En primer lugar, la buena noticia: 2021 está detrás de nosotros. Descenderá como uno de los peores, con importantes hackeos criminales a tuberías de gas, empacadoras de carne, servicios públicos, agencias gubernamentales, instalaciones de atención médica y otra infraestructura crítica.
La mala noticia: 2022 podría ser una pereza. Así como el ataque de SolarWinds se aceleró a principios de 2021, principios de 2022 está llegando en el nuevo año con una de las fallas de software más riesgosas de la historia: la vulnerabilidad Log4j .
La Comisión Federal de Comercio ha aumentado la presión, advirtiendo esta semana que perseguiría a las empresas que no corrigen la falla. Citó su propio acuerdo de 700 millones de dólares con Equifax en 2019 por no corregir una vulnerabilidad que expuso la información personal de 147 millones de consumidores, como ejemplo de lo que podría suceder a otras empresas.
Nadie en una posición de liderazgo se siente seguro. Según una encuesta reciente de Tanium realizada a 345 profesionales de ciberseguridad, la mayoría (64 %) cree que es de moderada a extremadamente probable que sean víctimas de un ciberataque exitoso en los próximos 12 meses. El malware representa la mayor amenaza de seguridad para las organizaciones (35 %), seguido de errores humanos (24 %), amenazas internas (20 %) y exploits de día cero (11 %).
Para anticipar sus inquietudes específicas, Endpoint habló con docenas de expertos en seguridad para conocer sus prioridades de seguridad para el próximo año.
Preparación para una avalancha de ransomware
Debido a que los ataques de ransomware son tan rentables y conllevan un riesgo tan bajo para sus autores, seguirán llegando y los atacantes continuarán innovando.
El año pasado (también conocido como 2021) vio un aumento significativo en el llamado ransomware como servicio (RaaS) y ataques de doble extorsión. Con el ransomware como servicio, los ciberdelincuentes ofrecen malware a otros sobre la base del pago por uso.
Los expertos dicen que en 2022, las empresas y otras organizaciones verán un aumento en un modelo afiliado de ciberamenazas a medida que los ciberdelincuentes contraten más personas, subcontraten trabajo o arrienden herramientas a las afiliadas.
Con ransomware de doble extorsión, los atacantes primero roban los datos de la víctima antes de cifrarlos para rescate. Luego, si la víctima se niega a pagar para recuperar el acceso a sus datos, los atacantes pueden ofrecerlos al mejor licitador o cargarlos en Internet.
Los primeros pasos tomados después de dicho ataque permiten que los CISO y los equipos de respuesta a incidentes se ejecuten rápidamente, enfocándose especialmente en las copias de seguridad y la resiliencia. El liderazgo en seguridad está duplicando la segmentación de la red (en componentes físicos o lógicos más pequeños), soluciones de gestión de activos, herramientas de gestión de vulnerabilidades, planificación de continuidad del negocio y ejercicios trimestrales de respuesta a incidentes.
Muchos líderes necesitarán implementar ejercicios prácticos para mitigar el ransomware de manera rápida y efectiva.
Mover cero confianza de la pizarra a la implementación
Si 2021 fue el año en que la industria de la seguridad habló sobre la confianza cero, 2022 serán el año en que los equipos de seguridad lo pondrán en práctica.
“Si aún no lo ha hecho, 2022 es el momento de confiar totalmente en cero”, dice Amanda Fennell, CSO y CIO de Relativity, proveedora de software legal y de cumplimiento integral.
En el modelo de trabajo híbrido actual, dice, las organizaciones deben proporcionar a los usuarios el acceso mínimo que necesitan para cumplir con su misión. El control del acceso permite una fácil contención de un dispositivo comprometido, especialmente a medida que la fuerza laboral remota agrega más puntos finales fuera del perímetro tradicional.
“Si aún no lo ha hecho, 2022 es el momento de poner todo en cero confianza”.Amanda Fennell, CSO y CIO, Relativity
Para mantenerse competitivos, los expertos en seguridad dicen que las organizaciones están exigiendo los mejores recursos de TI y cambian rápidamente. El personal de seguridad, al igual que todos los trabajadores actuales en varios departamentos, espera poder trabajar desde cualquier lugar.
That expectation allows security leaders to shift from traditional network-centric security models and create granular access controls focused on user identity and endpoint trustworthiness.
Spending on zero trust is expected to reach about $39 billion in 2024, up from $16 billion in 2019, according to the B2B research firm MarketsandMarkets.
Integración de la ciberseguridad con los objetivos comerciales
Durante años, los líderes en seguridad han trabajado para alinear mejor su inversión en seguridad con el valor comercial de los dispositivos y datos que están protegiendo. Pero la avalancha actual de ataques costosos y el mayor ritmo de transformación comercial digital significan que será más crítico que nunca en 2022.
