Este 2024 diferentes tendencias de ciberseguridad como el crecimiento del malware As a Service, que facilitó el despliegue de ataques a gran escala, el uso de Telegram por parte de cibercriminales, así como el ransomware, una de las amenazas más preocupantes a nivel empresarial y gubernamental, marcaron la agenda. Partiendo de este contexto y considerando los nuevos avances tecnológicos e implementaciones vistas durante el año, el Laboratorio de Investigación de ESET, compañía líder en detección proactiva de amenazas, expone las posibles tendencias que serán centrales en la escena de la ciberseguridad para el próximo año.

“El 2025 teorizamos que estará marcado por la creciente necesidad de protección de los sistemas OT (Tecnología Operativa), esenciales para infraestructuras críticas. Además, el uso malicioso de la IA generativa planteará nuevas amenazas. Estas cuestiones estarán ligadas a desafíos legales y éticos que plantean la necesidad de regulaciones más claras y efectivas”, asegura Fabiana Ramirez Cuenca, Investigadora del Laboratorio de ESET Latinoamérica.

Usos de la IA Generativa

La IA Generativa es quizás inteligencia artificial más implementada en la actualidad, destacándose por su capacidad para generar contenido como textos, imágenes, videos, música, voces, entre otros, lo que por ejemplo permite mejorar la creatividad y eficiencia en diversas industrias.  Sin embargo, los cibercriminales también la aprovechan para fines maliciosos, como la creación de deepfakes y la automatización y perfeccionamiento de ataques cibernéticos. A través de este tipo de IA también se puede acceder a algoritmos de fuentes abiertas, adaptarlos, modificarlos y aprovecharlos para distintos fines. La posibilidad de automatizar tareas, generar o perfeccionar código malicioso, planificar campañas, entre otras, hacen atractiva esta tecnología para actores maliciosos, incluso los más inexpertos.

Recientemente, OpenAI, la compañía detrás de ChatGPT, ha emitido el informe Influence and cyber operations: an update en que detalla cómo diversos cibercriminales han utilizado sus modelos de IA para realizar tareas de fases intermedias en los ciberataques, luego de haber adquirido algunas herramientas básicas, antes de desplegar sus ataques, sean de phishing o distribución de malware, por distintos medios. En el mismo informe, la empresa identifica que distintos grupos APT (Amenazas Persistentes Avanzadas) han utilizado la tecnología para, por ejemplo, el debugging de código malicioso, la investigación de vulnerabilidades críticas, el perfeccionamiento de phishing, generación de imágenes y comentarios falsos, entre otras.

“Podríamos esperar para el 2025 la continuidad del uso de la IA Generativa para la mejora de campañas que inicien con ingeniería social; el aprovechamiento de los algoritmos para el diseño de códigos maliciosos; el posible abuso de aplicaciones de compañías que usen algoritmos IA open source y, por supuesto, la sofisticación de los deepfakes y la posible interacción con la realidad virtual”, agrega Ramirez Cuenca.

Desafíos Legales y Éticos de la IA

Frente al crecimiento de la IA generativa y su potencial uso malicioso, aparecen desafíos legales y éticos que en su mayoría aún no han sido eficientemente abordados. Entre estos se encuentran interrogantes como quién es el responsable por los actos de la IA, qué límites debería imponerse a su desarrollo, o qué organismo es competente para juzgarlo. En la actualidad existen muy pocas normas a nivel internacional que aborden las problemáticas emergentes del uso de la IA y aquellas que existen muchas veces resultan insuficientes frente a un panorama de desarrollo acelerado de esta tecnología.

Entre las normas más destacadas se encuentra el Acta de IA de la Unión Europea (existente desde 2023) que pretende garantizar la ética y transparencia, así como el desarrollo seguro y protección de derechos humanos, abordando la IA desde un enfoque basado en riesgos, clasificando algoritmos según su peligrosidad. En paralelo, los EEUU cuentan con varios abordajes, desde una iniciativa nacional de IA, una Orden Ejecutiva para el uso seguro y confiable de la IA y un proyecto de carta de derechos de la IA que se encuentra en tratamiento.

A nivel Latinoamérica no ha habido grandes avances durante el 2024, aunque la mayoría de los países cuentan al menos con decretos, salvo el caso de Perú que cuenta con una ley. Recientemente el PARLATINO ha propuesto una Ley Modelo que quizás inspire legislaciones a nivel interno en cada país.

“Para 2025 es probable que en lo regulatorio haya un mayor escrutinio en Algoritmos y Modelos de IA para garantizar transparencia y explicabilidad -que sus decisiones puedan ser comprendidas por las personas-, esto de la mano de la protección de datos para garantizar la privacidad en el uso de la IA. Veremos la búsqueda de soluciones para los daños generados por la IA y la promoción desde lo regulatorio de la ética en el uso y desarrollo de esta tecnología. También seguirán los avances en regulaciones sobre ciberseguridad aplicadas a la temática y en materia de cooperación internacional”, comenta la investigadora de ESET Latinoamérica.

