Los riesgos de ciberseguridad de una escalada del conflicto entre Rusia y Ucrania

Actualización: las fuerzas rusas lanzaron un ataque contra Ucrania el 24 de febrero.

A medida que proliferan las advertencias de un inminente ataque ruso contra Ucrania, las redes de noticias y las redes sociales han presentado clips de las fuerzas armadas rusas entrenando, haciendo ejercicio y preparándose para luchar. Menos visibles son las formidables fuerzas cibernéticas de Rusia que se prepararían para desencadenar una nueva ola de ciberataques contra la infraestructura energética, financiera y de comunicaciones ucraniana y occidental. Ya sea que se produzca una invasión ahora o no, las tensiones seguirán siendo altas y la amenaza cibernética probablemente aumentará, no disminuirá.

Las implicaciones para las empresas del conflicto en Ucrania, ya sean convencionales, cibernéticas o híbridas, se sentirán mucho más allá de las fronteras de la región. Como líder empresarial, es probable que ya haya evaluado si tiene personas en riesgo, operaciones que podrían verse afectadas o cadenas de suministro que podrían verse interrumpidas. La Casa Blanca advirtió recientemente de las vulnerabilidades de la cadena de suministro derivadas de la dependencia de la industria de chips de EE. UU. del neón de origen ucraniano. Y Rusia también exporta una serie de elementos críticos para la fabricación de semiconductores s, motores a reacción, automóviles, agricultura, y medicamentos, como detallado en un hilo de Twitter del exdirector de tecnología de Crowdstrike, Dmitri Alperovitch. Dada la presión existente sobre las cadenas de suministro de EE. UU. a causa de la pandemia de Covid-19, es preocupante añadir un mayor impacto al sistema.

Pero si acaba de evaluar su postura cibernética, probablemente sea demasiado tarde. La ciberdefensa efectiva es un juego largo que requiere una inversión estratégica sostenida, no un golpe de última hora.

El conflicto en Ucrania presenta quizás el riesgo cibernético más agudo Las corporaciones estadounidenses y occidentales alguna vez se han enfrentado. La invasión de Rusia llevaría a las sanciones más amplias y dramáticas jamás impuestas a Rusia, que considera tales medidas como una guerra económica. Rusia no se quedará quieta, sino que responderá asimétricamente utilizando su considerable capacidad cibernética.

La Agencia de Seguridad de Ciberseguridad e Infraestructura de los Estados Unidos (CISA) recientemente emitió una advertencia del riesgo de que los ciberataques rusos se extiendan a las redes estadounidenses, lo que sigue a las advertencias anteriores de la CISA en los riesgos que representan los ciberataques rusos para la infraestructura crítica de EE. UU.. El Banco Central Europeo (BCE) ha advertido a las instituciones financieras europeas del riesgo de ciberataques rusos de represalia en caso de sanciones e interrupciones del mercado relacionadas.

Las primeras escaramuzas cibernéticas ya han comenzado, con Sistemas gubernamentales y bancos ucranianos atacados la semana pasada, y compañías estadounidenses atentas que notan un aumento dramático en el sondeo cibernético. Rob Lee, CEO de la firma de ciberseguridad Dragos, nos dijo: «Hemos observado grupos de amenaza que las agencias gubernamentales estadounidenses han atribuido al gobierno ruso que realizan un reconocimiento contra la infraestructura industrial de EE. UU., incluidos sitios clave de electricidad y gas natural en los últimos meses».

Los equipos de seguridad e inteligencia de varias multinacionales importantes nos indicaron que están anticipando ciberataques rusos y evaluando el potencial de efectos de segundo y tercer orden en sus operaciones. Algunas empresas señalaron que anticipan un aumento de los ataques y las estafas en relación con la crisis de Ucrania, y las evaluaciones de riesgos suelen depender de si la empresa tiene vínculos directos con los bancos nacionales ucranianos u otra infraestructura crítica. Un gerente de inteligencia corporativa observó que su equipo cibernético «no cree que seamos un objetivo probable», pero ha estado siguiendo las directrices de la CISA. Otro indicó de manera similar que a su empresa no le preocupaban las amenazas directas a sus datos, porque no tienen presencia en Ucrania o Rusia, pero estaban atentos a los impactos indirectos en sus clientes y socios comerciales en la región.

