La conversación que los CISO deben tener con su consejo de administración sobre el ransomware

Tres cosas que todo CISO debería decir a su consejo de administración

1. Se trata de una conversación sobre riesgos empresariales, no solo sobre riesgos de seguridad.

El ransomware supone un riesgo operativo, un riesgo financiero, un riesgo para la reputación y un riesgo para la continuidad, todo ello al mismo tiempo. Los consejos de administración ya son conscientes de los riesgos relacionados con la cadena de suministro y el mercado. El ransomware no es una excepción. Una vez que lo ven así, la pregunta pasa de ser "¿cómo nos recuperamos más rápido?" a "¿cómo reducimos la exposición antes de que se produzca la interrupción?" Ambas cosas son importantes. Pero solo uno de ellos cambia la dinámica económica del ataque.

El ecosistema del ransomware funciona ahora con la eficiencia de un mercado maduro, con una infraestructura compartida, proveedores de servicios especializados y técnicas basadas en la inteligencia artificial que reducen los costes de los atacantes en cada fase. La interferencia de Microsoft en Fox Tempest lo ilustra claramente. No se trataba de un autor de ransomware. Se trataba de una infraestructura compartida de la que dependían cientos de operaciones delictivas para hacer que las cargas maliciosas parecieran legítimas. Su desmantelamiento mermó la capacidad de todo el ecosistema de forma simultánea. Los defensores deben actuar de la misma manera, centrándose en la infraestructura compartida de los atacantes en las fases iniciales, y no limitarse a responder en el punto de impacto.

Las organizaciones que se adelantan a esta amenaza dan prioridad a la protección de la identidad, la detección de intermediarios de acceso, la visibilidad de las vías de ataque y la inteligencia continua que permite frustrar el ataque antes de que el ransomware se ejecute, junto con las inversiones en resiliencia que garantizan la recuperación cuando esto ocurre.

Todas las organizaciones serán objeto de ataques. Lo que marca la diferencia no es si se produce una intrusión, sino si la organización es capaz de contener las perturbaciones, mantener sus operaciones y recuperarse sin que ello tenga un impacto catastrófico en el negocio. Para ello es necesario invertir en continuidad del negocio y recuperación ante desastres (BCDR), copias de seguridad inmutables y segmentadas, estrategias de contención de identidades y pruebas de recuperación operativa. Y para ello es necesario medir lo que realmente importa: no solo el tiempo de recuperación, sino también el intervalo entre el momento en que se produce la intrusión inicial y su contención. Ese margen de tiempo determina si una intrusión se convierte en una crisis empresarial.

Qué cambia cuando los consejos de administración comprenden la economía de la amenaza

• Las prioridades de inversión se desplazan hacia las fases iniciales. Las organizaciones en las que los miembros del consejo de administración cuentan con conocimientos sobre amenazas tienden a destinar recursos a la protección de la identidad, la detección de intermediarios de acceso y una comprensión más profunda de la inteligencia sobre amenazas que vaya más allá del mero origen de estas.
• La resiliencia se convierte en una capacidad estratégica, no en un mero ejercicio de cumplimiento normativo. La planificación de la continuidad del negocio y la recuperación ante desastres, las copias de seguridad inmutables y las pruebas de recuperación operativa dejan de ser meros requisitos de auditoría para convertirse en factores diferenciadores a la hora de competir. Las organizaciones que se recuperan más rápido son aquellas que han practicado.
• La función del CISO se reorienta. El papel de los responsables de seguridad pasa de ser el de gestores de incidentes a ser el de asesores estratégicos en materia de riesgos, dotados de los conocimientos y el lenguaje necesarios para ayudar a la empresa a anticipar y gestionar los riesgos derivados de acciones adversas antes de que se conviertan en una interrupción de las operaciones.

El momento en el que nos encontramos

Microsoft lleva desde 2020 realizando un seguimiento y publicando información sobre el ecosistema del ransomware como servicio.

La estrategia de respuesta que tenía sentido en 2020 ya no es suficiente. Y tampoco basta con que el consejo de administración se limite a debatir sobre el panorama de amenazas de 2020.

Cada semana, hasta septiembre, Microsoft está elaborando un mapa del panorama de la ciberdelincuencia en tiempo real y publicando la información que recopilan nuestros analistas de amenazas sobre más de 65 actores con motivaciones económicas que operan en un ecosistema delictivo coordinado. Hot Cybercrime Summer está diseñado para sacar a la luz precisamente este tipo de información: traducida al lenguaje que necesitan los responsables de seguridad para actuar en consecuencia y para transmitirla a quienes financian la respuesta.

Sigue la serie. Y aporta esta información en tu próxima reunión con la junta directiva. El mapa está ahí. La cuestión es si tu organización lo está utilizando. Blog de Seguridad de Microsoft | Información sobre amenazas de ransomware