Nadie puede saber cuán fuertes serán los vientos en contra a los que se enfrentará la economía estadounidense en 2023. El consenso general entre los economistas es que el país se encamina hacia una recesión. Por supuesto, algunos analistas han pronosticado un aterrizaje suave para Estados Unidos, pero no son mayoría.
Aunque los economistas suelen equivocarse al predecir las recesiones, a principios de este mes un indicador mucho más fiable lanzaba claramente señales de alarma: la curva de rendimiento, es decir, la diferencia entre los rendimientos de los bonos a largo y a corto plazo. La diferencia entre los rendimientos de los bonos a 10 años y los de vencimiento a tres meses fue la mayor registrada desde 2000, lo que indica que el crecimiento en el futuro será mucho más lento de lo que es en la actualidad.
Toda esta incertidumbre pone a los directivos en una situación delicada. Deben mantener su agilidad —posiblemente ante la perspectiva de presupuestos reducidos, incluso en materia de ciberseguridad— mientras que las presiones normativas y la ciberdelincuencia siguen aumentando. Una recesión es un momento difícil para recortar el gasto en seguridad y un momento en el que es fácil cometer un error que reduzca el nivel de preparación de una organización.
Con el fin de ayudar a los CISO a estar preparados para cualquier eventualidad que pueda surgir a lo largo del próximo año, , responsable de « », se puso en contacto con un grupo de líderes veteranos en materia de seguridad que han sido testigos de numerosos altibajos económicos a lo largo de sus carreras, y les preguntó por los errores que suelen cometer los ejecutivos de seguridad en tiempos difíciles.
A continuación se enumeran los errores más comunes que aconsejaron a las organizaciones que evitaran.
Error n.º 1: Recortar sin darse cuenta las funciones de seguridad
Cuando se reducen las plantillas del departamento de TI, a menudo las operaciones de seguridad también se ven afectadas por los recortes de forma innecesaria. Esto puede afectar a tareas fundamentales, como realizar copias de seguridad periódicas y garantizar que el personal disponga de los recursos adecuados.
«Una gran parte de las empresas incluye el presupuesto de seguridad dentro del presupuesto de TI y, en ese sentido, algunos aspectos de la seguridad se verán afectados», afirma Wim Remes, director general de Damovo Security Services EMEA.
«. Es un gran error recortar a ciegas y dejar que sean las personas que están en primera línea las que se enfrenten a las consecuencias.»David Elfering, vicepresidente sénior y especialista en ciberseguridad de Marsh
Los recortes pueden ser indiscriminados y estar mal orientados. «Es un gran error aplicar recortes a ciegas y dejar que sean las personas que están en primera línea las que se enfrenten a las consecuencias», advierte David Elfering, especialista en ciberseguridad y vicepresidente sénior de Marsh, una correduría de seguros y consultora de riesgos a nivel mundial.
Ante los recortes de plantilla y las reorganizaciones, los responsables de seguridad deben conocer qué funciones de seguridad desempeñan los empleados afectados y asegurarse de que dichas funciones sigan llevándose a cabo tras cualquier cambio.
Mistake 2: Continuing to spend on outdated tools
Las inversiones en seguridad suelen adolecer del peor tipo de inercia: las herramientas obsoletas que ya no aportan el valor que ofrecían en su día suelen permanecer en los libros de contabilidad durante años en forma de licencias, suscripciones y contratos de mantenimiento caducados. Entre estas herramientas pueden figurar antiguos escáneres de vulnerabilidades que han sido sustituidos por servicios externos, o soluciones de seguridad específicas que ofrecen las suites más recientes.
En su guía de planificación de seguridad y riesgos « 2023 » (), la empresa internacional de estudios de mercado Forrester afirma que siempre resulta provechoso reducir el número de productos de seguridad de un solo punto y de herramientas heredadas instaladas en las propias instalaciones. Este enfoque resulta especialmente prudente durante una fase bajista del mercado. Forrester aconseja a las organizaciones que reduzcan o incluso eviten el uso de herramientas específicas, como las de prevención de pérdida de datos, el análisis del comportamiento de los usuarios, los proveedores de servicios de seguridad gestionados y otros controles de seguridad obsoletos.
Michael Farnum, director técnico de Set Solutions, añade que, cuando los presupuestos son ajustados, no es un buen momento para prescindir de los proveedores. Por el contrario, es un momento excelente para ponerse en contacto con los proveedores y averiguar en qué medida sus planes de desarrollo de productos se ajustan a su estrategia. «Durante la recesión económica provocada por la pandemia, observé que los proveedores se centraron en las iniciativas de desarrollo y comenzaron a crear más plataformas», afirma. «Esto supone una oportunidad para que los CISO consoliden su infraestructura de seguridad».
Mistake 3: Failing to mitigate insider threats
Ante el aumento de la inflación, la incertidumbre económica y el creciente número de despidos, existe un mayor riesgo de que los empleados se sientan descontentos. De hecho, las amenazas internas suelen provenir de empleados a los que se les ha despedido y que buscan venganza.
«. Durante las crisis económicas, suelen producirse despidos, por lo que ahora es el momento de comprobar lo siguiente: cuando un empleado abandona la empresa, ¿se le retira el acceso en todos los sistemas?»John Pescatore, director de tendencias emergentes en materia de seguridad del Instituto SANS
En septiembre, un administrador informático que había sido despedido de su puesto en una empresa de servicios financieros con sede en Hawái se declaró culpable de haber alterado ilegalmente los sistemas de su antigua empresa durante varios días. Según el Departamento de Justicia de EE. UU., el antiguo administrador utilizó sus antiguas credenciales para acceder a las configuraciones y bloquear el acceso al sitio web y al correo electrónico de la empresa.
