Con el pasar del tiempo entendimos que los datos ayudan a tomar mejores decisiones en cuanto a ciberseguridad. Para ser más específicos, venimos de la seguridad basada en datos e inteligencia.
¿Pero qué hace que las operaciones de seguridad sean más sencillas?
Para dar respuesta a esta pregunta, en este artículo hablaremos acerca de la historia de la ciberseguridad, la evolución del perfil del CISO, los retos a los que se enfrenta la ciberseguridad en la actualidad y, por último, compartiremos 9 recomendaciones para hacer que tu estrategia de ciberseguridad funcione.
¿QUIERES VERLO EN VEZ DE LEERLO?
Las empresas evolucionan su forma de defenderse de los ciberataques con el tiempo. Entonces, ¿cómo tomábamos esas decisiones en las primeras etapas de la ciberseguridad?
En A3Sec, la primera etapa la nombramos Benchmarking debido a que nos protegíamos según las recomendaciones. Preguntábamos a nuestros amigos o conocidos cómo hacían para protegerse, y luego lo imitábamos.
Los cambios siguieron, y las personas de negocio comenzaron a utilizar metodologías más efectivas para la toma de decisiones. Y un excelente enfoque era la gestión del riesgo.
La etapa actual, a la que llamamos eficiencia operativa, está cambiando la ciberseguridad puesto que se nos pide hacer más con menos, es decir, que los controles tengan mayor cobertura y que a la vez nos cueste menos.
El papel del CISO ha evolucionado junto con el avance de la ciberseguridad. Hay que destacar tres perfiles principales que han servido para definir al CISO como hoy en día lo conocemos.
El hacker. Este fue el primer perfil que le dio el rol de responsable de ciberseguridad. Eran personas que tenían notables habilidades técnicas y que podían meterse dentro de las herramientas. Sin embargo, conocían poco sobre gestión de riesgo.
El auditor de sistemas. Es el segundo perfil que evoluciona hasta convertirse en CISO. El auditor sigue al pie de la letra lo que establecen las políticas, normas, leyes y regulaciones. No negocia un control por lo que se debe implementar todo para que esté tranquilo. Su perfil es adverso al riesgo.
El hombre de negocios. La persona de este perfil tiene habilidades ejecutivas y asume la responsabilidad de ciberseguridad. Es un perfil que entiende cómo negociar.
Empecemos con una autoevaluación: ¿cuánta información de su empresa conoces?
Responder con sinceridad esta pregunta es importante ya que la capacidad de comprender lo que ocurre en nuestras empresas es el primer reto al que se enfrenta la ciberseguridad.
Y es un reto porque el 80% de los datos son desconocidos para las empresas.
Si no prestamos atención a lo que ocurre dentro de nuestra organización y no conocemos lo que protegemos difícilmente vamos a saber si estamos seguros.
Según una investigación de IBM, una empresa puede tardar hasta 280 días en detectar un ataque. También señalan que el coste medio de un incidente de ciberseguridad es de aproximadamente 4 millones de dólares.
Las grandes empresas dedicadas exclusivamente a la ciberseguridad también se enfrentan a este reto.
Mandiant, una firma que investiga las técnicas, tácticas y procedimientos de los atacantes, emitió un comunicado en el que afirmaba que habían sido atacados y que habían tardado tres meses en darse cuenta.
Los procesos de gestión de la vulnerabilidad son uno de los problemas que encontramos en muchas organizaciones.
Para empezar, el área de ciberseguridad realiza pruebas de vulnerabilidad en los sistemas de forma periódica, lo que puede llevar de uno a dos meses. En segundo lugar, el informe tarda un mes en producirse. Una vez examinado, tardamos dos semanas en entregar el informe al departamento técnico. Por último, seis meses después, realizamos otro informe para compararlo con el anterior.
En promedio, las organizaciones se demoran 65 días en cerrar vulnerabilidades críticas, y lo más probable es que más del 85% de las vulnerabilidades sean las mismas.
Dado que se trata de procedimientos que consumen mucho tiempo, debemos replantear el modelo de detección y respuesta para hacerlo más eficiente.
En A3Sec tenemos muy claro algo: "Es imposible emprender la gestión de la seguridad sin disponer de un inventario de activos claro, actualizado y supervisado continuamente".
