Save the Children, un faro de esperanza y cambio, se ha dedicado a mejorar la vida de los niños durante más de un siglo. Fundada en Londres, actualmente tiene presencia en 29 países, con 844 empleados solo en el Reino Unido y más de 3600 voluntarios formales. A medida que organizaciones benéficas y sin fines de lucro como Save the Children continúan con su labor centrada en su misión, se enfrentan a un conjunto cada vez mayor de desafíos de ciberseguridad.
En esta publicación de blog, profundizamos en estos problemas y exploramos soluciones con la perspectiva de Gareth Packham, Director de Seguridad de la Información y Protección de Datos en Save the Children International (SCI), y Sean Costigan, Director General de Estrategia de Resiliencia en Red Sift.
Mira la interesante conversación entre Sean y Gareth aquí.
El panorama de la ciberseguridad para las organizaciones sin fines de lucro
Las organizaciones benéficas y sin fines de lucro continúan con su transformación digital mientras manejan grandes cantidades de datos sensibles, incluida información personal (PII) y financiera de donantes, beneficiarios y empleados. Proteger estos datos es crucial no solo para mantener la confianza, sino también para cumplir con las normativas de protección de datos nacionales e internacionales, como el RGPD. Sin embargo, las limitaciones operativas propias de las organizaciones sin fines de lucro, como presupuestos y recursos limitados, hacen que la ciberseguridad sea un desafío formidable.
Las filtraciones de datos representan una amenaza constante, con un aumento del 20% en 2023 en el número de brechas conocidas públicamente, lo que pone en riesgo de exposición la información personal y financiera. Una filtración puede provocar pérdidas financieras graves, daño a la reputación y erosión de la confianza, además de repercusiones legales. Los ataques de ransomware también se han disparado, con pagos que superaron los 1.000 millones de dólares en 2023. Estos ataques pueden paralizar las operaciones de una organización, bloqueando datos y sistemas críticos hasta que se pague un rescate, y las organizaciones sin fines de lucro han sido blanco frecuente de estos ataques.
Los ciberdelincuentes suelen tener éxito porque las organizaciones no han hecho bien lo básico. En otros casos, actores maliciosos más sofisticados pueden buscar dañar la reputación de organizaciones sin fines de lucro o generar información sobre sus actividades. Para estas organizaciones, el phishing sigue siendo un método común que utilizan los ciberdelincuentes para engañar a los empleados y hacer que revelen información sensible, lo que a menudo provoca importantes brechas de seguridad.
Pero muchas organizaciones sin fines de lucro tienen dificultades para asignar fondos y recursos suficientes a la ciberseguridad, lo que genera vulnerabilidades en sus defensas, un entorno que algunos han denominado “pobre en ciberseguridad / rico en objetivos”. Además, a nivel mundial el sector de la ciberseguridad está experimentando una importante escasez de talento, lo que dificulta que las organizaciones sin fines de lucro encuentren y retengan a profesionales cualificados.
Preguntas clave para expertos en ciberseguridad y riesgos
Para explorar más a fondo estos problemas críticos, Gareth Packham y Sean Costigan abordaron las siguientes preguntas clave:
¿Cómo pueden las organizaciones benéficas y sin fines de lucro gestionar y mitigar de manera eficaz los riesgos asociados con las filtraciones de datos para proteger información personal y financiera sensible?
¿De qué maneras pueden las organizaciones sin fines de lucro mejorar la formación de los empleados y su cultura de seguridad para aumentar la resiliencia frente a las ciberamenazas?
¿Qué estrategias pueden implementar las organizaciones sin fines de lucro para mejorar la asignación de recursos a la ciberseguridad y prevenir el cibercrimen, en particular los ataques de ransomware?
¿Cómo pueden las organizaciones sin fines de lucro evaluar y proteger sus sistemas frente a vulnerabilidades introducidas por servicios y proveedores externos?
¿Cómo pueden las organizaciones colaborar con el gobierno y los proveedores para mejorar la ciberseguridad de las organizaciones sin fines de lucro?
Los ciberdelincuentes se están lucrando a costa de las organizaciones sin fines de lucro
La Cruz Roja descubrió una importante filtración de datos en 2022, que explotó una vulnerabilidad sin parchear y comprometió los datos personales de más de 500.000 personas vulnerables. Este incidente puso de relieve las graves implicaciones de las filtraciones de datos, incluido el posible daño a las personas afectadas y el perjuicio a la reputación de la organización.
Otro ejemplo destacado es el ciberataque a la American Cancer Society en 2019. Los piratas informáticos accedieron al sistema de procesamiento de tarjetas de crédito de la organización, lo que provocó el robo de datos de tarjetas de crédito que fueron vendidos o utilizados en fraudes posteriores. Este ataque no solo causó pérdidas financieras, sino que también erosionó la confianza de los donantes.
