Cómo crear una estrategia de gestión de riesgos de ciberseguridad para proteger los contenidos de los medios de comunicación

Cuando piensas en la gestión de riesgos de ciberseguridad, probablemente pienses en delincuentes que roban datos financieros o información confidencial. Pero el contenido de los medios de comunicación y otros tipos de propiedad intelectual (PI) también pueden ser un objetivo, especialmente las secuencias inéditas.

Las ciberamenazas ni siquiera tienen por qué ser intrínsecamente nefastas: muchas empresas han sido víctimas de filtraciones de datos tras exponer por error sus cubos de almacenamiento en la nube. El pasado mes de enero, la cadena de televisión Valley News Live, con sede en Dakota del Norte, filtró por error casi 2 millones de archivos gracias a un bucket de almacenamiento S3 mal configurado.

Entonces, ¿cómo salvaguardar el valioso contenido multimedia de miradas indiscretas? En este blog simplificar los pasos para proteger tu flujo de trabajo de medios de comunicación, de modo que puedas crear una estrategia de gestión de riesgos de ciberseguridad como parte de los marcos de gestión de riesgos empresariales de tu empresa.

• La importancia de una estrategia de gestión de riesgos cibernéticos para los medios de comunicación
• Riesgos de ciberseguridad asociados a la producción de medios de comunicación
• Cómo construir un marco sólido de gestión de riesgos de ciberseguridad
• Haz que MASV forme parte de tu estrategia de gestión de riesgos de ciberseguridad

La importancia de una estrategia de gestión de riesgos cibernéticos para los medios de comunicación

Una estrategia de gestión del ciberriesgo es esencial para cualquier empresa que produzca medios digitales. Una estrategia suficientemente sólida que combine buenas prácticas de seguridad de datos puede ofrecer a las empresas varias ventajas clave, entre ellas

• Reducción del riesgo de ciberataques.
• Mejor cumplimiento de las normas del sector y de la normativa sobre seguridad de datos.
• Mejora del rendimiento mediante una mejor respuesta a los riesgos de seguridad.
• Reducción del riesgo de pérdidas financieras y de reputación.

Para tener éxito, tu estrategia debe ser adaptable al entorno siempre cambiante de las ciberamenazas y tener funciones y responsabilidades claramente definidas. También hay que encontrar un equilibrio entre seguridad y productividad: demasiada seguridad, y tus colaboradores pueden verse tentados a desarrollar soluciones inseguras o TI en la sombra.

Antes de entrar en cómo elaborar un plan de gestión de riesgos de ciberseguridad, y en las medidas de seguridad que debe contener, veamos algunos de los riesgos que entraña. 

El valor de una evaluación de la RPT

La mejora de la seguridad y la reducción de la "fatiga de evaluación" son sólo dos de las ventajas de trabajar con un proveedor auditado por la RPT (como MASV).

Leer más

Riesgos de ciberseguridad asociados a la producción de medios de comunicación

Para estar preparados, los equipos de seguridad deben comprender primero el panorama de las ciberamenazas. Algunos de los riesgos digitales más comunes que puedes experimentar en la producción de medios de comunicación son:

Filtraciones de datos, malware y ransomware

Las ciberamenazas están diseñadas para causar daños. Suelen tener dos objetivos principales: Robar los datos de tu empresa o de tus clientes, incluida la IP, o impedirte el acceso a tus sistemas (normalmente a cambio de un rescate). Los métodos que utilizan los ciberdelincuentes también evolucionan constantemente: A medida que mejora tu seguridad, también lo hace la sofisticación de los ataques.

Tratamiento y procesamiento inadecuados de los datos

Las personas de tu empresa también pueden suponer una amenaza para la seguridad de tus contenidos, ya sea de forma intencionada o no. Los errores humanos pueden comprometer la integridad y seguridad de los datos, mientras que una mala gestión de los mismos puede provocar su pérdida o uso indebido.

Acceso no autorizado y ataques de denegación de servicio (DoS)

Se producen cuando entidades no autorizadas acceden a redes y sistemas, ya sea explotando puntos débiles del software, utilizando credenciales robadas o participando en estafas de phishing.

Los ataques DoS son una forma de ciberataque por el que se impide a los usuarios acceder a sistemas y servicios. Un ataque DoS suele implicar que un atacante bombardee la red o el servicio con solicitudes de autenticación con una dirección de retorno no válida. Esto sobrecarga la red y hace que el servicio sea inaccesible para los usuarios.

Incumplimiento de la normativa sobre privacidad de datos

El incumplimiento de la normativa sobre privacidad de datos puede ser un error costoso. Las distintas geografías tienen diferentes normativas (como la GDPR en Europa y la CCPA en California) sobre cómo deben recopilarse, almacenarse y compartirse los datos personales y la información privada. Incumplir estas normativas puede acarrear cuantiosas multas y daños a la reputación.

También existen normas internacionales de protección de datos, como la ISO 27001 y la SOC 2, que las empresas de medios de comunicación deben cumplir. Aunque estas normas no conllevan sanciones oficiales, su incumplimiento puede tener consecuencias perjudiciales, como la violación de datos y posibles pérdidas económicas.

Pérdida de confianza de los clientes y daño a la marca

Si no tomas medidas para proteger los activos de los medios digitales, puedes perder la confianza de los clientes: Una encuesta reciente mostró que casi el 60% de los consumidores dicen que las empresas que sufren filtraciones no son dignas de confianza.

Si tienes un plan de seguridad sólido y cumples las normas ISO y otras normas de conformidad, demuestras a tus clientes que pueden confiarte sus datos.