“Todos estamos expuestos a actores a nivel estatal, y esto significa que la hora amateur ha terminado”.David Elfering, director sénior de seguridad de la información, ReSource Pro
“Siempre ha sido crítico, pero ahora todos estamos expuestos a actores estatales, y esto significa que la hora de los aficionados ha terminado”, dice David Elfering, director ejecutivo de Seguridad de la Información de ReSource Pro, que proporciona una plataforma productiva para la operación de seguros.
Si bien los responsables de seguridad pueden sentirse superados por las habilidades de los hackers más sofisticados, nunca es demasiado tarde para aumentar la preparación organizacional. “Todavía podemos mover la barra hacia arriba”, dice Elfering. “El equipo de seguridad debe entender el negocio para que pueda protegerlo y gestionar verdaderamente el riesgo”.
Protección de la cadena de suministro
Han pasado poco más de un año desde el ataque de SolarWinds, y los CISO aún tienen poca visibilidad de sus propios riesgos de software de terceros. Pero los riesgos cibernéticos para el software de la cadena de suministro se hicieron visibles en 2021, más recientemente con la vulnerabilidad Log4j .
Se están llevando a cabo varias iniciativas para ayudar a aplicar parches a los sistemas, incluido el reciente decreto ejecutivo de la Casa Blanca que espera fortalecer los estándares de seguridad del software, exigir y acelerar ciertas notificaciones de filtración y aumentar el intercambio de información de ciberseguridad entre las organizaciones.
El llamado a una “lista de materiales de software” (SBOM) tiene como objetivo mejorar los riesgos de la cadena de suministro de software de terceros al detallar todos los componentes de un software.
[Leer también: Controlar los riesgos de la cadena de suministro tras la vulnerabilidad Log4j ]
Los CISO deben ser serios. Deben verificar los acuerdos de nivel de servicio (SLA) para hacer responsables a terceros.
Automatizar lo que se puede automatizar
Cuando la mayoría de los profesionales de la seguridad piensan en la automatización, piensan en capacidades en torno a la “orquestación, automatización y respuesta de seguridad” (SOAR). Y esto es sin duda la mayor parte de la inversión en automatización de seguridad . Sin embargo, también es esencial automatizar los flujos de trabajo diarios, incluida la gestión de activos, la gestión de identidad, la gestión de vulnerabilidades y, por supuesto, la gestión de parches.
“Los CISO deben enfocarse lo mejor que puedan en hacerse más eficientes y efectivos”.Scott Crawford, director de investigación de seguridad de la información, 451 Research
La automatización debe ser algo de la gente. Cada CISO tiene docenas de sistemas y herramientas que son críticos para el negocio, pero nunca suficientes ojos para desarrollar la comprensión correcta de amenazas, riesgos, rendimiento y coherencia.
Las empresas pueden tener los procesos y tableros de control más increíbles, pero si no están haciendo que los flujos de trabajo sean efectivos y ahorrando tiempo a los analistas, es solo otro panel de control. La automatización debe priorizarse en áreas que reduzcan la fatiga de alertas y el error humano y el tiempo de recuperación de velocidad.
Enfocarse en los fundamentos
Los profesionales de seguridad aún tienen mucho trabajo por hacer para proteger sus sistemas empresariales. También deben establecer protocolos básicos, como una higiene cibernética adecuada.
“Habrá un enfoque en muchos de los fundamentos que las organizaciones necesitan para protegerse del ransomware y mitigar el riesgo de terceros”, dice Scott Crawford, director de investigación de seguridad de la información de 451 Research. “Estas son las cosas básicas que los equipos de seguridad han necesitado hacer y en las que han estado trabajando hasta cierto punto. Pero nada de eso significa que estas tareas sean fáciles”.
[Leer también: Higiene cibernética: la gestión proactiva de riesgos comienza aquí]
De hecho, muchos CISO se darán cuenta en 2022 de que deben volver a los conceptos básicos de ciberseguridad, incluida la detección y la respuesta a incidentes, dice Martin Fisher, director de seguridad de la información y CISO del Northside Hospital en Atlanta.
“El ritmo de las amenazas de día cero combinado con la velocidad a la que el negocio agrega nueva tecnología a la red significa que ser capaz de encontrar y responder a las amenazas de manera rápida y efectiva será fundamental”, dice Fisher.
Todos los problemas anteriores son desafíos difíciles, año tras año. “No es por falta de atención o disposición resolver estos desafíos”, dice Crawford. “Es solo que son problemas muy difíciles. Los CISO deben enfocarse lo mejor que puedan en hacerse más eficientes y efectivos”.