Sistemas de Control Industrial u OT (Tecnología Operativa)

Los OT son sistemas informáticos y dispositivos utilizados para controlar procesos industriales y físicos en diversos sectores, como la energía, manufactura, agua y gas, entre otros. Estos sistemas gestionan equipos como PLC (Controladores Lógicos Programables), SCADA (Sistemas de Control Supervisorio y Adquisición de Datos) siendo su función principal la automatización de procesos.

La digitalización y conectividad de estos sistemas los ha vuelto interesantes y vulnerables a ciberataques.  De hecho, ya se han visto códigos maliciosos que tienen como objetivo estos sistemas entre los que podemos destacar a “Aurora” (una prueba del gobierno de EEUU que demostró, por primera vez, que un ciberataque podía causar daños físicos a un generador de energía) y “Blackenergy, Industroyer” (usados en Ucrania para atacar su red eléctrica), aunque por supuesto no son los únicos. El NIST (Instituto de Estándares y Tecnología, del gobierno de EEUU) considera a la seguridad en OT un problema creciente y ha creado una guía que actualiza con regularidad.

En 2025, las OT serán cada vez más relevantes en el ámbito de ciberseguridad por varias razones entre las que se destaca la ya mencionada conectividad entre dispositivos OT y la gran cantidad de datos que recopilan. También, muchos de estos sistemas son fundamentales para el funcionamiento de infraestructuras críticas con lo cual es atractivo para los criminales un ataque a esta tecnología, dado que tiene el potencial de causar grandes daños.

“Estas son las tendencias que teorizamos serán centrales en la ciberseguridad para el próximo año, un escenario desafiante marcado por el crecimiento del uso de la inteligencia artificial generativa por parte del cibercrimen. Esto exigirá adaptar los sistemas de defensa y avanzar en marcos legales que aborden los interrogantes abiertos por estas tecnologías, incluso en sus usos legítimos y beneficiosos. Además, los ataques a infraestructuras críticas seguirán siendo una preocupación. Los sistemas OT serán objetivo clave, por su interconexión y su rol esencial en sectores estratégicos. Fortalecer su ciberseguridad será prioritario, considerando su vulnerabilidad demostrada en conflictos recientes, donde su explotación ha tenido graves consecuencias para las poblaciones afectadas”, concluye Ramirez Cuenca, de ESET Latinoamérica.

Coordenadas de contacto con ESET: https://www.eset.com/ve/. También sus redes sociales: Instagram (@esetla) y Facebook: (ESET)

Con información e imagen referencial suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

La entrada Cuáles son las tendencias en ciberseguridad para 2025 apareció primero en Bitfinance.

Como las ciberamenazas no muestran signos de desacelerarse, tanto las pequeñas como las grandes organizaciones reconocen cada vez más que la ciberseguridad ya no es opcional. Los gobiernos y las agencias reguladoras destacan su importancia, especialmente cuando se trata de organizaciones que operan en sectores críticos para la infraestructura nacional de un país. Esto da como resultado un conjunto cada vez mayor de requisitos de cumplimiento que parecen desalentadores, pero desde ESET, compañía líder en detección proactiva de amenazas, afirman que son esenciales para el buen funcionamiento y la seguridad pública.

Para empezar, se distinguen dos tipos de cumplimiento: obligatorio y voluntario, cada uno conlleva su propio conjunto de requisitos. El cumplimiento obligatorio abarca las normativas aplicadas por organismos estatales o adyacentes, dirigidas a empresas que operan en sectores de infraestructuras críticas, como la sanidad, el transporte y la energía. Por ejemplo, una empresa que trabaje con datos de pacientes en Estados Unidos debe cumplir la Ley de Portabilidad y Responsabilidad del Seguro Médico (conocida como HIPAA, de acuerdo con sus siglas en inglés), una normativa federal, para mantener la privacidad de los datos de los pacientes más allá de las fronteras estatales.

Por otro lado, el cumplimiento voluntario significa que las empresas solicitan certificaciones y normas específicas que las identifican como expertas en un campo concreto o califican algunos de sus productos como conformes a una norma. A título de ejemplo, una empresa que busque credibilidad medioambiental puede solicitar la certificación ISO 14001, que demuestra su compromiso con las prácticas respetuosas con el medio ambiente.

“La normativa específica en materia de ciberseguridad qué debe cumplir una organización; lo cual depende del tipo de sector en el que opere la empresa y de la importancia que tenga la seguridad de sus datos internos para la privacidad, la seguridad de los datos o los actos sobre infraestructuras críticas. También hay que tener en cuenta que muchas normativas y certificaciones son específicas de cada región. Además, dependiendo de qué clientes o socios quiera atraer una empresa, es aconsejable solicitar un certificado específico para poder optar a un contrato”, comenta Fabiana Ramirez Cuenca, Investigadora de Seguridad Informática de ESET Latinoamérica.

