La presente edición del proyecto ha sido organizada por ISMS Forum junto con el apoyo de terceras entidades privadas. Entre ellas, se encuentra KPMG como empresa evaluadora, la cual ha analizado los resultados obtenidos en el desarrollo del ejercicio. Por su parte, Ecix Group ha sido la entidad encargada de elaborar un estudio que aporta información sobre las implicaciones legales de cada tipo de ataque sobre los resultados obtenidos en las simulaciones, así como cuáles serían las sanciones a las que las empresas tendrían que enfrentarse. Asimismo, Cymulate, Zerolynx, Riskrecon, Helpsystems y SMARTFENSE han participado bajo el rol de atacantes a las entidades con el objetivo de poder evaluar su respuesta.
La iniciativa se ha desarrollado a través de un ejercicio de ciberseguridad consistente en la realización de un conjunto de pruebas de seguridad y simulacros de ataque a los sistemas de las 35 grandes compañías españolas participantes de este año. Las pruebas han estado exclusivamente orientadas a poner a prueba los mecanismos de seguridad lógica de la entidad, así como la cultura de seguridad de los empleados y su capacidad para detectar y comunicar de forma correcta estos incidentes a los equipos de respuesta.
Las pruebas han permitido contrastar la relación entre ataques lanzados y el impacto originado en la entidad participante, a la vez que comparar los resultados con otras entidades, en una representación anonimizada que permite su identificación.
La Séptima Edición de los Ciberejercicios Multisectoriales continúa progresando, de manera que las evaluaciones parciales realizadas en base a los ataques ya han dejado de manifiesto una idea general sobre el estado del arte y algunos aspectos a tener en cuenta para la continua mejora de la protección y respuesta ante incidentes:
- Queda vigente un incremento en las iniciativas y tecnologías de protección frente a ransomware, aunque aún existe margen de mejora.
- Aspectos más tradicionales como la concienciación de empleados y colaboradores siguen siendo puertas de entrada para atacantes.
- El condicionante actual con la situación de la COVID-19 y el teletrabajo está abriendo nuevas vías de ataque a las que es necesario atender de manera temprana.
La finalidad de los Ciberejercicios Multisectoriales es generar concienciación sobre los riesgos existentes a todos los niveles, reforzar la comunicación y la coordinación, entrenar a las empresas en la gestión de incidentes de ciberseguridad y generar buenas prácticas sobre ciberseguridad en las organizaciones.
Un año más, los CiberMS ponen de manifiesto el importante papel que tiene el sector privado en la ciberseguridad nacional y el bienestar de los ciudadanos, así como los beneficios de la colaboración público-privada. Para ello, es necesario seguir innovando y fomentando estas iniciativas, por este motivo, la Asociación insta a las compañías españolas del sector a participar en la siguiente edición de los Ciberejercicios Multisectoriales.
