Seguridad de la información

Nuevo modelo contra el cibercrimen

La seguridad de la información es una de las grandes prioridades de Bankinter, con vistas a garantizar un alto nivel de confidencialidad, integridad y disponibilidad a clientes, empleados, accionistas y proveedores. Con ese objetivo, la entidad realizó en 2017 ajustes organizativos y planificó una nueva estrategia para reforzar la estructura de seguridad. Para implantar estos cambios se reorganizó el Plan Director de Seguridad de la Información, cuya duración se amplía hasta 2019. 

El modelo para la lucha contra los ciberdelincuentes está basado en 3 líneas de defensa; la primera línea es tecnología, negocio, operaciones, etc.; la segunda línea es control de riesgo y cumplimiento normativo; y la tercera línea es auditoria que mira porque la primera y la segunda línea actúen con independencia y con un enfoque de mejora continua.

Desde el punto de vista de la organización, dentro de la Dirección de Seguridad de la Información, se han creado tres gerencias:

Riesgos tecnológicos: Con foco en cumplimiento normativo, políticas, plan de continuidad de negocio, análisis de riesgos, etc

Ciberseguridad: Cuya prioridad es la protección de datos de clientes, simulación de ataques constantes contra nuestros sistemas y mejora continua contra ciberataques.

Monitorización de seguridad y prevención del E-fraude: Donde se lleva una monitorización de las comunicaciones, transacciones y por otro lado se analiza la seguridad de las aplicaciones.

Sobre esa nueva estructura, Bankinter emprendió en 2017 una estrategia de protección con distintas fases. En un primer momento, se procedió a sentar las bases de la nueva estrategia optimizando procedimientos como el control de acceso a la red y protección del dato para prevenir la fuga de información. 

Tras esta fase, que está previsto se prolongue hasta el primer trimestre de 2018, se desplegará un conjunto de procesos que incluyen: ataques contra nuestra infraestructura, análisis forense informático o sistemas de detección de intrusos avanzados, entre otros. Posteriormente se procederá a acometer proyectos más complejos, con tecnología más avanzada, y a revisar el complejo régimen de subcontratación externa en materia de ciberseguridad. 

Uno de los objetivos más importantes para 2018 es la implantación de un sistema de seguridad adaptativa, que ofrecerá al cliente la posibilidad de decidir cómo gestionar su seguridad (si no quiere hacer transferencias al extranjero, si restringe la actividad de su tarjeta de crédito…), en función de su sensibilidad al riesgo. 

Planes de concienciación

La actividad del área de Seguridad de la Información se completa con el desarrollo de planes de concienciación de los usuarios, que son el eslabón más débil de la cadena de seguridad. La entidad lleva a cabo programas de formación online a través de la Intranet y se realizan simulaciones para obtener información confidencial (contraseñas, datos de identificación, etc.) a través de correos electrónicos, mensajes de texto o llamadas telefónicas. El objetivo es conocer la reacción de la gente en situaciones que pueden ser explotadas por los ciberdelincuentes.  

La creciente importancia de la seguridad de la información se pone de relieve con la rápida expansión del cibercrimen, cuyas actividades han evolucionado y se han hecho mucho más peligrosas. Inicialmente se trataba de prácticas individuales de hackers aficionados, cuya motivación no era fundamentalmente económica. Ahora, el cibercrimen ha creado grandes y sofisticadas estructuras empresariales que son capaces de atacar sectores económicos enteros. 

Uno de los objetivos más importantes para 2018 es la implantación de un sistema de seguridad adaptativa.

El robo a empresas de datos confidenciales masivos, los ataques de acceso de servicio y el phishing (suplantación de una empresa o entidad pública para conseguir información confidencial de la víctima) son las principales estrategias de los ciberdelincuentes. Las instituciones financieras están especialmente expuestas a este tipo de manipulaciones y fraudes como consecuencia de su contacto permanente con el público y por las propias características de su negocio, parte del cual descansa sobre el sistema de pagos.