.png){kind=logo}
Según la Sexta Encuesta Bancaria Anual, para el 70% de los bancos, la principal preocupación es la ciberseguridad. Si esto lo relacionamos con el estudio realizado por Ponemon Institute, que dice que las grandes empresas y bancos invierten USD 18.5 millones por año en seguridad informática, no es difícil de creer que la ciberseguridad sea una de las mayores preocupaciones para este rubro.
Los ciberataques no solo afectan a los equipos, sino que también afectan a personas y empresas, ya que su información queda expuesta ante hackers que quieren mal utilizarla. Cada vez usamos más aplicaciones móviles, no solo a modo de entretenimiento, sino para comunicarnos, compartir contenido, hacer compras e incluso hacer trámites financieros. El hecho de que las aplicaciones estén disponibles a través de diferentes redes hace que si no se cuenta con la seguridad informática adecuada, nuestros datos estén vulnerables ante posibles ciberataques; y no estamos hablando solo de cuentas emails y contraseñas, sino que de cuentas de banco, tarjetas de crédito, y todo tipo de información personal que solemos dar en aplicaciones.
Según OWASP (Open Web Application Security Project) hace referencia a los mayores riesgos dentro de una aplicación móvil. Esto se renueva año a año mediante estudios y estadísticas que evalúan cómo estos riesgos afectan en mayor o menor escala la ciberseguridad de una aplicación. Los riesgos del 2021 son:
Control de acceso dañado: Si el control de acceso funciona correctamente, los usuarios no pueden actuar fuera de los permisos previstos dentro de una aplicación. Por el contrario, si el control de acceso está dañado, esto lleva a la divulgación de información no autorizada, el uso comercial de esta información y la modificación o destrucción de datos.
Fallos criptográficos: Los controles criptográficos son los que protegen la confidencialidad de los datos, al haber una falla en ellos, lo que puede provocar es la exposición de datos confidenciales como lo son: contraseñas, números de tarjetas de crédito, y toda información personal.
Diseño Inseguro: Es una nueva categoría que se refiere a lo que sería un diseño ineficaz, pero ¿por qué esto afectaría a la seguridad informática? Porque un diseño inseguro no se soluciona con implementaciones perfectas, ambas pueden tener fallas que afectan a la seguridad, por ende, el diseño es tan importante como la implementación en una aplicación.
Configuración de seguridad incorrecta: Las configuraciones incorrectas no solo hacen referencia al servidor de la app, sino que pueden estar en los servicios de red, bases de datos, entre otros. Los defectos en estas configuraciones son los que les dan el acceso a los Hackers a funcionalidades y datos de la aplicación.
Componentes vulnerables y obsoletos: Por ejemplo, si alguno de los componentes de la aplicación no está actualizado o no es compatible, esto lo hace vulnerable ante un posible ataque. Por eso, es tan importante verificar que ninguno de estos componentes estén obsoletos y así, evitar ciberataques.
Fallos de identificación y autentificación: Cuando los esquemas de autenticación son deficientes, permiten hackear de forma anónima los servidores.
Fallo de integridad de datos y software: Las fallas de este punto se relacionan con las actualizaciones de software sin validar, por ejemplo, muchas aplicaciones cuentan con actualizaciones automáticas, por lo que los hackers podrían cargar actualizaciones para que se ejecuten automáticamente y así tener acceso a las funcionalidades y datos de la aplicación.
Prácticas comunes de mitigación de amenazas
Según CSA publicó su informe Secure DevOps and Misconfigurations 2021. Por un lado, el 60% de los profesionales de seguridad dicen que su principal desafío es la visibilidad insuficiente de la seguridad o las brechas de cumplimiento (este es, con mucho, el desafío más común) y el 11% también menciona la incorporación inconsistente de cuentas en la nube. Finalmente, el 10% dice que la arquitectura lenta, lenta o insuficiente los detiene.
Una forma de mitigar las amenazas es introducir revisiones de seguridad de rutina con más frecuencia. Sin embargo, es difícil establecer un punto de referencia definido aquí, ya que la frecuencia con la que las organizaciones revisan su infraestructura de nube en busca de vulnerabilidades o configuraciones incorrectas varía ampliamente. Actualmente, el 22% realiza dichas revisiones de seguridad diariamente, el 22% mensualmente, el 18% semanalmente y el 23% trimestralmente, según la encuesta. Es probable que esta tasa aumente a medida que DevSecOps se vuelva más común y automatizado dentro del ciclo de vida del desarrollo. Mantenerse actualizado con los marcos de seguridad modernos es otra faceta que afecta la adopción de DevSecOps; y las organizaciones tienden a seguir múltiples marcos para informar su estrategia de seguridad. Más de las tres cuartas partes (78%) siguen las pautas del Instituto Nacional de Estándares y Tecnología (NIST), el 67% sigue los puntos de referencia del Centro para la Seguridad de Internet (CIS), el 66% sigue la Alianza de Seguridad en la Nube (CSA), el 54% sigue la Organización Internacional para la estandarización (ISO).
コメント