El costo de una brecha de seguridad

En 2017, Equifax, una empresa de monitoreo de crédito con sede en Atlanta, sufrió un ataque informático. Equifax utilizaba una versión desactualizada de la biblioteca Java Apache Struts en su sistema, lo que permitió que actores maliciosos se infiltraran aprovechando una vulnerabilidad conocida. Como resultado de la brecha, la empresa expuso los datos personales de 143 millones de estadounidenses.

Recientemente, Equifax llegó a un acuerdo por 380.5 millones de dólares estadounidenses para resolver la demanda colectiva derivada del incidente.

Retorno de la inversión

Todos entendemos que la seguridad es importante, pero nuestras acciones no siempre lo reflejan. El debate sobre estos temas suele centrarse, en mayor o menor medida, en los costos, con preguntas como: «¿Cuánto deberíamos invertir en seguridad?», «¿Qué valor obtenemos?» y «¿Cuál es el retorno de la inversión?». En esencia, el retorno de la inversión es tan simple como «evitar una brecha». Por eso, las empresas deben invertir en seguridad para prevenirlas. Cuánto se debería invertir en seguridad es una pregunta difícil de responder y siempre está sujeta a debate. Pero veámoslo desde otro ángulo: «¿Qué tipo de datos tienes?», «¿Qué tan importante es tu sistema?» y «¿Cuáles son los costos si sufres una brecha?»

Es importante tener presente que las medidas de seguridad no son un esfuerzo de una sola vez. Así como debemos pensar en la escalabilidad, la facilidad de mantenimiento y la confiabilidad durante el ciclo de vida del desarrollo de software (SDLC), la seguridad es y siempre será un trabajo continuo.

Vulnerabilidad conocida

La brecha de Equifax fue posible debido a una vulnerabilidad conocida en un paquete de código abierto que utilizaban. Puedes encontrar más información y detalles técnicos sobre esta brecha en esta publicación del blog.

La vulnerabilidad ya se había detectado, divulgado y corregido en una versión más reciente de Apache Struts, incluso antes de que Equifax sufriera la brecha. Sin embargo, si ignoras las vulnerabilidades de seguridad conocidas en tus bibliotecas, te arriesgas a sufrir una brecha como la de Equifax.

El caso de Equifax nos muestra lo costosas que pueden ser las brechas de seguridad. Como esta brecha afectó a cerca del 60 % de la población adulta de Estados Unidos, se espera que el monto total de las compensaciones de Equifax llegue a los 700 millones de dólares estadounidenses. Las personas afectadas que cumplan los requisitos para recibir una compensación pueden reclamar hasta 20,000 dólares estadounidenses cada una.

Pero incluso si no tienes que pagar 380.5 millones de dólares para resolver una demanda, sufrir una brecha suele tener consecuencias negativas para el negocio. Sin la confianza del público, la mayoría de las empresas nunca se recupera de incidentes de seguridad tan graves.

Busca vulnerabilidades conocidas

Analizar periódicamente tus proyectos en busca de vulnerabilidades conocidas en los paquetes de código abierto que usas contribuye mucho a prevenir una brecha como la descrita anteriormente. Incluir el análisis de vulnerabilidades como parte integral de tu SDLC seguro te ayuda a prevenir brechas causadas por vulnerabilidades conocidas y a evitar los posibles costos elevados de un incidente de este tipo.