La delincuencia por medios informáticos es una realidad con un costo anual estimado en 400 mil millones de dólares a la economía global. Tomando en cuenta el boom de los dispositivos móviles, es de esperar que estos sean un foco importante de los ataques. Es más, desde 2013 se calcula un aumento de 391% en el malware para aparatos móviles. En América Latina, las conexiones de banda ancha se proyectan en 500 millones para 2017. Y cada vez las amenazas son más sofisticadas y dirigidas. Pero los riesgos pueden convertirse en oportunidades en la medida que las organizaciones tengan los conocimientos para aconsejar a la gerencia y utilizar la tecnología a su favor. Estos son algunos de los aspectos resaltados en el Simposio de Delitos Informáticos, realizado la noche del jueves en el auditorio de la Universidad Tecnológica de Panamá.

En el evento se expusieron algunos mitos sobre la seguridad informática en Panamá y se habló del Convenio de Budapest, del cual Panamá es signatario, y que define el “crimen cibernético” como delitos que abarcan desde actividades criminales contra datos hasta las infracciones de contenidos y de derecho de autor. También se mencionaron ejemplos de los delitos más comunes que ocurren en el país, las sanciones establecidas en el Código Penal, la obtención de pruebas en estos casos y se dieron algunas recomendaciones.

El ingeniero John César Arango, de IT Forensic, explicó algunos tipos de ataques, incluyendo el uso de la ingeniería social para tener acceso a un dispositivo, el uso de unidades de USB para acceder a un equipo, aquellos cometidos a través de redes wifi, ataques a las redes de datos, denegación de servicios y ransomware o secuestro de la información, y mostró videos sobre cómo se ejecutaban.

Rubén Fernández, de la empresa consultora y administradora de riesgo Riscco, destacó que hace cuatro meses hicieron una encuesta que reveló que localmente se piensa que la responsabilidad de la seguridad informática en una organización corresponde al departamento de tecnología, pero no debe ser así. Además, las empresas quieren tener controles de seguridad, pero los altos mandos, quienes manejan más información confidencial, quizás son los que menos se protegen, por ejemplo, con contraseñas débiles. Otra concepción falsa que se tiene es que los colaboradores no se roban datos confidenciales y sensitivos, es decir, hay un exceso de confianza. Y también se concentran muchas funciones que involucran información clave en una sola persona.

Algunas organizaciones estiman que son seguras porque no han sufrido un ataque, pero Fernández advierte de que cada día salen nuevas amenazas y hay que estar preparados. Es falso, además, que los atacantes se enfocan solo en compañías grandes. Entre más pequeña sea una empresa, tiene menos personal, cada uno con más funciones y menos controles de seguridad.

En Panamá ocurren delitos como fraudes en banca en línea, en tarjetas de crédito, robo de credenciales de acceso a sistemas, robo de información sensitiva en computadoras o servidores, ataques de denegación de servicios, robo de identidad y la eliminación, alteración e interceptación de información.

El secuestro de información está de moda, y en un caso real que se dio en el país, mencionó Fernández, un servidor de base de datos de un sistema de facturación fue “secuestrado”. La empresa no pudo facturar en una semana, tuvo que hacer procesos manuales y pagar el secuestro para poder desencriptar sus datos. Los backup también estaban cifrados. Afortunadamente, el atacante cumplió, porque hay casos en los que aunque el afectado pague el rescate, no tiene garantía de recuperar sus datos.

El Código Penal panameño en los artículos 289, 290, 291 y 292 contempla penas de 2 a 4 años para delitos en materia de seguridad por medios electrónicos, aunque pueden haber agravantes. Constituyen elementos probatorios los documentos, emails, imágenes, conversaciones por chat, Skype, etc., y transacciones financieras, pero se deben cumplir ciertos parámetros para no afectar las evidencias.

CONSEJOS

- Se debe tener un enfoque basado en los riesgos tecnológicos e implementar un modelo de seguridad de la información en las organizaciones.

- Monitorear el cumplimiento de los esquemas de gestión de riesgos.

- Tener un control efectivo de los dispositivos y software autorizados, las configuraciones seguras en cada aparato, etc.

- Tener cuidado con el uso de cuentas privilegiadas y gestionar las cuentas de accesos a aplicaciones.

- Mantener monitoreos permanentes y automáticos.

- Prestar atención adónde se tiene la información confidencial. Por ejemplo, no dejar documentos importantes en una copiadora.