Las amenazas internas como estas pueden producirse en cualquier momento, no solo durante las crisis económicas, y pueden resultar tremendamente perjudiciales. Considere casos como el de , un empleado de Twitter condenado por aceptar sobornos a cambio de facilitar información privada de usuarios de Twitter al Reino de Arabia Saudí, o el del antiguo , piloto de helicópteros del Ejército de los Estados Unidos y contratista civil que aceptó sobornos del Gobierno chino para facilitar información sobre las empresas de defensa para las que trabajaba.
La mitigación de las amenazas internas durante una recesión depende en gran medida de que se disponga de los medios necesarios para supervisar la actividad de los usuarios y retirarles el acceso cuando cambie su situación laboral. «Durante las crisis económicas, suelen producirse despidos, por lo que ahora es el momento de comprobar lo siguiente: cuando un empleado abandona la empresa, ¿se le retira el acceso a todos los sistemas, incluidas la VPN, la nube externa y las aplicaciones móviles?», pregunta John Pescatore, director de tendencias emergentes en seguridad del SANS Institute.
Según los expertos a los que hemos entrevistado, las organizaciones también deben reforzar su capacidad para detectar actividades anómalas en los sistemas y realizar un seguimiento del flujo de datos sensibles .
Mistake 4: Spending on hot security trends while neglecting security basics
Dada la escasez de recursos, los responsables de seguridad suelen intentar subsanar sus brechas de seguridad recurriendo a las últimas novedades tecnológicas. «Durante una crisis económica, los responsables de seguridad de la información (CISO) y las organizaciones corren el riesgo de perder de vista lo esencial», afirma Martin Fisher, director de seguridad de la información y responsable de seguridad de la información del Northside Hospital de Atlanta.
«La realidad es que la mayoría de las empresas han invertido muy poco en seguridad —mucho menos de lo necesario— durante los últimos cinco años.»Wim Remes, director general de Damovo Security Services para la región EMEA
«En lugar de centrarse en las capacidades clave que necesita su programa —que suelen ser básicas, aburridas y poco atractivas, pero cruciales—, de alguna manera creen que pueden superar los problemas presupuestarios centrándose en lo “último y de moda”», afirma Fisher. Por ejemplo, implementan un nuevo paquete de software de código abierto con una nueva funcionalidad que aporta cierto valor, pero luego dedican menos tiempo a invertir en aspectos esenciales, como los ejercicios de simulación o la realización de revisiones de la respuesta ante incidentes en el marco de la norma « ». Fisher considera que las épocas de recesión suelen ser momentos en los que las organizaciones, sin darse cuenta, se exponen a tomar decisiones erróneas.
Pescatore, de SANS, sostiene que, en contextos económicos difíciles, es fundamental garantizar que se cumplan los aspectos básicos. Además de supervisar comportamientos anómalos en la red y gestionar de forma eficaz la concesión y la retirada del acceso a los recursos, otras áreas de interés incluyen la seguridad de los terminales, la gestión de la configuración, la gestión de vulnerabilidades de los dispositivos y la gestión de la superficie de ataque, todas ellas capaces de reducir el riesgo para una organización.
Mistake 5: Losing focus on security strategy
Los responsables de seguridad suelen estar tan centrados en resolver los problemas cotidianos que descuidan la estrategia general de seguridad.
«Las organizaciones suelen cometer el grave error de no tener siempre una idea clara de su gasto en seguridad», afirma Elfering, de Marsh. «No saben a dónde se destinan los presupuestos, a qué se destinan y qué es lo esencial y está en consonancia con la estrategia empresarial».
Es importante poder ajustar rápidamente el presupuesto, ya que nunca se sabe cuándo se le pedirá que busque formas de mejorar. «¿De qué podría prescindir?», pregunta Elfering. «Esa es una decisión que siempre debe estar dispuesto a tomar».
Por supuesto, no todo se reduce a recortes, ni siquiera en épocas de austeridad, según Forrester. La empresa de investigación recomienda aumentar la inversión en seguridad de la cadena de suministro, detección de amenazas en terminales, respuesta ante incidentes y gestión de la superficie de ataque.
En su informe, la empresa también recomendó a las organizaciones que prestaran especial atención a la seguridad de las áreas de contacto con el cliente que generan ingresos, y que se aseguraran de seguir modernizando el programa de seguridad con el paso del tiempo mediante iniciativas como el modelo «zero trust».
En muchas organizaciones, la seguridad no debería ser objeto de recortes, como es lógico. «Lamentablemente, la realidad es que la mayoría de las empresas han invertido muy poco en seguridad —mucho menos de lo necesario— durante los últimos cinco años», afirma Remes, de Damovo Security Services EMEA. «Ahora vemos cómo hay empresas que, por ejemplo, han acumulado un déficit de gasto del 15 % cada año durante varios años, y muchas de ellas están recortando aún más su gasto». Remes afirma que el resultado es relativamente previsible para estas empresas tan desafortunadas: «Serán víctimas de un ataque informático».
Aunque es poco probable que el gasto en seguridad sea el más afectado por los recortes presupuestarios en caso de que se produzca una recesión, los responsables de seguridad deben estar preparados para tomar algunas decisiones difíciles. En definitiva, cuando las empresas escatiman en seguridad, están descuidando un aspecto fundamental que resulta vital para su éxito futuro.
