ANALYSIS EAST COAST ENTERPRISE SECURITY
Ryan Weeks, CISO de Datto, con sede en Connecticut, nos cuenta cómo las organizaciones están comenzando a adoptar un nuevo enfoque para mitigar su ciberseguridad con ciberresiliencia que se enfoca en mantener los sistemas en funcionamiento durante la recuperación, acelerar la restauración, reducir el tiempo de inactividad y minimizar el impacto de un ataque.
En los últimos meses, hemos sido testigos de brechas de seguridad en empresas líderes mundiales como Acer, Microsoft Exchange y SonicWall, lo que deja muy claro que ninguna defensa de ciberseguridad es impenetrable. Un informe de Cybint estima que, en promedio, hay un ataque de piratas informáticos cada 39 segundos y desde COVID-19, ha habido un aumento del 300% en los delitos cibernéticos denunciados.
Con los vectores de ataque en constante evolución, las organizaciones de todo el mundo están comenzando a adoptar un nuevo enfoque para mitigar sus riesgos cibernéticos. Lo que las empresas se están dando cuenta es que el enfoque tradicional de intentar detener los ataques ya no es suficiente.
En cambio, las organizaciones están cambiando activamente de una mentalidad de prevención a una que asume una brecha de seguridad. Esto significa que las organizaciones operan como si ya se hubiera producido una infracción y se aseguran de que puedan recuperarse rápidamente para minimizar el daño operativo.
La mayoría de las veces, las empresas confían en una capa protectora de firewalls, soluciones anti-malware y prevención de intrusiones. Sin embargo, ahora están comenzando a comprender que para minimizar las brechas de seguridad, la protección debe ir más allá de estas primeras líneas de defensa y, para ello, deben desarrollar la ciberresiliencia.
Además de sus prácticas de ciberseguridad bien establecidas, la ciberresiliencia incorpora la respuesta a incidentes, así como la Continuidad del negocio y la Recuperación ante desastres (BCDR). Podemos decir con la mayor certeza que es casi seguro que ocurran incidentes y que el enfoque debe estar en mantener los sistemas en funcionamiento durante la recuperación, acelerar la restauración, reducir el tiempo de inactividad y minimizar el impacto general de un ataque.
La ciberresiliencia depende de las personas, los procesos y la tecnología
Usando la definición más convencional, la ciberresiliencia mide la fortaleza de una organización para prepararse, operar y recuperarse de un ataque. Con esta descripción, las empresas requerirán un programa de seguridad integral para asegurar la resiliencia de su organización y la de sus clientes antes, durante y después de eventos adversos. La clave del éxito de la ciberresiliencia es la capacidad de una organización para identificar, responder y recuperarse rápidamente de los incidentes de seguridad.
Para lograr este siguiente nivel de seguridad, la ciberresiliencia debe depender de las personas, los procesos y una combinación de tecnologías. Al evaluar su postura de seguridad, las organizaciones deben identificar las brechas en sus capacidades de seguridad desde la perspectiva de las personas, los procesos y la tecnología, y tomar las medidas necesarias para abordarlas.
Por ejemplo, si una empresa descubre que el personal carece de conocimientos de seguridad, debe determinar la mejor manera de remediar la brecha. La solución puede ser contratar o desarrollar expertos en seguridad dedicados, así como crear una mayor conciencia de seguridad en toda la organización mediante la realización de capacitaciones periódicas.
El segundo elemento, los procesos, debe estar claramente definido y debe ser repetible y medible. Para la mayoría de las organizaciones, identificar debilidades y brechas y realizar las mejoras necesarias en el proceso será un viaje iterativo que requerirá una revisión constante.
Por último, las soluciones tecnológicas deben poder apoyar adecuadamente a las personas y los procesos. Esto requiere que las organizaciones evalúen si han adoptado las soluciones correctas, determinen si las están utilizando en todo su potencial y analicen cómo se podría aprovechar la tecnología de manera más eficaz.
Dado que una gran cantidad de problemas de resiliencia cibernética no se basan en la tecnología, es importante que las organizaciones se den cuenta de que sus iniciativas de resiliencia cibernética se basan principalmente en las personas y los procesos. De hecho, las inversiones en tecnología están en segundo lugar y deben realizarse en función de las necesidades de las personas y los procesos, no al revés.
Utilice entornos de seguridad como guía
Para lograr los objetivos de seguridad que conducen a la reducción del riesgo y la madurez cibernética, se sabe que las estructuras de seguridad cibernética brindan pautas útiles. Para cumplir con los objetivos de ciberresiliencia, las empresas pueden utilizar aspectos específicos o combinaciones de marcos, como el Marco de Ciberseguridad del Instituto Nacional de Estándares y Tecnología (NIST) o el Centro de Controles de Seguridad de Seguridad de Internet (CIS).
Los controles de seguridad de CIS cubren un conjunto de acciones priorizadas para ayudar a las organizaciones a identificar y proteger sus datos de los vectores de ataque conocidos. De esta lista, los controles más críticos para implementar incluyen inventarios de activos de hardware y software, administración continua de parches, uso controlado de privilegios de cuenta, líneas de base de configuración segura del sistema y el mantenimiento, monitoreo y análisis de registros de auditoría. La mayoría de estos controles se pueden lograr con tecnología que una organización ya tiene implementada.
Los controles de seguridad de CIS se asignan directamente al marco de ciberseguridad del NIST, que compila los estándares de la industria y las mejores prácticas en un formato coherente que las organizaciones pueden utilizar para gestionar mejor sus riesgos. Este marco se basa en las cinco funciones clave necesarias para la ciberresiliencia: identificar, proteger, detectar, responder y recuperar.
Dado que no es prescriptivo, proporciona a las empresas orientación sobre los resultados que deben lograr. Luego, depende de la empresa definir qué capacidades necesitarán desarrollar para alcanzar estos resultados.
Estos incluyen comprender el entorno e identificar vulnerabilidades y brechas para administrar mejor los riesgos para las personas, los datos, los activos y los sistemas; limitar y contener los impactos resultantes de los ataques; la detección oportuna de eventos cibernéticos; responder eficazmente a los incidentes y, finalmente, capacidades de recuperación para restaurar las operaciones normales y seguras.
Las empresas que establezcan o fortalezcan sus capacidades en cada una de estas cinco áreas funcionales estarán en una posición mucho mejor para reducir el potencial de resultados adversos. Dado que no hay dos organizaciones iguales, no existe una fórmula mágica para lograr la ciberresiliencia.
Sin embargo, desarrollar la ciberresiliencia debe ser un objetivo fundamental para todas las empresas. Dado que la mayoría de las organizaciones ya tienen implementadas muchas de las capacidades requeridas, pueden usar los marcos existentes como guía para identificar las brechas en su postura de seguridad y abordarlas ajustando los procesos, adquiriendo experiencia especializada y optimizando la forma en que usan la tecnología.
No es una iniciativa única, la ciberresiliencia es un esfuerzo empresarial continuo que requiere una evaluación cuidadosa en cada paso del viaje. Si bien el esfuerzo puede parecer abrumador al principio, el paso más importante que puede dar cualquier empresa es comenzar el proceso.