En cualquier caso, desde ESET aconsejan a que el cumplimiento de la normativa forme parte de los cimientos de cualquier estrategia empresarial. Como los requisitos normativos seguirán aumentando en el futuro, a las empresas bien preparadas les resultará más fácil adaptarse a los cambios. El cumplimiento se mide continuamente, lo que puede ahorrar a las organizaciones importantes recursos y permitir su crecimiento a largo plazo.

ESET comparte un repaso de las leyes y marcos normativos más importantes en materia de ciberseguridad

• Reglamento General de Protección de Datos (RGPD): El GDPR es una de las normativas sobre privacidad y seguridad de datos más estrictas a nivel mundial. Se centra en los derechos de privacidad y protección de datos de las personas en la Unión Europea, dándoles el control sobre sus datos y ordenando el almacenamiento seguro y la notificación de infracciones para las empresas que gestionan los datos.
• Ley de Portabilidad y Responsabilidad de los Seguros Sanitarios (HIPAA): Esta ley regula el tratamiento de la información de los pacientes en hospitalesy otros centros sanitarios. Representa un conjunto de normas diseñadas para proteger los datos sanitarios confidenciales de los pacientes frente a usos indebidos, exigiendo a las entidades administrativas que promulguen diversas salvaguardias para proteger dichos datos, tanto física como electrónicamente.
• Marcos del Instituto Nacional de Normas y Tecnología (NIST): Agencia gubernamental estadounidensedependiente del Departamento de Comercio, elabora normas y directrices para diversos sectores, entre ellos el de la ciberseguridad. Al imponer un determinado conjunto de políticas que sirven de base a la seguridad de las organizaciones, permite a las empresas e industrias gestionar mejor su ciberseguridad. Por ejemplo, el Marco de Ciberseguridad 2.0 del NIST contiene orientaciones exhaustivas para organizaciones de todos los tamaños y postura de seguridad actual sobre cómo pueden gestionar y reducir sus riesgos de ciberseguridad.
• Norma de seguridad de datos del sector de las tarjetas de pago (PCI DSS): PCI DSS, diseñada para controlar el manejo de datos de tarjetas de crédito. Su objetivo es reducir los riesgos de fraude en los pagos reforzando la seguridad en torno a los datos de los titulares de tarjetas. Se aplica a todas las entidades que manejan datos de tarjetas, ya sea una tienda, un banco o un proveedor de servicios.
• Directiva sobre seguridad de las redes y de la información (NIS2): Esta directiva refuerza la ciberresiliencia de las entidades críticas de la Unión Europea al imponer requisitos de seguridad y prácticas de gestión de riesgos más estrictos a las entidades que operan en sectores como la energía, el transporte, la sanidad, los servicios digitales y los servicios de seguridad gestionados. NIS2 también introduce nuevas normas de notificación de incidentes y multas por incumplimiento.

Ante un incumplimiento algunas normativas establecen sanciones cuantiosas. Por ejemplo, las infracciones del GDPR pueden dar lugar a multas de hasta 10 millones de euros, o el 2% de la facturación anual global, para cualquier empresa que no notifique una infracción a una autoridad supervisora o a los interesados. Las autoridades supervisoras también pueden imponer multas adicionales por medidas de seguridad inadecuadas, con los consiguientes costes adicionales.

En Estados Unidos, el incumplimiento de la FISMA, por ejemplo, puede suponer una reducción de la financiación federal, audiencias gubernamentales, censura, pérdida de futuros contratos y mucho más. Del mismo modo, las infracciones de la HIPAA también podrían tener consecuencias, ya sean multas por valor de 1,5 millones de dólares anuales e incluso penas de cárcel de 10 años.

“En definitiva, es mejor prevenir que curar (o lamentar), y también es prudente mantenerse al día en cuanto a las normativas de ciberseguridad específicas de su sector. En lugar de verlo como un gasto adicional evitable, su empresa debería asumir el cumplimiento como una inversión esencial y regular, doblemente en el caso de las normas obligatorias, que, si se descuidan, podrían poner rápidamente su negocio, si no su vida, patas arriba”, concluye Ramirez Cuenca, de ESET Latinoamérica.

Coordenadas de contacto con ESET en Venezuela: https://www.eset.com/ve/. También sus redes sociales: Instagram (@esetla) y Facebook: (ESET)

Con información e imagen referencial suministradas por ESET y Comstat Rowland 

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

La entrada Normativas en ciberseguridad no deben verse como un gasto adicional evitable  apareció primero en Bitfinance.