Entonces, si es demasiado tarde para mejorar su ciberdefensa y el conflicto parece inminente, ¿qué pueden hacer los líderes además de levantar las armas?

La primera regla es que un problema cibernético o informático se convierte rápidamente en un problema empresarial. El paso principal que deben dar las empresas en este momento es retirarse, desempolvar y poner en práctica planes de continuidad del negocio. ¿Qué significaría trabajar en un mundo analógico, o en un mundo de lápiz y papel, durante días, semanas o meses? Cuando Saudi Aramco fue atacado por un ciberataque, 30 000 portátiles corporativos se convirtieron en pesos de papel en cuestión de segundos. Saca tu navaja y pincha debajo de la pintura de respuesta a la crisis. Pregunte: «Si mis sistemas de IT fallan, ¿cómo voy a rastrear mi inventario, administrar mis cuentas o comunicarme con mis oficinas y plantas?»

En segundo lugar, examine detenidamente su cadena de suministro. Su empresa puede enfrentarse al riesgo de una dependencia oculta de los ingenieros de software, los escritores de código o los servicios alojados con sede en Ucrania. República de Ucrania Informes del Ministerio de Asuntos Exteriores que más de 100 de las empresas Fortune 500 del mundo dependen al menos parcialmente de los servicios de IT de Ucrania, y varias empresas de IT de Ucrania se encuentran entre las 100 principales opciones de subcontratación para servicios de IT a nivel mundial.

En tercer lugar, conectarse con redes de pares, proveedores y el FBI puede mejorar drásticamente sus probabilidades de identificar y mitigar las intrusiones cibernéticas. Capacite a sus equipos para que se pongan en contacto con los equipos cibernéticos y de inteligencia de empresas homólogas y con los socios de los gobiernos federales y locales que vigilan de cerca las mismas amenazas. Asegúrese de que sus equipos conozcan a sus representantes regionales de la CISA y la oficina local del FBI y de que estén en sus listas de correo para mantenerse al tanto de las alertas y advertencias. Comparta actividades cibernéticas anómalas o maliciosas con socios federales y locales para obtener una mayor conciencia y ayudar a construir una defensa colectiva.

En cuarto lugar, inculcar una mentalidad de seguridad en sus empleados. Habilitar la autenticación multifactor (que, según la directora de CISA, Jen Easterly) hace que sea un 99% menos propenso a ser hackeado), parchear esas vulnerabilidades antiguas, garantizar que las contraseñas sean seguras y recordar que el phishing es quieto el vector de ataque número uno, incluso para adversarios sofisticados, todo esto puede contribuir a una mejor seguridad general.

Por último, reconozca que la ciberseguridad está estrechamente relacionada con la seguridad y el riesgo empresarial en general. Ante las ciberamenazas, el liderazgo corporativo recurre con demasiada frecuencia a la IT en busca de una solución, pero las evaluaciones de riesgos geopolíticos y de seguridad de IT deben ir de la mano.

Los equipos que se ocupan de la ciberseguridad, el riesgo geopolítico y la seguridad física deben trabajar en estrecha colaboración, no en silos. En un caso, un gerente de inteligencia corporativa nos dijo que había realizado una evaluación conjunta con su equipo de ciberinteligencia sobre Rusia-Ucrania, la primera vez que cooperaron de esa manera. En este caso, la crisis se basó en relaciones preexistentes e impulsó nuevos niveles de cooperación.

Si estás construyendo relaciones en crisis, puede que sea demasiado tarde. Es mucho mejor fomentar la comunicación y la cooperación antes de que ocurra un desastre. Tenga cuidado con las evaluaciones de riesgos que asignan demasiado peso a la proximidad o la presencia. En una guerra cibernética, los transeúntes inocentes lejanos pueden ser alcanzados por balas cibernéticas perdidas o disparos precisos de francotiradores cibernéticos.

En una crisis, los planes de resiliencia corporativa y continuidad del negocio se vuelven primordiales, y requieren toda la atención y soluciones de la empresa. Con la amenaza de guerra en Europa que se avecina, que sin duda incluirá la ciberseguridad, es hora de sacar esos planes de contingencia y probar si son actuales, realistas y aptos para su propósito.