Bancos: obligados a entender el cibercrimen a la fuerza

Los Bancos deben repensar todo sobre ciberseguridad

Los Bancos deben repensar todo sobre ciberseguridad

Las instituciones financieras y los bancos, han perdido millones de dólares a manos del cibercrimen, este hecho les ha creado una consciencia forzada de la realidad.

Los bancos y demás compañías del sector financiero han gastado millones en medidas técnicas para protegerse, tanto en el perímetro como en las defensas profundas. Tales medidas son necesarias, pero no suficientes.

En esta centuria los hackers han demostrado que siempre están un paso adelante

En gran parte, esto se debe a que las vulnerabilidades de los sistemas de información son tanto humanas como tecnológicas (abriendo correos electrónicos de phishing, contraseñas inadecuadas, empleados descontentos).

Sin dudas prima la necesidad de un nuevo contrato social, con nuevas definiciones de relaciones personales nuevas.

Para ver por qué, vale la pena considerar el rango completo de compromiso del banco con la ciberseguridad.

En primer lugar están las amenazas directas al propio banco

Estos no se limitan a robo financiero y fraude.

Los piratas informáticos también pueden intentar robar datos, ya sean datos de clientes o detalles de las operaciones del banco.

Dichos datos pueden venderse en la dark web, y pueden usarse para chantajear al banco o ser liberados para dañar la reputación del banco.

Si el banco ha estado desarrollando un nuevo software, el objetivo es el robo de propiedad intelectual.

Los sistemas del banco se pueden usar como un conducto para obtener acceso a los sistemas de clientes más importantes para robar datos o propiedad intelectual, especialmente si el banco ha estado invirtiendo en empresas de alta tecnología.

Los piratas informáticos pueden intentar interrumpir las operaciones del banco, ya sea por chantaje (por ejemplo, operaciones de ransomware) o nuevamente para dañar su reputación.

Las operaciones de interrupción pueden estar dirigidas específicamente a dañar el banco , o como parte de una operación gubernamental más amplia para desestabilizar a la sociedad.

Finalmente, el banco puede ser la víctima involuntaria de una operación no dirigida (como el  ransomware Wannacry motorizado con Eternal Blue).

La experiencia de campo

Administrar un sistema, enfrentando estas amenazas requiere algo más que medidas técnicas, como lo demuestra la disminución, pero aún así importantes retrasos antes de que se identifiquen las penetraciones cibernéticas en el sector financiero.

Al igual que otras compañías, los bancos deben intercambiar información y buenas prácticas entre sí y con los gobiernos, posiblemente creando foros seguros para hacerlo.

Deben trabajar en el gobierno para garantizar que todas las partes del gobierno prioricen la ciberseguridad sobre la ofensa cibernética .

Deben comprometerse con el público para garantizar que el público culpe al hacker y no al banco cuando se produce un hackeo.

Y tienen que desarrollar estrategias internas efectivas para garantizar que todos sus empleados entiendan sus responsabilidades de ciberseguridad y sigan los protocolos (¡y carguen parches de inmediato!)

El cliente como objetivo

Pero los bancos no solo tienen que preocuparse por la seguridad de sus propios sistemas.

Tienen que preocuparse por los de sus clientes, incluidos sus clientes minoristas.

Con cada vez más banca en línea, los clientes minoristas se convierten en otra vulnerabilidad cibernética.

El uso descuidado de sus cuentas en línea puede hacer que los piratas informáticos encuentren formas de ingresar a los sistemas del banco.

Los riesgos se multiplican a medida que los bancos acumulan actualizaciones tras actualizaciones en sistemas informáticos ya crujidos, como lo demuestran los crecientes choques bancarios en línea.

No es solo que los clientes en línea descuidados puedan permitir que los piratas informáticos accedan a sus cuentas o a los sistemas del banco.

Los clientes minoristas, en particular, son vulnerables a todo tipo de fraude en línea o por teléfono cuando se les convence para que revelen los detalles de su cuenta bancaria.

Se presiona a los bancos para que sean más generosos con las víctimas en tales casos. Algunos argumentan que los bancos tienen un deber de cuidado hacia sus clientes minoristas.

Redunda en interés de los bancos, tanto para reforzar la seguridad de sus sistemas como para evitar nuevas regulaciones no deseadas, para mejorar el conocimiento de la ciberseguridad de sus clientes y, en particular, de sus clientes minoristas más vulnerables.

Los bancos, por supuesto, también prestan dinero

Es su negocio principal. Invierten en empresas y proyectos. Las inversiones importantes requieren una diligencia debida y cuidadosa, para garantizar, en la medida de lo posible, que la inversión sea viable y que su receptor pueda reembolsarla.

Cuando tales inversiones son, o pueden llegar a ser, vulnerables a amenazas geopolíticas o cibernéticas , la diligencia debida también debe garantizar que el receptor de la inversión esté tomando medidas para protegerse contra estas.

Algunos bancos insisten en que el receptor adopte la protección cibernética técnica necesaria (como un prestamista hipotecario puede insistir en que el receptor de la hipoteca tome un seguro de la casa).

Pero si las medidas técnicas de ciberseguridad son necesarias pero no suficientes, ¿significa eso que la debida diligencia técnica también es insuficiente?

Para inversiones importantes, ¿deben desarrollar criterios de diligencia que incluyan a los destinatarios que implementen estrategias de ciberseguridad no técnicas más amplias?

Los bancos y otras instituciones financieras enfrentan grandes amenazas cibernéticas. Son objetivos extremadamente atractivos.

Deben seguir invirtiendo en defensa técnica cibernética.

Pero también necesitan desarrollar estrategias más amplias para comprometerse con los gobiernos, otros bancos, sus clientes y receptores de su inversión y el público en general.

Esto será aún más cierto a medida que se desarrolle el Fintech y que los sistemas digitales cada vez más complicados aumenten la interconexión y, por lo tanto, las vulnerabilidades.

 

 

Por Marcelo Lozano – General Publisher IT Connect Latam