La reputación de Snowflake no ha tardado mucho en desmoronarse, y es probable que este proveedor de almacenamiento en la nube, valorado en 2 .000 millones de dólares, no se lo merezca del todo.
Una filtración ocurrida a finales de mayo, que la empresa y Mandiant —una empresa especializada en inteligencia sobre amenazas— atribuyeron a un grupo con motivaciones económicas denominado « » UNC5537 , podría acabar siendo la mayor del año. Hasta la fecha, al menos 165 empresas han sido víctimas de estos hechos, y se siguen añadiendo nombres a la lista. Entre las empresas más destacadas que han revelado que se han visto afectadas se encuentran , Advance Auto Parts, , AT&T, , Pure Storage, , Santander Bank y , así como Ticketmaster. A continuación se produjo una oleada de demandas relacionadas con « » (), y , así como una investigación por parte de las autoridades .
Según Snowflake y los expertos en seguridad, no había pruebas que sugirieran que esta actividad se debiera a ninguna vulnerabilidad, configuración incorrecta o brecha de seguridad en el producto o la infraestructura de Snowflake. En cambio, se cree que los piratas informáticos atacaron a clientes de Snowflake utilizando credenciales comprometidas de un antiguo empleado o colaborador de Snowflake (las versiones difieren). Sin embargo, la razón principal por la que UNC5537 pudo comprometer tantas cuentas fue que dichos clientes no habían activado la autenticación multifactorial (MFA) de .
Aunque es posible que el MFA de no siempre esté a la altura de las expectativas, Snowflake, Mandiant y otros expertos en seguridad han señalado que, de haberlo tenido los clientes afectados, probablemente no habrían sufrido ninguna vulneración. Por lo tanto, una de las principales conclusiones que se pueden extraer de esta filtración es que hay que adoptar la autenticación multifactorial a toda costa. Pero no es el único.
A continuación se exponen cinco lecciones clave que los ejecutivos y los responsables de TI deberían extraer de este evento:
1. Responsabilidad compartida: No todo recae en Snowflake
El hecho de que almacene sus datos en la nube no significa que deba esperar que Snowflake —o cualquier otro proveedor de servicios de « » () — se encargue de toda la seguridad relacionada. Por supuesto, deben proteger los sistemas en los que se alojan sus datos y mantenerlos cifrados. Pero si no hace lo que le corresponde para controlar quién puede acceder a ella, pues bien, la responsabilidad recae sobre usted.
Steve Zalewski, antiguo director de seguridad de la información (CISO) de Levi Strauss, lo explica así: «Cuando se compra una casa, la puerta principal tiene una cerradura». Le entregamos la llave de la cerradura. «Pero depende de usted decidir cuántas copias quiere hacer y si, además, quiere instalar un cerrojo». En otras palabras, Snowflake le ha vendido un espacio para almacenar sus datos y se ha encargado de protegerlo, pero es usted quien debe gestionar el acceso al mismo. Si no activa la autenticación multifactorial (MFA) ni establece controles de acceso seguros, estará dejando la puerta abierta.
«: Cuando compra una casa, la puerta principal tiene una cerradura. Le entregamos la llave de la cerradura. Pero depende de usted decidir cuántas copias desea hacer y si, además, quiere instalar un cerrojo.”Steve Zalewski, antiguo director de seguridad de la información (CISO) de Levi Strauss
No obstante, Snowflake podría haberlo hecho mejor: siguiendo con la analogía inmobiliaria, los agentes inmobiliarios y las entidades crediticias están obligados por ley a facilitar a los compradores de viviendas folletos e información en la que se les advierta de aspectos relacionados con sus viviendas o barrios que podrían perjudicarles. Del mismo modo, ante las presiones en materia de relaciones públicas, Snowflake se apresuró a anunciar que elaboraría un plan para exigir a los clientes que «implementaran controles de seguridad avanzados, como la autenticación multifactorial» o políticas de red, especialmente para las cuentas privilegiadas de los clientes de Snowflake.
La lección: No espere a que Snowflake le obligue a cumplir con su parte. Empiece a aplicar la autenticación multifactorial (MFA) de inmediato e informe a todo su equipo sobre las razones legítimas, tanto empresariales como informáticas, para hacerlo.
2. IAM es el nuevo mejor aliado de los clientes de Snowflake (y debería serlo también para usted)
La gestión de identidades y accesos (IAM) no es solo un término de moda, sino su primera línea de defensa. Uno de los principales factores que contribuyeron a la filtración de datos de Snowflake fue la deficiencia del sistema de gestión de identidades y accesos (IAM). En pocas palabras, las empresas no controlaban quién podía acceder a qué, y eso les pasó factura.
«Implement advanced security controls, like multifactor authentication.»Los consejos de Snowflake a sus clientes que, por desgracia, se publicaron demasiado tarde
Johannes Ullrich, decano de investigación del SANS Technology Institute, afirma: «Asegúrense de que existan controles suficientes en torno a los datos... incluyendo la autenticación de factor múltiple (MFA) o una autenticación resistente al phishing». En otras palabras, no confíe en una combinación poco segura de nombre de usuario y contraseña, como « » y « », afirma. El MFA no es solo algo que está bien tener, sino que es imprescindible. Los piratas informáticos son cada vez más astutos, pero esa capa adicional de seguridad sigue disuadiéndolos.
La lección: Un máster en Bellas Artes para todos. Sin excepciones. Asegúrese de que los controles de acceso estén más restringidos que los de su cuenta de Netflix cuando finalice el periodo de prueba gratuito.