El problema es que las organizaciones en su transformación digital, comienzan a crear servicios y a publicar soluciones efímeras, donde un servicio puede durar desde 20 minutos, 24 horas, 6 meses hasta 1 año. Pero evoluciona tan rápido la infraestructura de las organizaciones que los responsables de ciberseguridad ni siquiera se dan cuenta que existe.
En consecuencia, la responsabilidad más importante será conocer lo qué debemos proteger.
La siguiente etapa consiste en averiguar cómo está configurado cada activo del inventario y qué podría estar mal.
Para ello, los controles que se aplican en el ámbito de la ciberseguridad deben mitigar los riesgos y la incertidumbre. No olvidemos que estos controles tienen un ciclo de vida, hay que asegurarse de que siguen cumpliendo el objetivo para el que fueron implementados de forma continua.
En A3Sec nos dimos cuenta que tener visibilidad en nuestra organización y poder producir alertas sobre cosas que podrían ser críticas era esencial.
No obstante, cuando recibimos un gran número de alertas, podemos experimentar la fatiga de las alertas.
Por ejemplo, revisamos nuestras alarmas y vemos que es un falso positivo, luego volvemos a comprobarlo y vemos que es un falso positivo de nuevo, por lo que nos puede llegar a cansar y dejamos de tratar o analizar estas alertas.
La clave es saber evaluar los riesgos de las alarmas y centrarse en lo que es verdaderamente vital para nosotros, a fin de evitar la fatiga de alertas.
Hemos comprobado que gastar dinero para sensibilizar a la gente es ineficaz, ya que los individuos son sociables por naturaleza y susceptibles de ser atacados.
Por ello, más que repetir las advertencias, debemos ayudar a las personas a crear hábitos seguros y ser capaces de detectar las acciones de las personas e identificar anomalías que podrían suponer un riesgo para la empresa.
Las amenazas conocidas son aquellas con las que ya nos hemos encontrado y la mayoría de las herramientas de ciberseguridad pueden detectarlas y desarrollar una acción de contención en respuesta a la amenaza.
Para gestionar las amenazas emergentes una iniciativa importante es la gestión de la inteligencia de ciberseguridad y compartir lo que nos ocurre al ecosistema. Muchos países empiezan a ver con importancia el compartir esta inteligencia para que mejoremos nuestras capacidades, algunos ven con interés imponer esta iniciativa de intercambiar inteligencia mediante regulaciones.
Lo que se hace en este sentido es disponer de herramientas que captan la inteligencia tanto de fuentes públicas como privadas, así como de la propia organización, para ayudar a generar un contexto de lo que está ocurriendo. De esta manera estaremos preparados para las nuevas técnicas, tácticas y procedimientos que nos puedan afectar.
La utilizamos para incidentes que nunca le han ocurrido a nadie más y para los que somos los primeros en estar expuestos.
La gestión de las crisis nos proporciona un marco de trabajo para hacer frente a cosas que no entendemos y a las que nunca nos hemos enfrentado. Se trata de entender cómo analizamos y cómo ponemos ciertas medidas para afrontarlos, y luego utilizar el proceso de aprendizaje para arreglar los problemas de modo que no vuelvan a ocurrir o que seamos mucho más fuertes después.
Desde el punto de vista de la ciberseguridad, estamos supervisando la infraestructura para ver si hay alguna falla que no estemos detectando y que pueda dar lugar a un incidente de ciberseguridad.
Y ese es un componente que debe incluirse también en las medidas de seguridad.
La eficacia operativa del modelo de gestión de la ciberseguridad mejora con la automatización y la orquestación de los procedimientos operativos.
Todas las acciones que realiza el equipo de seguridad en el transcurso de su trabajo deben ser automatizadas. Debemos tomar decisiones con los mínimos recursos que tenemos en el ámbito de la seguridad y pensar en las novedades que puedan surgir, en lugar de dedicar recursos a tareas repetitivas que puede realizar una máquina.
Evalúe periódicamente la eficacia de los controles de seguridad para detectar posibles ahorros de costes y eficiencias en su empresa.
Debemos recordar que la seguridad es un proceso, no una posición fija.
Cada control debe evolucionar con la tecnología, y nuestra estrategia de seguridad debe crecer también con ella.
Espero que ahora comprenda mejor lo que debe hacer para que su sistema de ciberseguridad funcione correctamente, tanto si quiere encargarse usted mismo como si contrata a profesionales.