CISO Insider: Número 1

La COVID-19 ha obligado a las organizaciones a  confiar más en la flexibilidad del lugar de trabajo y acelerar la transformación digital, y estos cambios han exigido naturalmente otros cambios en las tácticas de seguridad. El perímetro se ha expandido y cada vez es más híbrido, ocupando varias nubes y plataformas. Aunque las nuevas tecnologías han supuesto una parte importante para muchas organizaciones, creando productividad y crecimiento en tiempos desafiantes, los cambios también han ofrecido una oportunidad a cibercriminales que trabajan para aprovechar las vulnerabilidades de los entornos digitales cada vez más complejos.

El auge de los ataques de phishing relacionados con el trabajo remoto es una de las mayores preocupaciones de los profesionales de la seguridad con los que hablo, y esto también lo vemos reflejado en nuestros estudios. En una encuesta de Microsoft de líderes de seguridad realizada en 2020, el 55 por ciento nos explicó que sus organizaciones habían detectado un aumento en los ataques de phishing desde el principio de la pandemia, y el 88 por ciento afirmó que los ataques de phishing habían afectado a sus organizaciones. También oigo hablar constantemente de un aumento en los ataques de ransomware, de cómo el malware sigue siendo una amenaza constante y cómo la usurpación de identidad sigue siendo el principal reto al que se enfrentan los equipos de seguridad.

Asimismo, sabemos que los ataques de Estado son cada vez más agresivos y persistentes. El ataque de cadena de suministro de NOBELIUM, que utiliza la plataforma SolarWinds, fue uno de los muchos nuevos ataques que han saltado a los titulares en el último año. Aunque las nuevas técnicas más efectistas son las que suelen acaparar las noticias, los CISO me cuentan siempre que incluso estos actores de amenazas avanzadas, como la mayoría de los ciberdelincuentes, tienden a centrarse en ataques de oportunidad de bajo coste y alto valor.

Para ilustrar aún más esta cuestión, hemos observado un repunte en los atacantes de estado nación que utilizan ataques de difusión de contraseña. Ser un líder en seguridad implica gestionar el riesgo y establecer prioridades, muchos líderes me cuentan que su principal prioridad es fortalecer la higiene cibernética para prevenir las líneas de ataque más habituales, especialmente en su creciente huella digital. Nuestros datos e investigación concuerdan con esto: estimamos que la higiene de seguridad básica aún protege contra el 98 % de ataques (consulta la página 124 del Informe de protección digital de Microsoft de octubre de 2021).

Puedes pensar que es fácil hablar sobre los pasos básicos de seguridad, pero mucho más difícil implementarlos en la vida real, especialmente cuando un equipo tiene una sobrecarga de trabajo y está corto de personal. No obstante, yo diría que ser un líder en seguridad consiste en gestionar tanto el riesgo como las prioridades, y eso hace que centrarse en los aspectos básicos sea un enfoque verdaderamente pragmático. Con demasiada frecuencia, los incidentes no son cuestión de SI, sino de CUÁNDO. Hay cientos de alarmantes estadísticas de ciberseguridad, como que cada día se cometen alrededor de 4000 ataques de ciberdelito solo en EE. UU. y que más de 30 000 sitios web son atacados al día en todo el mundo.

Creo que la mejor línea de defensa es utilizar un enfoque equilibrado, e invertir en prevención a la vez que en detección de incidentes y respuesta.

Aunque puede parecer difícil invertir en nuevos niveles de prevención a la vez que intentamos estar al día de las crecientes demandas de detección y respuesta, encontrar el equilibrio adecuado entre ambos enfoques es esencial y beneficioso. Un Estudio de Ponemon Institute e IBM Security de 2021 observó que en las organizaciones sin un equipo o un plan de respuesta a incidentes, el coste medio de las vulneraciones de datos aumentó en un 55 por ciento. Los equipos de seguridad que pueden equilibrar una prevención sólida con una estrategia que incluya una respuesta a incidentes e inversiones en herramientas de detección y corrección estarán mejor posicionados para capear lo inevitable.

