 empresas privadas se vieron afectadas indirectamente en América Latina, así como en otros países como Argentina, Panamá y Chile.

Estos son sólo dos ejemplos de países latinoamericanos que han estado bajo ataques cibernéticos, pero hay muchos más, instituciones públicas de México entre ellos.

“Las redes gubernamentales, ricas en información confidencial sobre sus ciudadanos, a menudo carecen de las mejores prácticas de seguridad, lo que las convierte en objetivos principales para los ataques cibernéticos”, señala el informe. 

Chile a la vanguardia en ciberseguridad

El pasado 8 de abril, Chile promulgó la Ley Marco de Ciberseguridad (ley 21.663), que forma parte de su agenda digital y los pone a la vanguardia de América Latina, pero se trata sólo de una parte del ecosistema de ciberseguridad que el país ha construido a lo largo de los años.

El estudio LATAM CISO 2024 realiza un recuento sobre este camino de la nación chilena. Por ejemplo, el 4 de diciembre de 2023 entró en vigor la Política Nacional de Ciberseguridad 2023-2028.

Resalta que así como la tecnología cambia rápidamente, Chile ha puesto en vigencia esta Política sólo durante el periodo 2023-2028. 

Relacionado: Chile promulga Ley Marco de Ciberseguridad

Asimismo, señala cómo esta política fomentó la aprobación de la Ley Marco de Ciberseguridad para combatir aún más los problemas de seguridad.

Tras la aprobación de la Ley Marco, Chile creará la nueva Agencia Nacional de Ciberseguridad (ANCI). Este proyecto de ley fue aprobado por el Tribunal Constitucional y publicado en el Diario Oficial.

El reporte LATAM CISO 2024 señala que, además de la creación de la ANCI, la ley también creará el CSIRT Nacional, el CSIRT de Defensa Nacional, el Consejo Multisectorial de Ciberseguridad y la Red Estatal de Conectividad Segura.

“Según lo descrito por la ministra de Interior y Seguridad Pública, Carolina Tohá, esta nueva ley definirá estándares para los prestadores de servicios esenciales con la ayuda de instituciones específicamente diseñadas y certificadas para validarlos. Además, la ley proporcionará educación y talleres para los trabajadores, ejercicios teóricos, simulaciones y análisis de las redes, y sistemas de información y detección”, destaca el LATAM CISO 2024.

4 recomendaciones para políticas sobre ciberseguridad

1. Inversión en el desarrollo de capacidades humanas

Los CISO (directores de seguridad de la información) de América Latina comparten una profunda preocupación por la insuficiente capacitación y la conciencia sobre las amenazas cibernéticas. Este estudio recomienda que los gobiernos asignen fondos en su año fiscal para equipar a los empleados públicos con herramientas y conocimientos de ciberseguridad en la mitigación de riesgos de seguridad cibernética.

2. Establecer un Marco de Gestión de Riesgos

Varios países de América Latina han tomado medidas para desarrollar marcos de ciberseguridad como parte de sus agendas digitales. Sin embargo, muchas agencias gubernamentales no están obligadas a reportar incidentes o seguir las mejores prácticas.

La recomendación de un Marco de Gestión de Riesgos (RMF, por sus siglas en inglés) voluntario combinaría el establecimiento de una agencia de ciberseguridad de gobernanza mixta, un CSIRT nacional, en los países que aún no lo han implementado, y la creación de bases de datos de incidentes sectoriales específicos.

La creación de la agencia y el equipo de respuesta se combinaría con acciones legislativas y regulatorias, como la promulgación de leyes integrales de ciberseguridad, la implementación de requisitos obligatorios de notificación de incidentes de ciberseguridad en una ubicación centralizada y la provisión de incentivos para la participación del sector privado en iniciativas de ciberseguridad.

3. Inversión estratégica en infraestructura

La inversión estratégica en infraestructura y tecnologías de ciberseguridad abarca la inversión en tecnología de ciberseguridad y la adopción de soluciones de Nube pública, al tiempo que se tiene en cuenta lo que está en juego en cuanto a quién tiene el control.

Esta recomendación reconoce la necesidad de adaptarse a la evolución de las ciberamenazas y a la creciente digitalización de los sectores. Por lo tanto, este estudio aboga por la inversión en tecnologías que equilibren las necesidades de seguridad con la eficiencia operativa, incluida la adopción de servicios de Nube pública para disminuir el riesgo de ciberseguridad y promover una transferencia segura de datos.

4. Sistemas centralizados de gestión e informes de ciberseguridad

Los sistemas centralizados de informes y capacitación mejoran la colaboración entre diferentes sectores y agencias, agilizando la comunicación y respondiendo a incidentes de ciberseguridad. A través de esta información y capacitación centralizada, los diferentes sectores y agencias pueden observar las tendencias de manera más efectiva y responder con mayor precisión.

Esta recomendación también incluye la centralización de los mecanismos de respuesta, la mejora de la eficacia en la gestión de los ciberataques y la facilitación del intercambio dinámico de información y la cooperación tanto a nivel nacional como regional.