Al desarrollar tecnología, este tipo de empresas deben tener en cuenta el modelo de seguridad compartida de la nube.
Las empresas de todos los tamaños y sectores deben pensar en la ciberseguridad del negocio. Particularmente, las empresas de tecnología financiera (fintech) requieren desarrollar soluciones escalables rápidamente, pero, al mismo tiempo, deben procurar que cada versión liberada sea segura para sus usuarios.
Hay que tener en cuenta que estas empresas, al tener una presencia en el ciberespacio, se encuentran constantemente expuestas a amenazas. De acuerdo con Kaspersky, en América Latina los ataques con ransomware fueron 4.000 en promedio por día en la mayor parte de 2022.
Aunque las compañías grandes probablemente pueden absorber el impacto de dichos ataques, este posiblemente no es el caso para pequeñas y medianas, que pueden verse obligadas al cierre de operaciones.
:quality(80)/cloudfront-us-east-1.images.arcpublishing.com/semana/JGJDK4GHSVGTXORZZ3ERAIZQRE.jpg)
Por su parte, Vladimir Villa, CEO de Fluid Attacks, aseveró que “los ataques logran en muchos casos la suspensión de servicios y pérdida de información. Ante esta amenaza, las fintech deben garantizar la ciberseguridad como parte esencial del desarrollo de sus productos y evitar así exponer la información de sus clientes”.
Las recomendaciones
El experto dio algunos elementos claves a tener en cuenta por las fintech al definir su estrategia de ciberseguridad. Por ejemplo, hay que probar la seguridad de la tecnología de manera continua, y las empresas deben integrar la ciberseguridad desde el comienzo del ciclo de vida de desarrollo, siguiendo la cultura DevSecOps y combinando la automatización con evaluaciones manuales.
Lo anterior les permite darse cuenta de su exposición al riesgo y desplegar tecnología segura varias veces al día.
:quality(80)/cloudfront-us-east-1.images.arcpublishing.com/semana/56EZGAJUMBC2TCO6SUFXH7P76I.jpg)
Según Villa, “la remediación llega a ser alrededor del 80% para los problemas detectados de alta criticidad. Por su parte, las pruebas deben abarcar los componentes de terceros además del código fuente propio”.
Agregó que “un caso crítico es que ya ha pasado un año desde que los cibercriminales empezaron a explotar una falla en millones de aplicaciones escritas en Java, llamada Log4Shell, y, según el servicio de Google Open Source Insights, casi la mitad de unos 18.000 paquetes que usan la librería afectada aún son vulnerables”.
Además, hay que enfocarse en la exposición al riesgo en vez del número de vulnerabilidades. Los problemas de seguridad detectados en un sistema pueden ser pocos, pero pueden representar un gran riesgo de perder elevadas sumas de dinero y la confianza de los usuarios.
Por tal motivo, las empresas de tecnología financiera pueden sacar mayor provecho al enfocarse en disminuir su exposición a ataques, priorizando los problemas más críticos.
Modelo de seguridad
De otro lado, al desarrollar tecnología, este tipo de empresas deben tener en cuenta el modelo de seguridad compartida de la nube. Esto, en parte, implica que los desarrolladores pongan funciones de seguridad a disposición del usuario y establezcan por defecto una configuración que proteja la continuidad de los servicios y la privacidad de la información.
Según el experto, “este es un paso muy importante, porque nuestros analistas de seguridad encuentran las configuraciones inseguras de servicios de la nube entre los cinco problemas que más exponen al riesgo en las aplicaciones de los clientes”.
Su trabajo es más rápido y efectivo si con antelación se han creado modelos de amenazas en que figuran los riesgos y vulnerabilidades más probables en su producto o línea de acción, para lo cual son útiles simulaciones de ataques reales (en inglés, breach and attack simulations). Además, todo plan debe incluir la descripción de aquellas acciones que el equipo llevará a cabo para contener los efectos del ataque y comunicarse con los usuarios.
Fuente: Semana
