Lo último sobre estadísticas preocupantes de phishing; la aceptación del metaverso por parte de las empresas; una (pequeña) mejora en la estabilidad laboral de los especialistas en seguridad y mucho más, contado por los expertos de Tenable.
1. CISA: Los empleados caen en estafas de phishing a un ritmo alarmante
La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) reveló estadísticas preocupantes sobre la prevalencia y el éxito de los ataques de phishing. En una infografía, CISA compartió datos de phishing recopilados durante las evaluaciones que realizó para agencias federales y organizaciones de infraestructura crítica públicas y privadas.
Aunque son “nativos digitales” expertos en tecnología, estos empleados tienen más probabilidades de caer en comportamientos riesgosos que sus contrapartes mayores, según la “Encuesta de riesgo humano en ciberseguridad de 2022” de Ernst & Young.
Estas son las estadísticas de las pruebas de phishing que CISA realizó en estas agencias y organizaciones:
- En el 80% de las organizaciones evaluadas, al menos una persona fue víctima de un intento de phishing.
- Los usuarios ejecutaron un archivo adjunto malicioso o interactuaron con un enlace malicioso en el 10% de los correos electrónicos de phishing.
- Los productos diseñados para proteger las redes de las organizaciones evaluadas no pudieron bloquear el 70% de los archivos o enlaces maliciosos.
- Las herramientas de protección de puntos finales no pudieron bloquear el 15% de los archivos adjuntos o enlaces maliciosos.
Las recomendaciones de CISA para prevenir ataques de phishing incluyen:
- Implementación de protecciones sólidas para la red
- Configurar servidores de correo electrónico para usar protocolos que verifiquen que los correos electrónicos sean legítimos.
- Configurar firewalls para bloquear dominios, URLs y direcciones IP maliciosas conocidas.
- Capacitar a los empleados para que reconozcan los indicadores de phishing y que notifiquen al recibir uno.
- Pedir autenticación multifactor resistente al phishing
- Reducir el número de cuentas con acceso a datos y sistemas críticos.
Para obtener más información, consulte la infografía de CISA.
2. Informe: La rotación se desacelera entre los rangos de CISO
La estabilidad laboral de los CISO mejoró en 2022 a medida que aumentó la permanencia promedio, se redujo la rotación y creció la contratación interna en las compañías, según el informe ‘Instantánea global: El CISO en 2022’, de la firma global de búsqueda de ejecutivos Marlin Hawk, que encuestó a los CISO de 470 empresas en América del Norte, Europa y Asia Pacífico con al menos 10,000 empleados.
Los hallazgos clave incluyen:
- El porcentaje de CISO que ha estado en su función actual durante dos años o menos se redujo al 45% desde el 53% en 2021, con una tasa de rotación del 18%, que sigue siendo alta pero potencialmente estabilizadora.
- Se contrató un porcentaje ligeramente mayor de CISO internos: 38% en 2022 frente a 36% el año pasado.
- La diversidad entre los rangos de CISO empeoró: el 13% de las encuestadas fueron mujeres, frente al 14% de 2021.
El informe también analiza cómo está evolucionando el rol del CISO, es decir, hacia un alcance más amplio de responsabilidades, como el cumplimiento de la privacidad de datos, la seguridad física, la ingeniería, el riesgo comercial, la resiliencia operativa, el diseño y seguridad del producto, así como la arquitectura tecnológica.
Con respecto a las estructuras, la mayoría de los CISO informan al CIO o CTO (78%) y solo el 12% informan directamente al CEO. “La línea de informes del CISO puede ir en cualquiera, o varias líneas, de una variedad de líderes de C-suite que reflejan la amplitud del conocimiento requerido del CISO de hoy”, se lee en el informe.
Para obtener más información, lee el resumen del informe.
3. ¿Cuánto ganan los líderes de ciberseguridad?
Y hablando de los CISO, una de sus responsabilidades clave es reclutar y retener una lista sólida de líderes de seguridad con las habilidades y las experiencias adecuadas. Para lograr esto, los CISO deben conocer las tendencias de compensación más actuales para estos roles.
Ese es el enfoque de un nuevo informe de la consultora de seguridad de la información IANS Research y el reclutador ejecutivo Artico Search, que encuestó a 522 CISO y compiló datos de compensación en dólares.
Para estos ejecutivos, incluidos los CISO adjuntos y los líderes de operaciones de seguridad, seguridad de productos y seguridad de aplicaciones, el promedio es de $301,000 dólares, mientras que la mediana es de $245,000. Esas cifras de compensación incluyen salario base, bonos y subvenciones de capital.
Casi todos los CISO luchan por reclutar y mantener un equipo de liderazgo con todo el personal, y los puestos vacantes tardan de dos a cuatro meses en cubrirse porque la competencia por los candidatos es feroz.
Esto significa que contratar y retener a los mejores candidatos no será barato. Los CISO deben centrarse en pagar tarifas en los tramos de compensación superiores para obtener una ventaja de contratación y retención”, según el informe.
4. Las empresas se sumergen en el metaverso a medida que se avecinan los riesgos cibernéticos
Ansiosas por capitalizar las oportunidades comerciales emergentes, la mayoría de las organizaciones se están aventurando en el metaverso y, por lo tanto, expandiendo significativamente sus ya grandes y complejas superficies de ciberataque, de acuerdo con el informe realizado por Tenable basado en una encuesta a 1500 profesionales de TI, ciberseguridad y DevOps en Australia, Reino Unido y Estados Unidos.
El estudio encontró que el 23% de las organizaciones encuestadas ya lanzaron ofertas en el metaverso, mientras que el 58% planea hacer negocios en él el próximo año. En otras palabras, la protección del metaverso, que involucra la llegada de personas, procesos y tecnología, es o pronto será otra tarea crítica para muchos equipos de ciberseguridad.
Sin embargo, a pesar de esta “fiebre del oro” del metaverso, menos del 50% de las organizaciones informaron sentirse muy confiadas en este momento para frenar las amenazas en este entorno aún incipiente, que alberga riesgos de seguridad cibernética tanto nuevos como heredados, como los ataques de phishing convencionales y la clonación de avatar, voz y rasgos faciales.
El CSO de Tenable, Robert Huber, dijo que las organizaciones que establecen una presencia en el metaverso deben invertir sabiamente en su personal de seguridad y en la integridad de su infraestructura. “La base del programa de seguridad cibernética debe ser sólida antes de dar un gran salto hacia un territorio en gran parte desconocido y expandir drásticamente su superficie de ataque”, dijo Huber.