3. El modelo «zero trust» no es paranoia, es una cuestión de supervivencia
Probablemente ya haya oído hablar de zero trust y ya lo haya implementado. Si aún no lo conoce, este enfoque estratégico de la ciberseguridad viene a decir, básicamente: «No confíe en nadie ni en nada hasta que se haya comprobado su identidad, incluso después de que se les haya concedido acceso de primer nivel a la red».
Ninguna persona ni máquina puede desplazarse sin autorización. Los usuarios solo tienen acceso a los recursos de la red si su cargo o función así lo exige. No difiere mucho de los sistemas de seguridad física de una gran empresa de Internet. Ni siquiera el director general puede acceder a la sala en la que se guarda información tecnológica extremadamente sensible; al máximo responsable solo se le permite el acceso a aquellas salas en las que realmente sea necesario que se encuentre.
Estos enfoques pueden parecer extremos y difíciles de aplicar, pero, dado que las violaciones de seguridad suponen un coste medio de 4.5 millones de dólares por incidente para las empresas de todo el mundo —según un reciente estudio de IBM y el Ponemon Institute titulado « » ()—, no puede permitirse el lujo de ignorar el principio de sentido común que supone el modelo «zero trust».
El modelo «zero trust» no implica restringir el acceso hasta el punto de que nada funcione, sino que consiste en una verificación continua, con la que se garantiza que los usuarios y los dispositivos sean quienes dicen ser en cada paso.
La lección: . Póngase al día. Aplique los principios de «confianza cero» para que cada solicitud de acceso sea recibida con recelo y se le exija una verificación.
4. Pruebe, pruebe y vuelva a probar
Nadie lanza un nuevo producto sin probarlo antes, así que, ¿por qué iba alguien a poner en marcha un sistema de seguridad sin someterlo a pruebas periódicas? Ahí es donde entran en juego las pruebas de penetración (pen testing) y la supervisión de la superficie de ataque.
«. Incluso en el caso de una gran empresa, puede resultar importante que una entidad externa evalúe su situación de seguridad desde una perspectiva diferente a la de su personal interno.»Johannes Ullrich, decano de investigación del Instituto Tecnológico SANS
No se trata de estafas destinadas a agotar sus presupuestos. Se trata de herramientas de vanguardia en cualquier arsenal de operaciones de seguridad (SecOps) de . La mayoría de los especialistas en pruebas de penetración — — y de los hackers éticos contratados para simular ciberataques —son totalmente legítimos—, y muchos de ellos han realizado este tipo de trabajo para el ejército y los servicios de inteligencia de Estados Unidos, Israel y otros países preocupados por la ciberseguridad. Asimismo, pueden examinar sus controles de identidad y acceso para garantizar que mantienen a raya a los actores malintencionados. Aunque lo que descubran no sea relevante, tener esa tranquilidad es mejor que no saberlo o no darse cuenta de que existe una grave vulnerabilidad en a la espera de ser explotada, lo que podría costarle mucho tiempo y dinero, además de su reputación.
«Incluso siendo una gran empresa, puede resultar importante que una entidad externa evalúe su situación de seguridad desde una perspectiva diferente a la de su personal interno», afirma Ullrich. Las empresas tienden a confiar demasiado en sus equipos internos. Contar con una perspectiva nueva sobre su configuración de seguridad es como obtener una segunda opinión sobre un diagnóstico médico. A eso se le llama ser práctico, no ser paranoico.
La lección: Las pruebas de penetración frecuentes constituyen su prueba de resistencia en materia de seguridad. Recurra a profesionales para detectar las grietas antes de que sea demasiado tarde.
5. Prepárese para solucionar el problema (porque la próxima filtración de datos similar a la de Snowflake se producirá)
Incluso con las mejores medidas de seguridad implantadas, es prácticamente inevitable que sigan produciéndose filtraciones. Probablemente ya lo haya oído antes, pero nunca está de más repetirlo: no se trata de « » si, sino de « » cuándo. Y cuando llegue ese día, su reacción puede determinar el éxito o el fracaso de su reputación.
Ullrich y Zalewski coinciden en que disponer de un plan de respuesta ante incidentes sólido es imprescindible.
«Sepa dónde se encuentran sus datos», aconseja Ullrich. «Parece sencillo», afirma, «pero en caso de una filtración, saber dónde se almacenan sus datos críticos —y quién tiene acceso a ellos— puede ahorrarle un tiempo muy valioso». Zalewski añade que las empresas deben adoptar un enfoque proactivo a la hora de formar a sus equipos en materia de respuesta: «La seguridad es una responsabilidad de todos».
En el caso de Snowflake, el hecho de haber dado una respuesta rápida y eficaz les evitó un desastre de relaciones públicas mucho peor , pero eso no significa que otras empresas deban bajar la guardia. La respuesta ante incidentes tiene como objetivo minimizar los daños y comunicarse de forma transparente con los clientes.
La lección: Elabore su plan de respuesta ante incidentes ahora mismo, no cuando surjan problemas. Recuerde que la higiene cibernética (autenticación multifactorial [MFA], la aplicación periódica de parches y la formación) es la clave para evitar incidentes graves.
En resumen: no espere a que se produzca una catástrofe
La filtración de datos de Snowflake es una llamada de atención, pero también supone una oportunidad. Ningún proveedor de servicios en la nube —por muy grande o seguro que sea— puede proteger completamente sus datos por usted. De hecho, no es exactamente su trabajo. Se trata de una responsabilidad compartida, y las empresas deben redoblar sus esfuerzos.
Por lo tanto, tome buena nota de estas cinco lecciones: refuerce la gestión de identidades y accesos (IAM), adopte el modelo «zero trust», compruebe sus defensas con regularidad y asegúrese bien de que su equipo esté preparado para entrar en acción cuando surjan problemas. Porque en el mundo de la ciberseguridad no se trata solo de jugar a la defensiva, sino de ir un paso por delante.
