Ya ha pasado aproximadamente un mes desde el evento de la RSAC 2023 en San Francisco, California. Seguramente, si estuviste presente, tu bandeja de entrada ha recibido cientos de correos electrónicos, sobre agradecimientos de haber pasado a su stand de varios fabricantes, así como solicitudes de agenda para presentarse o presentar el producto y servicio. Algunos de ellos mejor redactados que otros, algunos más insistentes, otros menos, pero al final múltiples correos.
La ciberseguridad es una práctica que tiene como herramientas de trabajo miles de fabricantes que ofrecen algún tipo de Software para abordar una problemática específica o múltiples problemáticas.
Al ver a todos estos fabricantes con sus correos y enfoques, me surge la idea de cómo abordar una forma de entender el ecosistema de seguridad digital. Cómo enfocar, discernir y clasificar mejor todas esas luces de colores y mensajes que prometen tener el mejor producto o solucionar tus problemas.
Diferentes enfoques en ciberseguridad y elección de la mejor tecnología
La ciberseguridad puede tener múltiples enfoques para resolver o atacar una problemática, de hecho existen múltiples Frameworks para eso. Cómo escoger la mejor tecnología, cómo escoger el mejor Framework. A continuación, veamos un poco los números de la RSA 2023 Conference:
- Hubo 550 expositores en el piso entre la zona norte y zona sur, eso sin contar el Sandbox o las conferencias.
- Si hiciéramos un cálculo y dedicamos solo 5 minutos a cada uno de los 550 expositores, necesitaríamos 44.8 horas para ver a todos ellos. Estos números son claramente inviables, ya que el evento dura solo 3 días y disponemos de aproximadamente 5 horas por día para dedicar a la exposición, lo cual no es suficiente.
Entonces, ¿cómo enfocar una estrategia de visita, ¿cómo sacarle el máximo provecho a este evento que reúne a tantas personas y fabricantes que tienen algo que ofrecer?
La importancia de la planificación estratégica en la protección de organizaciones
Si extrapolamos esta idea al día a día de una persona que se dedica a proteger una organización, debemos tener una planificación sobre la estrategia de seguridad digital que permita identificar el tipo de tecnologías que buscas, saber que tienes un área de oportunidad o que falta algo en los esquemas de protección.
En esta RSA Conference 2023 vimos temas como SecDevOps o DevSecOps, ambos válidos, también oferta en visibilidad en las nubes como controlar y asegurar todos esos servicios SaaS, la seguridad en las aplicaciones móviles o sistemas de Monitorización de alguno de los aspectos operativo, además, no se dejó de hablar del combo XDR.
El mensaje de Stronger Together hablaba más de cómo construir sistemas armónicos de seguridad digital que unidos puedan funcionar de una forma más eficiente. No basta con unir los SILOS de información, no basta con tener una serie de herramientas como un checklist solo por cumplir, deben de hacer lo que hacen bien pero en una unidad y sincronía para lograr un objetivo de forma armónica.
El desafío de ensamblar herramientas de seguridad digital en un entorno complejo
Unir las herramientas de seguridad digital para que funcionen de forma organizada cumpliendo su propósito adecuadamente es un reto muy importante, ya que tiene mucho trasfondo.
¿Quién lo va a unir?, ¿cómo hacer que funcione?, Si en ocasiones no hablan el mismo idioma o tienen la misma sintonía.
Contamos con una amplia gama de tecnologías y herramientas, sin embargo, enfrentamos limitaciones de personas, así como numerosas amenazas. Todo esto debe ser implementado en tiempo récord, con recursos limitados y con poca experiencia.
Entonces, ¿cómo podemos lograrlo? Vamos a plantear un esquema de atención basado en la Matriz de ciberdefensa propuesta por Sounil Yu. Esta matriz nos permite identificar el espectro de atención en ciberseguridad, centrándonos en los procesos, las personas y la tecnología.
Además, sugiere mapear las ofertas de los fabricantes y unir los pasos de seguridad establecidos por el NIST. La matriz es una herramienta fundamental para alcanzar nuestros objetivos en materia de seguridad de la siguiente manera:
Entonces, según lo planteado por Sounil Yu, es recomendable utilizar una metodología de evaluación para analizar el desempeño de nuestras herramientas de seguridad dentro de su espectro.
Esto nos permitirá identificar si tenemos un exceso o falta de herramientas en ciertos segmentos, lo cual puede resultar en ineficiencias o un descuido en algunos aspectos, generando riesgos por falta de controles adecuados. Es crucial mantener un equilibrio y asegurar que nuestras herramientas estén cumpliendo efectivamente su función dentro del panorama de seguridad.
Nos permitirá tener un mapa visual de cómo estamos llenando nuestra estrategia de seguridad en los diferentes elementos tanto de protección o control como en las aplicaciones, personas o procesos como:
Si vemos que hace falta algo podríamos ir a eventos como la RSAC y buscarlo o simplemente acercarnos a empresas como A3Sec para ver cómo otras organizaciones están abordando esta problemática.
Dentro del mundo de la consultoría siempre buscamos tener una visión general de lo que hay para reducir el ruido y ayudar a las organizaciones en este tipo de decisiones.
Puede ser de su interés: 5 razones por las que responsables de seguridad deben participar en el RSAc 2023
Visión Latinoamericana de Practicidad, Control y Eficiencia en Ciberseguridad
Además, para Latinoamérica hay una visión de practicidad, control y eficiencia que juega un rol muy importante. Creo que muchas organizaciones en Latinoamérica han logrado un gran nivel de madurez en sus estrategias de seguridad digital, gracias a las personas que, siendo pocos, siempre buscamos soluciones creativas para las problemáticas del día a día. Esa presión constante de presupuesto y funcionalidad nos ha llevado a ser más críticos y resolutivos.
Foco en lo que tenemos y evaluemos qué tan eficiente es o que tanto lo estamos usando, cuál es el porcentaje de cumplimiento sobre lo que se prometió, lo que se pagó y lo que está haciendo, ¿podemos sacar esos indicadores y compararlos con la reducción de riesgo?
Para tener una visión sobre nuestra ratio de eficiencia y costo, dejar espacio para las cosas nuevas que están apareciendo y mantener controlada nuestra superficie de ataque que está creciendo constantemente.
Esta es una idea que continuaremos desarrollando y discutiendo a lo largo de este año, hasta la próxima RSAC 2024, para comprender cómo se ha construido un sistema armonioso y resiliente de ciberseguridad.
Más información sobre la Matriz de ciberdefensa la puedes encontrar en:
