Lo que la Copa Mundial puede enseñarnos sobre la resiliencia en ciberseguridad
Una vez finalizada la Copa del Mundo, su mayor problema de ciberseguridad puede ser lo que no sucedió. Si bien no se ha informado de ninguna interrupción cibernética pública importante, eso no debe confundirse con una falta de riesgo.
En el período previo al torneo, el Centro de Quejas de Delitos en Internet (IC3) del FBI emitió un anuncio de servicio público advirtiendo a las organizaciones y a los fanáticos sobre sitios web fraudulentos y falsificados que se hacen pasar por el evento de la FIFA, un recordatorio de que la ausencia de una infracción que acapare los titulares no significa que los malos actores no lo estuvieran intentando. En muchos sentidos, es una prueba de la planificación, coordinación y resiliencia necesarias para que un evento de esta escala siga funcionando de forma segura.
Un evento global como la Copa del Mundo depende de mucho más que lo que sucede dentro del estadio. Depende de los gobiernos locales, lugares, sistemas de transporte, proveedores de telecomunicaciones, plataformas de pago, hoteles, proveedores, agencias de seguridad pública y fuerzas del orden, todos trabajando juntos.
Cuando trabajé en el FBI, vi con qué rapidez los acontecimientos importantes ponen a prueba el trabajo en equipo en agencias, regiones y empresas. La Copa del Mundo ofreció esa prueba a una escala que pocos eventos pueden igualar.
La resiliencia exitosa se construye meses antes del inicio
La seguridad exitosa en eventos importantes depende de lo que suceda mucho antes de que haya un incidente visible: relaciones confiables, roles claros, inteligencia compartida y planes de respuesta. La planificación se vuelve aún más importante cuando un evento no se limita a una sola ciudad o lugar.
En el pasado, la seguridad de los eventos consistía en guardias, puertas y perímetros del estadio. Esos todavía importan, pero son sólo una parte del panorama. Hoy en día, un evento de esta magnitud que reúne a millones de personas depende de que muchos sistemas funcionen en conjunto. Ninguna organización posee por sí sola el panorama completo del riesgo, lo que significa que la resiliencia depende de qué tan bien estos grupos puedan compartir información, coordinar planes de respuesta y mantener los servicios esenciales operando bajo presión. Esto significa que la seguridad no se puede planificar en torno a un perímetro. El perímetro real es el ecosistema completo del evento.
La resiliencia comienza mucho antes, con la planificación en organizaciones que normalmente no operan como un solo equipo. La verdadera prueba para los eventos importantes es si los socios de los sectores público y privado conocen sus roles antes de que llegue la presión. Eso incluye quién comparte información, quién valida las amenazas, quién se comunica con el público, quién tiene autoridad para tomar decisiones y qué tan rápido pueden actuar los socios si un sistema se ralentiza o deja de estar disponible.
Los grandes acontecimientos son tan resilientes como los sistemas que los sustentan
Los atacantes no necesitan comprometer la organización más visible para crear interrupciones. Pueden buscar puntos más débiles en todo el ecosistema del evento. Una interrupción puede comenzar con un proveedor, una plataforma de venta de boletos, un socio de transporte, un proveedor de pagos, un hotel, un contratista o un proveedor de comunicaciones, pero el impacto puede rápidamente volverse más amplio que cualquier organización.
Las organizaciones deportivas ahora operan como grandes empresas, con sistemas de venta de entradas, datos VIP, patrocinadores, proveedores, socios de medios, operaciones de estadios, sistemas de pago y plataformas de participación de los fanáticos. Dependen de redes de proveedores y socios, y eso crea múltiples puntos de entrada posibles.
La tecnología operativa (OT) merece más atención de la que normalmente recibe en estas conversaciones. Un ataque de ransomware que interrumpiera las operaciones del estadio directamente, en lugar de un sitio de venta de entradas o una aplicación orientada a los fanáticos, sería uno de los escenarios más dañinos que podrían enfrentar los organizadores. La seguridad de OT debe acompañar a las preocupaciones más visibles, como el fraude de pagos y los dominios falsificados, no detrás de ellas.
Los malos actores no dejan que se desperdicie una buena crisis. Los fanáticos suelen ser un blanco fácil. La emoción lleva a un aficionado a comprar una entrada de última hora o consultar un resultado en un sitio desconocido. Esa emoción es exactamente con lo que cuentan los estafadores.
Este riesgo crece con el tiempo. A medida que el evento se acerca y atrae más miradas, se convierte en un objetivo más rico. Un sitio web falso de entradas de FIFA es inútil para un delincuente un mes después del último partido. Los grupos que ejecutan estos sistemas deben actuar más rápido a medida que se acerca el día de la inauguración y compartir inteligencia sobre amenazas sin demora.
La inteligencia sobre amenazas convierte la planificación en una defensa proactiva
Puede que el Mundial haya terminado, pero el trabajo no. Las ciudades, los gobiernos y las organizaciones del sector privado seguirán apoyando eventos públicos a gran escala que dependen de complejos ecosistemas digitales y físicos. La pregunta no es si otro evento importante enfrentará amenazas cibernéticas, sino si la planificación comienza con suficiente antelación.
Las organizaciones involucradas en futuros eventos importantes deberían centrarse en la resiliencia, no solo en la prevención. Eso significa planificar lo que sucede si un sistema crítico se ralentiza, se desconecta o deja de ser confiable, y garantizar que los socios sepan cómo coordinarse antes de que ocurra un incidente.
Cada acontecimiento importante obliga a los defensores a prepararse para riesgos conocidos. El desafío más difícil es anticipar los que aún no han surgido.
Es posible que la próxima gran disrupción no provenga del ataque para el que las organizaciones pasaron meses preparándose. Podría apuntar a una nueva dependencia, explotar tecnología emergente o capitalizar un momento en el que la atención pública está en su punto más alto. Por eso la resiliencia no se puede construir basándose en las estrategias del pasado. Tiene que basarse en inteligencia continua sobre amenazas, una coordinación regular entre socios de los sectores público y privado y la flexibilidad para adaptarse a medida que cambia el panorama de amenazas.
La Copa Mundial demostró lo que es posible cuando se combina esa preparación. Mientras las ciudades, los gobiernos y las organizaciones privadas miran hacia futuros eventos globales, el éxito no se medirá únicamente por los ataques que detengan. Se medirá por la eficacia con la que puedan mantener operaciones críticas, compartir información y adaptarse bajo presión cuando suceda lo inesperado.
