El 40% de las empresas de la región sufrió una infección por malware

De acuerdo con ESET Security Report 2016, la aparición de programas maliciosos es la principal causa de incidentes que sufren las empresas latinoamericanas, seguida por el phishing, con el 16%. Desde la compañía alertaron no solo sobre las medidas de seguridad aplicadas, sino también sobre la deficiente implementación de las mismas. “El canal va a ser el motor de cambio para esto”, aseguró Sebastián Bortnik (foto abajo), gerente de Investigación y Tecnología para la región.

Según el informe, los países más afectados por códigos maliciosos son Nicaragua (58.3%), seguido de Guatemala (55.8%) y Ecuador (51.9%). Argentina (29.7%), Chile (29.2%) y Venezuela (24.1%) resultaron los menos afectados por casos de malware en las empresas. ESET identifica más de 200 mil nuevas variantes de códigos maliciosos por día.

En el caso particular de Argentina, el vocero dijo que el incremento en el nivel de malware –en 2014 era del 22%– tiene que ver con el crecimiento exponencial del Ransomware.
Bortnik hizo hincapié en la contradicción de que, si bien el malware es la principal causa de incidentes, entre las preocupaciones de las empresas aparece en el segundo puesto, luego de la vulnerabilidades de software. De acuerdo con la compañía, para responder este interrogante “es necesario aclarar que el malware es masivo y la explotación de vulnerabilidades es menos frecuente. Sin embargo, este último incidente es más difícil
de detectar y, de ocurrir, puede impactar con mucha mayor fuerza en la organización. Por esta razón, sigue siendo la principal preocupación.”

Un dato interesante es que casi el 30% de las empresas pequeñas afirmó no haber padecido ningún incidente de seguridad, mientras que en el resto de las categorías, las medianas y grandes reportaron un mayor número de incidentes.
Según el reporte, esto puede analizarse desde dos perspectivas: por un lado, que las empresas de mayor tamaño resulten ser un objetivo más relevante para los atacantes dejando de lado a las más pequeñas; o bien, que éstas últimas son atacadas al igual que el resto, pero resulta más difícil que puedan identificar este tipo de amenazas (y en consecuencia erradicarlas), ya que en la mayoría de las veces buscan pasar inadvertidas.
Con todo, 78% de las empresas reportaron incidentes en 2015 (en 2014 fue de 77% y en 2013 de 75%), lo que para Bortnik tiene que ver con que están mejorando su nivel de seguridad, ya que tienen personal que se ocupa del tema.

Phishing
En segundo lugar, con el 16% aparece el phishing como uno de los incidentes de seguridad más frecuentes. La compañía llama la atención también sobre este punto: “a pesar de ser una técnica cada vez más conocida y relativamente fácil de detectar, logra su propósito a través de la aplicación efectiva de técnicas de Ingeniería Social.” Sin embargo, Argentina mostró un nivel más bajo que en otros paíese de la región, como Perú, Ecuador o Guatemala.

Controles
De acuerdo con los resultados de la encuesta, las empresas en Latinoamérica destinan recursos para la implementación de soluciones de software antivirus en primer lugar con solo el 77% de las respuestas afirmativas, seguido de firewalls con 71% y respaldos de información con 63%.

En cuanto al bajo nivel de implementación de software antivirus, Bortnik aclaró que, probablemente, ese porcentaje es algo superior si se tuviera en cuenta las licencias no actualizadas o directamente obsoletas, o software mal implementado. “El rol del canal es fundamental en esto”, dijo.
En lo que respecta al bajo nivel de respaldo de información, el ejecutivo advirtió que este dato es aún más grave si se tiene en cuenta que solo el 30% la clasifica.

Asimismo, el ejecutivo también advirtió que más de la mitad de las empresas no hacen controles de tecnologías de seguridad: por ejemplo, solo el 36% hacen auditorías –un servicio que se puede tercerizar– a lo que se suma que, en muchos casos, los datos surgidos de las mismas son “cajoneados”.

En cuanto a la realización de actividades de educación y concientización en materia de Seguridad de la Información, ESET observa que hubo una reducción de esta actividad respecto al 2014, sin embargo se destaca que alrededor del 35% de las organizaciones llevan a cabo iniciativas de educación y concientización. Si bien, es ideal que las actividades educativas sean constantes, se subraya que un gran porcentaje de las empresas lo hace al menos ocasionalmente.

Finalmente Bortnik advirtió sobre de quién depende la seguridad de la información en las empresas. Comentó que mientras antes el problema era que, en muchos casos, directamente no había un área conformada a tal efecto (en este informe esos casos corresponden el 10% del total) en la actualidad el problema radica en que, en el 51% de los encuestados, es la Gerencia de IT. En este sentido, el ejecutivo que esta área se convierte en juez y parte, ya que, por ejemplo, debe decidir sobre la necesidad de poner en operación un desarrollo que, quizás, no cumple con los requerimientos de seguridad, pero es vital para el negocios de la empresa en cuestión. De acuerdo con la compañía, el ideal es que esté a cargo de la Gerencia de Operaciones, que apenas alcanza el 4%.


Datos de la encuesta
El informe está basado en encuestas realizadas a más de 3.000 profesionales de distintas organizaciones de Argentina, Chile, Colombia, Costa Rica, Ecuador, El Salvador, Guatemala, Honduras, México, Nicaragua, Panamá, Paraguay, Perú y Venezuela.

Federico Perez Acquisto (foto), gerente general de ESET

Latinoamérica destacó el crecimiento de la compañía del 23% en

dólares en Argentina durante 2015.

Click  al reporte completo en “ESET Security Report 2016”.