Cortes del sistema e interrupciones operativas

Las interrupciones del sistema pueden afectar a una parte de tu sistema o a toda la red, causando estragos en tu empresa. Y los ciberataques pueden causar tiempo de inactividad significativo. El efecto dominó es que no puedes atender a tus clientes, lo que daña tu reputación y te cuesta dinero. 

Pérdida de ingresos y gastos adicionales

No gestionar los riesgos digitales puede ser un error caro. Ya hemos visto algunos de los costes en los que puedes incurrir, pero también está el precio de arreglar las cosas si te atacan. Además, la pérdida de confianza que hemos mencionado antes puede tener implicaciones a largo plazo para tu flujo de caja.

Robo de propiedad intelectual

Los sistemas vulnerables pueden dejarte expuesto al robo de IP, infracción de los derechos de autor o piratería. El robo y uso ilegal de soportes digitales puede impedirte vender tu trabajo. Es más, los estafadores también pueden utilizar tu trabajo como parte de estafas de phishing para engañar a tus clientes. Esto puede afectar gravemente a tu reputación y a tu cuenta de resultados.

Cómo construir un marco sólido de gestión de riesgos de ciberseguridad

Ahora que conoces los riesgos, es hora de ver cómo pueden evitarlos tus equipos de seguridad. Aunque cada empresa tendrá unas necesidades ligeramente distintas, los siguientes pasos deberían ser el núcleo de cualquier proceso de gestión de riesgos de ciberseguridad.

Realizar evaluaciones exhaustivas de riesgos y análisis de vulnerabilidades

Identificar las amenazas es una parte importante de la mitigación de riesgos. Empieza por realizar un análisis del impacto empresarial para examinar tu pila digital y los activos expuestos. Esto ayudará a tus equipos de seguridad a determinar cualquier vulnerabilidad y riesgo potencial. Considera la posibilidad de utilizar un fórmula de riesgo de auditoría para identificar los riesgos financieros, y asegúrate de tener en cuenta a terceros.

Mapear toda tu huella digital puede ayudarte a detectar dónde pueden producirse amenazas potenciales. Las soluciones de supervisión de la superficie de ataque pueden ayudarte a identificar los activos críticos que pueden estar en peligro.

Implantar controles de seguridad sólidos y sistemas de detección de intrusos

Nunca debes confiar en una sola herramienta. En lugar de eso, establece un conjunto completo de medidas de seguridad que te protejan de los riesgos de seguridad. Algunos ejemplos son los cortafuegos, la seguridad de los contenedores en la nube, el control de acceso de los usuarios, la gestión de las actualizaciones de seguridad y la configuración segura.

Asegúrate de incluir sistemas de detección de intrusos (NIDS). Son herramientas de seguridad de red que supervisan el tráfico de red y alertan a los administradores de actividades sospechosas. Los sensores recogen datos sin procesar, mientras que los analizadores vinculados comparan los datos con firmas de amenazas conocidas.

Desarrollar y probar planes de respuesta a incidentes (IRP)

Los planes de respuesta a incidentes ayudan a controlar los riesgos específicos que hayas identificado. Ayudan a garantizar que tienes un enfoque bien pensado, coordinado y coherente para responder a las interrupciones. Algunos de los elementos clave que debes incluir en tus PIR son:

• Pautas de detección de amenazas.
• Procedimientos de contención.
• Requisitos de análisis.
• Planes de notificación.
• Estrategias de recuperación.

Impartir formación sobre concienciación en materia de seguridad al equipo de producción

La formación ayuda a mantener a todos los miembros del equipo en la misma página. Garantiza un enfoque coherente de la gestión del riesgo cibernético, incluida la vigilancia de las amenazas, la prevención de los riesgos asociados a los errores humanos y qué hacer si se produce una brecha. Proteger tus activos digitales es más eficaz cuando todos asumen su responsabilidad.

Pon en marcha medidas sólidas de prevención de pérdida de datos (DLP)

Medidas DLP robustas como recuperación de desastres en la nube puede ayudarte a identificar y proteger los datos sensibles. Un elemento clave para el éxito de la DLP es disponer de un inventario de tus datos, clasificados por importancia y sensibilidad. Esto te permite tomar medidas como

• Cifrado, tanto de los datos en tránsito como en reposo.
• Controles de acceso, para que sólo los usuarios autentificados puedan acceder a los datos sensibles.
• Un plan para responder a posibles violaciones de datos.
• Supervisar las transferencias de datos.
• Detección de anomalías.

Mantener el cumplimiento de los reglamentos y normas de seguridad pertinentes

Como ya se ha dicho, el incumplimiento de la normativa y las normas del sector puede acarrear multas cuantiosas. Pero el cumplimiento no sólo te ayuda a proteger los datos sensibles y tu propiedad intelectual, sino que también contribuye a fomentar la confianza de los consumidores y la reputación de la marca.

Diseñar un nuevo plan de gestión de ciberriesgos es el momento perfecto para actualizar los que ya tienes. Tómate tu tiempo para llevar a cabo pruebas sustantivas para garantizar el cumplimiento de la normativa financiera, y evalúa tu plan general de gestión de datos para asegurarte de que cumples el GDPR y otros requisitos de protección de datos, como SOC 2 e ISO 27001.

Invierte en tecnologías de seguridad actualizadas para mitigar el riesgo digital

Hay una serie de tecnologías que pueden apoyar tu proceso de gestión del ciberriesgo. Un ejemplo es utilizar una plataforma de integración como servicio (iPaaS). Se trata de una solución basada en la nube que admite la conexión de aplicaciones empresariales para compartir datos a través de una red. Una ventaja clave es que un proveedor de software como éste se encarga de la seguridad, como las actualizaciones y la gestión de la API, lo que significa que no tienes que preocuparte.