Todos hemos oído hablar de la gran resignación. Más del 40 por ciento de los recursos globales están considerando abandonar su trabajo este año, y los líderes de seguridad y sus equipos ya consideran que están cortos de personal. Hablo a menudo con los CISO sobre el estado general del sector y una de sus principales preocupaciones es poder permitirse a los mejores profesionales, encontrarlos y retenerlos. Si los principales talentos abandonan, deben encontrar nuevos profesionales o mejorar las competencias de los que se quedan. Una tecnología más eficiente, integrada y automatizada puede ayudar, no nunca es suficiente.

Los términos especializados sobre seguridad han pasado a formar parte del lenguaje cotidiano a medida que los ciberataques aparecen cada vez más en los telediarios, y estos ataques (y las noticias sobre ellos) pueden afectar profundamente a una empresa. ¡Adivina qué! No tiene por qué ser una mala noticia. Como la ciberseguridad se ha convertido en un tema común en todas las áreas de una organización, estamos empezando a oír que el concepto de “la seguridad es responsabilidad de todos” está empezando a calar en las organizaciones. Especialmente con los nuevos modelos de trabajo híbrido y la expansión de los perímetros de seguridad en todas las direcciones, los líderes de seguridad se basan cada vez más en formas innovadoras de mantener la seguridad, incluso cuando se enfrentan a carencias de talento y competencias. Los líderes de seguridad ya no se basan tanto en “hacer más con menos” como en “hacer más de manera diferente”.

Aunque las carencias de talento y competencias no son algo positivo, se les puede ver el lado positivo, y es que están permitiendo crear una cultura de la seguridad. Muchos CISO nos cuentan que una de las formas más eficaces de abordar los retos de seguridad en medio de los problemas de personal es crear una cultura de la seguridad donde la seguridad sea la responsabilidad de todos. Los CISO defienden cada vez más esta idea de que la organización al completo debe asumir la responsabilidad de la seguridad, especialmente cuando se enfrentan a la escasez de personal o a problemas de financiación.

Los equipos de desarrollo, los administradores de sistemas y, sí, los usuarios finales deben conocer las directivas de seguridad que les afectan. Compartir la información es fundamental, y los equipos de seguridad deben encontrar nuevas formas de trabajar con los desarrolladores, los administradores y los propietarios del proceso de negocio para conocer los riesgos, y desarrollar directivas y procedimientos que beneficien a toda la organización.

La escasez de talentos y la carencia de competencias (especialmente en una profesión en constante cambio como la ciberseguridad) han obligado a los CISO a buscar formas nuevas e innovadoras de ser competitivos. Una estrategia de la que oímos hablar continuamente es la “delegación” cada vez mayor en empleados fuera del equipo de seguridad. Los CISO buscan formas de aprovechar toda la organización, centrándose especialmente en la formación de usuarios finales para que formen parte de la solución y en el desarrollo de la colaboración de equipos adyacentes.

Fomentar y mejorar los conocimientos de los usuarios finales sobre las amenazas de seguridad como, por ejemplo, conocer el phishing y las señales de ataques sutiles, contribuyen en gran medida a aumentar el número de ojos y oídos del equipo de seguridad, especialmente como una estrategia de “punta de lanza”, donde los usuarios finales son a menudo un punto de entrada en un ataque. Con esto no digo que los usuarios finales puedan formarse por arte de magia para detectar todas las amenazas, pero tener usuarios preparados y alerta puede reducir significativamente la carga de los equipos de seguridad.

Otra estrategia es delegar TI como parte de la seguridad. Mantener a los miembros del equipo de TI estrechamente conectados con el equipo de seguridad y garantizar que estén informados sobre las estrategias de seguridad está ayudando a muchos líderes de seguridad a ampliar su misión a todas las áreas de la organización.

Proporcionar asistencia y ayuda sobre la automatización y otras estrategias de administración proactiva de tareas y flujos de trabajo es una de las formas en las que los CISO están ampliando sus equipos y aprovechando la TI para garantizar una posición de seguridad sólida.

Todas las investigaciones citadas de Microsoft recurren a empresas de investigación independientes para contactar con profesionales de la seguridad y realizar estudios cuantitativos y cualitativos, lo que garantiza la protección de la privacidad y el rigor analítico. Las citas y conclusiones que se incluyen en este documento, a menos que se especifique lo contrario, son resultado de estudios de investigación de Microsoft.