En 2024, la Comisión Federal de Comercio presentó una denuncia contra Blackbaud, una organización que proporciona “datos, recaudación de fondos y servicios financieros a más de 45.000 empresas, incluidas organizaciones sin fines de lucro, fundaciones, instituciones educativas y organizaciones sanitarias”. En 2020, Blackbaud sufrió una filtración —al parecer debido a controles de usuario laxos— que comprometió la información personal de millones de consumidores. La filtración tuvo efectos en cascada y duraderos para miles de organizaciones sin fines de lucro.
En mayo de 2024, el gobierno de EE. UU. publicó un aviso de ciberseguridad que destacaba cómo Corea del Norte explotaba políticas de registros DNS de Autenticación, Reporte y Conformidad de Mensajes Basada en Dominios (DMARC) mal configuradas para ocultar intentos de ingeniería social. Muchas organizaciones sin fines de lucro estadounidenses fueron sorprendidas desprevenidas, lo que permitió a los atacantes norcoreanos llevar a cabo spear phishing mediante correos electrónicos falsificados. La astucia de la campaña y del exploit hacía que estos correos parecieran provenir del intercambio de correo legítimo de un dominio.
Las amenazas persistentes avanzadas también apuntan a las organizaciones sin fines de lucro, representando ataques dirigidos a largo plazo cuyo objetivo es robar información sensible o defraudar a donantes y otras personas durante períodos prolongados. También aquí, la ingeniería social puede engañar a las personas para que divulguen información confidencial o realicen acciones que comprometan la seguridad.
Estos ejemplos subrayan la urgente necesidad de contar con medidas de ciberseguridad sólidas en el sector sin fines de lucro.
Estrategias para fortalecer la ciberseguridad en las organizaciones sin fines de lucro
Estas son algunas conclusiones clave recomendadas para que las organizaciones sin fines de lucro mejoren su postura de ciberseguridad:
- La gestión eficaz de los riesgos de filtración de datos involucra tanto elementos tecnológicos como humanos. Las organizaciones sin fines de lucro deberían aprovechar los marcos y guías disponibles para establecer políticas adecuadas.
- Las soluciones tecnológicas complementan la implementación de cifrado robusto, autenticación multifactor, auditorías de seguridad periódicas, copias de seguridad diligentes y controles de acceso sólidos para proteger la información sensible.
- Además, fomentar una cultura de concienciación en seguridad basada en la confianza es crucial. Los empleados deben estar capacitados para reconocer posibles amenazas y comprender la importancia de proteger los datos. Desarrollar una cultura de seguridad sólida en la que todos se sientan responsables de la ciberseguridad puede reducir significativamente el riesgo de filtraciones y aumentar la resiliencia.
- Las organizaciones sin fines de lucro pueden aprender unas de otras y organizar talleres y simulaciones periódicas para mantenerse informadas sobre las últimas tácticas de cibercrimen y las mejores prácticas de seguridad.
- Los gobiernos ofrecen abundantes recursos, como el Cyber Essentials del Reino Unido o el NIST Cybersecurity Framework de EE. UU. Además, muchos proveedores de ciberseguridad de confianza ofrecen precios especiales para organizaciones sin fines de lucro.
Conclusión
A medida que crecen sus infraestructuras digitales, las organizaciones sin fines de lucro deben priorizar la ciberseguridad como un riesgo empresarial. Aunque los fondos suelen ser limitados, invertir en formación y en herramientas de seguridad esenciales, como la protección del correo electrónico y del dominio, puede prevenir incidentes costosos que afecten la confianza y la reputación. Explorar colaboraciones y subvenciones específicas para ciberseguridad también puede proporcionar recursos adicionales. Para mitigar los riesgos asociados con los servicios de terceros, las organizaciones sin fines de lucro pueden llevar a cabo evaluaciones de riesgo exhaustivas y procesos de diligencia debida antes de contratar a proveedores.
Las organizaciones sin fines de lucro también pueden considerar la adquisición de un seguro de responsabilidad cibernética, pero esto requiere una evaluación cuidadosa de los riesgos y necesidades específicas de la organización. Factores como el posible impacto financiero de los incidentes cibernéticos, las medidas de seguridad existentes y la tolerancia general al riesgo de la organización deberían influir en esta decisión. Recuerda: el seguro puede proporcionar una red de seguridad valiosa, pero debe complementar, no sustituir, las buenas prácticas de ciberseguridad.
A medida que organizaciones sin fines de lucro como Save the Children continúan con su labor esencial, proteger los datos sensibles y mantener la confianza es primordial. Al abordar los múltiples desafíos de la ciberseguridad mediante una defensa en profundidad, planificación estratégica, formación de empleados, medios técnicos y una gestión de riesgos sólida, las organizaciones sin fines de lucro pueden protegerse mejor y garantizar la continuidad de sus misiones vitales.
