Resumen de evento: 25 Ideas de Ciberseguridad – Tomo I | Evento CAMTIC
El Capítulo de Ciberseguridad de la Cámara Costarricense de Tecnologías de Información y Comunicación (CAMTIC) organizó un conversatorio en línea diseñado para compartir experiencias reales de ciberseguridad, casos prácticos y estrategias efectivas de protección de la información. Los puntos principales de la exposición de cada participante:
1. Gezer Molina, Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (MICITT)
El primer expositor se centró en los fundamentos de la ciberseguridad, enfatizando la visibilidad y la gestión de activos.
| Tema | Puntos Clave |
| Volver a lo Básico | Se debe saber qué se tiene para poder protegerlo. No se puede brindar ciberseguridad sin tener visibilidad completa de los activos y cómo se gestionan. |
| Gestión de Identidades | La identidad es el nuevo perímetro. El Active Directory es un punto crítico. Se deben aplicar políticas para: Depuración de cuentas (eliminar usuarios ya inactivos, como jubilados) y políticas de gestión de contraseñas. |
| Sistemas Operativos | Fortalecer sistemas operativos obsoletos. Si un sistema antiguo es indispensable para el negocio, se deben aplicar medidas mitigatorias para minimizar el riesgo asociado. |
| Arquitectura de Red | Es esencial conocer la topología de red y cómo está configurada; la falta de visibilidad en este punto crea una debilidad importante. |
| Mínimo Privilegio | Aplicar el principio de mínimo privilegio a los usuarios para limitar el acceso a lo estrictamente necesario. |
2. Vinicio Chaves, CISO de Dos Pinos
Vinicio Chaves sobre “Indicadores con Propósito” en el contexto de ciberseguridad para una empresa como Dos Pinos:
| Propósito del Indicador | Enfoque Estratégico | Puntos Clave |
| Traducir el Riesgo (Comunicación Ejecutiva) | Brecha de Comunicación | Los indicadores deben traducir métricas técnicas (vulnerabilidades) a Indicadores Clave de Riesgo (KRI) que la Junta Directiva y la gerencia puedan entender y usar para tomar decisiones de negocio. |
| Priorizar el Negocio | Alineación Estratégica | Medir la efectividad de los controles (¿Qué tan listos estamos?) en lugar de solo la actividad. El objetivo es proteger los activos de mayor valor y la continuidad operativa (OT, producción y cadena de suministro). |
| Ser Accionable | Impacto y Contexto | Los indicadores deben ser accionables, es decir, impulsar un cambio de comportamiento o una acción de mejora (ej. reforzar el entrenamiento de phishing). Deben tener sentido en el contexto operacional de la empresa de alimentos. |
La charla promueve medir lo que realmente importa para el negocio y no solo lo que es fácil de medir técnicamente.
3. Mario Robles, White Jaguars
La charla busca que las empresas no solo vean la ciberseguridad como un costo operativo, sino como una inversión esencial para evitar pérdidas financieras cuantificables y daños a la imagen corporativa.
-
Evaluación de Riesgos para Ejecutivos: La ciberseguridad debe presentarse a los tomadores de decisiones (C-Level) en el lenguaje de los negocios, es decir, mediante una evaluación de riesgos y su impacto directo.
-
Cuantificación del Impacto Financiero: Es fundamental determinar el costo real del incidente. Por ejemplo, si una plataforma de e-commerce genera una cierta cantidad de dinero diario, calcular el valor de tener ese sistema caído por una semana para dimensionar la pérdida económica.
-
Impacto Reputacional: Además de las pérdidas directas, se debe considerar el costo del impacto en la reputación de la empresa.
-
Priorización y Resiliencia: Utilizar este análisis de costos y riesgos para priorizar las inversiones en ciberseguridad. Esto justifica la necesidad de contar con medidas de resiliencia, como la implementación de sitios alternos para asegurar la continuidad del negocio.
4. Tobías Santoyo (RADWARE): Protección Avanzada de Aplicaciones
| Enfoque | Punto Clave |
| Ataques de Bots | El mayor riesgo proviene de la automatización maliciosa (bots), que imitan el tráfico de usuarios y evaden las defensas tradicionales. Se requiere una solución de Gestión de Bots especializada. |
| Defensa de Aplicaciones | Es fundamental implementar Web Application Firewalls (WAF) modernos, idealmente basados en la nube (Cloud WAF), para proteger las aplicaciones de las vulnerabilidades más comunes (OWASP Top 10). |
| Disponibilidad | Se destaca la importancia crítica de tener estrategias robustas para la mitigación de ataques DDoS y asegurar la disponibilidad continua de los servicios y aplicaciones en línea del negocio. |
5. Kevin Chaves (Popular Seguros): El Seguro de Ciberseguridad
La exposición de Kevin Chaves de Popular Seguros fue el segmento final del evento y se centró en el tema de los Seguros de Ciberseguridad. La charla destacó el seguro cibernético no solo como protección financiera, sino como una herramienta de gestión de riesgos que obliga a la empresa a evaluar y mejorar su postura de seguridad mientras el costo es favorable.
| Enfoque | Punto Clave |
| Integración en la Estrategia | Se insta a incluir el seguro contra ciberataques dentro del análisis de riesgo de la empresa. |
| Beneficios de la Cotización | Cotizar el seguro no tiene costo y ofrece el beneficio de analizar si la empresa cumple con las condiciones mínimas de ciberseguridad exigidas por el mercado. |
| El Mercado Actual (Oportunidad) | Actualmente, el mercado reasegurador (la aseguradora de las aseguradoras) se encuentra en un “mercado blando”, lo que permite obtener mejores tarifas para las pólizas de ciberseguridad. |
| Alerta sobre el “Mercado Duro” | Advierte que un aumento en los reclamos globales podría convertirlo en un “mercado duro”, haciendo que los precios de los seguros sean significativamente más altos. |
| Resiliencia | El seguro es una herramienta fundamental que permite a las empresas ser resilientes y recuperarse ante una afectación total causada por un ciberataque. |
Ver charla completa en https://www.youtube.com/watch?v=lnKJkjJOJUY
Likes