Estudio: pese a esfuerzos, queda mucho por hacer en ciberseguridad en el país

Un análisis determinó el estado de la ciberseguridad en servicios en el país y concluye que pese a los esfuerzos tras los ciberataques del 2022, todavía queda mucho trabajo por hacer.

Se trata del Estudio sobre el estado de la ciberseguridad en los servicios esenciales y críticos de Costa Rica, elaborado por José Valiente y Juanjo Arenas, en conjunto entre el Centro de Ciberseguridad Industrial (CCI) de España y Cybersec Cluster.

También contó con el apoyo de Cámara de Industrias (CICR), la Cámara de Tecnología de Información y Comunicación (Camtic), la Promotora de Comercio Exterior (Procomer).

En este caso se definen servicios esenciales aquellos necesarios para el mantenimiento de las funciones organizacionales o sociales básicas cuya interrupción podría poner en peligro la estabilidad y/u operación de los servicios críticos o esenciales de la organización privada; así como la vida, la seguridad nacional, la salud de las personas y el bienestar social y económico de los ciudadanos o el funcionamiento eficaz de los servicios prestados por las instituciones del Estado y la Administración Pública en general.

"Cuando hablamos de la ciberseguridad industrial nos referimos a los riesgos en los entornos industriales, donde el 60 % es entorno eléctrico y el otro 40% es electrónico informático", dijo José Valiente, director del CCI, durante la actividad La Voz de la Industria de Costa Rica.

Se ha hecho, pero falta

"A raíz del ataque de ransomware sufrido por entidades gubernamentales costarricenses en 2022, se adoptaron medidas para fortalecer la postura de ciberseguridad. La Directriz N° 133-MP-MICITT, emitida el 21 de abril de 2022, es un ejemplo de esfuerzos para coordinar mejor la respuesta ante incidentes de ciberseguridad.

Esta directriz obliga a las entidades gubernamentales a reportar incidentes que afecten la confidencialidad, disponibilidad e integridad de los servicios al público al Centro de Respuesta de Incidentes de Seguridad Informática (CSIRT-CR) de Costa Rica. También establece la necesidad de cambiar contraseñas, deshabilitar servicios y puertos de red innecesarios, y monitorizar la infraestructura de red", explica el reporte realizado a través de una encuesta online que fue completada por 103 participantes de diversos perfiles: CEO, CISO, CTO, coordinadores técnicos, ingenieros, responsables de ciberseguridad, auditores, analistas, consultores, managers y gerentes de diversos departamentos.

"Sin embargo, a pesar de estos esfuerzos, este estudio demuestra que todavía queda mucho por hacer para abordar de manera integral los riesgos de ciberseguridad adoptando un enfoque basado en el riesgo para la protección de datos y sistemas, lo cual incluye la gestión de accesos, la seguridad de datos, la monitorización de seguridad, y un enfoque sistemático para la revisión y mejora continua de los procesos de gestión de riesgos.

Este enfoque integral es necesario no solo para prevenir ataques, sino también para minimizar el impacto en las organizaciones cuando ocurren incidentes", señala el análisis.

"El informe demuestra la necesidad de una cooperación continua entre las entidades gubernamentales, el sector privado, y la sociedad en general, para fortalecer las defensas contra las ciberamenazas y proteger los intereses nacionales", indica en sus conclusiones.

"La ciberseguridad no es solo un asunto tecnológico, puede parar completamente una operación de un servicio esencial, de una organización, de un país", dijo Raúl Rivera, coordinador CCI en el país, durante la presentación.