Los ejecutivos de TI (un 86% de los encuestados) de las organizaciones de infraestructuras críticas consideran necesarias las colaboraciones público-privadas para intercambiar información y hacer frente a la escalada de amenazas de ciberseguridad, según una encuesta publicada hoy por el Instituto Aspen e Intel Security. Según el Centro Nacional para la Protección de Infraestructuras Críticas, se consideran infraestructuras críticas “las infraestructuras estratégicas que proporcionan servicios esenciales cuyo funcionamiento es indispensable y no permite soluciones alternativas, por lo que su perturbación o destrucción tendría un grave impacto sobre los servicios esenciales”.
En el estudio la mayoría de los encuestados (76%) indicó también que las fuerzas y cuerpos de seguridad del Estado deberían responder cuando un ciberataque dañe a una empresa de infraestructuras críticas dentro de las fronteras nacionales. Además, aunque la mayoría de los encuestados están de acuerdo en que las amenazas a sus organizaciones están aumentando, mantienen un grado de confianza alto en la seguridad ya existente.
La encuesta, Holding the Line Against Cyber Threats: Critical Infrastructure Readiness, revela que los responsables de infraestructuras críticas encuestados están satisfechos con los resultados de sus esfuerzos para mejorar la ciberseguridad en los últimos tres años, pero al mismo tiempo, un 72% afirma que el nivel de amenaza de ataques ha ido en aumento.
Casi la mitad de los encuestados (48%) cree que es probable que ocurra un ciberataque en las infraestructuras críticas que pudiera dar lugar a la pérdida de vidas humanas en los próximos tres años.
«Estos datos plantean preguntas nuevas y esenciales sobre cómo la colaboración entre las autoridades y las organizaciones con infraestructuras críticas es la mejor forma para mitigar y defenderse contra los ciberataques», apunta Clark Kent Ervin, Director del Programa de Seguridad Nacional del Aspen Institute. «Este tema debe ser abordado por los políticos y líderes empresariales», continua.
Los resultados del estudio sugieren que pudiera haber una desconexión entre los proveedores de infraestructuras críticas y el panorama de amenazas actual:
Mejoras percibidas: Los encuestados creen que su propia vulnerabilidad a los ciberataques ha disminuido en los últimos tres años. Cuando se les preguntó para evaluar su situación de seguridad a posteriori, el 50% informó que habrían considerado a sus organizaciones «muy o extremadamente” vulnerables hace tres años. En comparación, sólo el 27% cree que sus organizaciones son actualmente «muy o extremadamente» vulnerables.
Involucración de las autoridades: La industria privada a menudo tiene dudas con respecto a la participación de las autoridades en los negocios del sector privado. Sin embargo, el 86% de los encuestados cree que la cooperación entre los sectores público y privado en la protección de las infraestructuras es fundamental para el éxito de la ciberdefensa. El 68% de los encuestados cree incluso que su propio gobierno puede ser un socio valioso y respetuoso en la ciberseguridad.
La confianza en las soluciones actuales: Un 64% cree que un ataque que tenga como resultado la pérdida de vidas humanas todavía no ha sucedido porque ya está en marcha una buena seguridad de TI. Como consecuencia, más de cuatro de cada cinco encuestados están satisfechos o muy satisfechos con el desempeño de sus propias herramientas de seguridad como la protección endpoint (84%), firewalls de red (84%), y gateways web seguras (85%).
Amenaza en aumento: Más del 70% de los encuestados cree que el nivel de amenaza de ciberseguridad en su organización está aumentando. Alrededor de nueve de cada diez (89%) encuestados ha experimentado al menos un ataque a un sistema dentro de su organización, a la que consideran segura, en los últimos tres años, con una media de cerca de 20 ataques por año. El 59% de los encuestados afirmó que al menos uno de estos ataques acabó en daño físico.
¿Daños humanos?: El 48% de los encuestados cree que es probable que en los próximos tres años ocurra un ciberataque que produzca daños tanto en infraestructuras criticas como a nivel humano, aunque en la encuesta no hubo preguntas adicionales para determinar bajo qué circunstancias consideran los participantes que podrían producirse pérdidas humanas. Los encuestados estadounidenses piensan en mayor número que los europeos que esta situación será «muy probable»
Error Humano: el primer problema: Los encuestados creen que un error del usuario es la mayor causa de ataques con éxito a las infraestructuras críticas. Las organizaciones pueden fortalecer sus posiciones de seguridad, pero los empleados individuales todavía pueden ser víctimas de los correos electrónicos de phishing, ingeniería social y de las descargas ocultas desde su navegador que infectan con éxito las redes de sus organizaciones.
Respuesta de las autoridades: El 66% de los encuestados cree que las fuerzas y cuerpos de seguridad del Estado deberían ser los que actuaran cuando un ciberataque dañase una empresa de infraestructuras críticas dentro de las fronteras nacionales.
Diferentes perspectivas de países: Los encuestados estadounidenses, por encima de sus homólogos europeos, creen que la probabilidad de que ocurra un ciberataque a gran escala en infraestructuras críticas ocasionando con daños humanos es alta. Mientras que el 18% de las fuentes estadounidenses considera este escenario «muy probable» en los próximos tres años, sólo el 2% en Alemania y el 3% en el Reino Unido cree que ocurrirá.
