Hoy en día, las organizaciones hablan constantemente de iniciativas de transformación digital o se sumergen de lleno en ellas. ¿Y por qué no? Estas iniciativas pueden traducirse en una mayor eficiencia, una mayor agilidad y una mejor experiencia del cliente, por citar solo algunas de las ventajas.
El problema es que muchas empresas se lanzan a llevar a cabo transformaciones sin tener realmente en cuenta las repercusiones que estas iniciativas tienen en materia de ciberseguridad y cumplimiento normativo.
Por supuesto, las organizaciones implementan todo tipo de herramientas y servicios de seguridad, y ese es un aspecto importante a la hora de crear programas de seguridad y cumplimiento normativo. Sin embargo, no reflexionan lo suficiente sobre la necesidad de modificar los procesos, los procedimientos y las estructuras organizativas. Para que una empresa pueda transformarse verdaderamente y afianzar esa transformación, es necesario que cambie su cultura.
El cambio nunca resulta fácil, sobre todo cuando las personas están satisfechas con la forma en que se hacen las cosas actualmente. Sin duda, esto se aplica a los CISO, los CIO, los CTO y otras personas que ocupan puestos de responsabilidad en materia de ciberseguridad y cumplimiento normativo, así como a los usuarios finales. Sin embargo, la implementación de todas las tecnologías de seguridad disponibles sin introducir los cambios necesarios en los procesos, procedimientos y estructuras organizativas probablemente dará lugar a frustración y, en el peor de los casos, al fracaso, desde el punto de vista de la defensa y el cumplimiento normativo.
A continuación se exponen algunos de los cambios que las organizaciones deberán tener en cuenta en estos ámbitos.
Procesos/Procedimientos
Será necesario modificar numerosos procesos empresariales y procedimientos de seguridad para reforzar la seguridad.
Un aspecto importante que hay que mejorar es la protección de la identidad de los usuarios. Este es uno de los vectores más explotados. Basta con que un usuario de caiga en una trampa de phishing para que los atacantes tengan una vía de acceso. A partir de ahí, saben que pueden comenzar a buscar privilegios elevados.
Es aquí donde la autenticación multifactorial (MFA) debería constituir el mínimo imprescindible para el acceso de los usuarios a las redes y otros activos. Aunque estos métodos no son perfectos, suponen una dificultad suficiente para los atacantes como para que estos puedan desistir y busquen otro objetivo.
La autenticación de dos factores (MFA) dificulta considerablemente el acceso no autorizado a las cuentas. Asimismo, deberían dejar de exigir cambios de contraseña cada mes y de imponer una carga excesivamente compleja a los usuarios. Como mínimo, los equipos de seguridad deberían fomentar el uso de «frases de contraseña», que son más fáciles de recordar, ya que se trata básicamente de una frase que resulta mucho más difícil de adivinar y de piratear.
Las organizaciones también deberían reducir el número de cuentas con derechos administrativos y aprovechar un sistema de acceso privilegiado, en el que los usuarios puedan solicitar privilegios elevados para un fin y un plazo determinados, que se retiren automáticamente una vez finalizado dicho plazo.
A muchas personas les sorprende descubrir que tienen cientos de cuentas con derechos de administrador, ya que, aunque se suponía que eran temporales, nunca se eliminaron.
En lugar de crear «imágenes de referencia», cuya creación y gestión requieren mucho tiempo, utilice una imagen base del sistema operativo y paquetes de aplicaciones, de modo que haya menos elementos que actualizar y mantener. Para completar la transformación, implemente un catálogo de software y un cliente de autoservicio, de modo que los usuarios no necesiten derechos de administrador local para instalar aplicaciones.
Otra buena práctica desde el punto de vista de los procesos es algo que muchas organizaciones ya están intentando llevar a cabo: automatizar todo lo que sea posible. La automatización de las tareas rutinarias reduce los errores humanos y permite que el personal dedique más tiempo a proyectos de mayor complejidad.
Además, aplique los parches y las actualizaciones de software lo antes posible. Esperar 90 días o más para «evaluar» una actualización con el fin de asegurarse de que no tenga ningún impacto negativo en los sistemas no tiene sentido, sobre todo cuando el tiempo que transcurre entre el descubrimiento de una vulnerabilidad y su explotación es de unos 22 días. Existe un equilibrio entre la posibilidad de una interrupción del servicio y la de una violación de la seguridad, pero a menudo es posible acortar el periodo de validación con un riesgo mínimo.
Tenga en cuenta que es probable que cualquier cambio en los procesos y procedimientos genere descontento entre algunas personas. Por ejemplo, en el sector educativo, muchos profesores no quieren que el departamento de TI implante la autenticación multifactorial (MFA), alegando que los alumnos nunca la aceptarían. En realidad, a los estudiantes no les supone ningún problema que el MFA forme parte del procedimiento de inicio de sesión, ya que están acostumbrados a ello al acceder a su cuenta bancaria en línea e incluso a su cuenta de Facebook.
Las personas que se aferran a las formas tradicionales de hacer las cosas se resisten al cambio. Los equipos de TI y de seguridad deberían hacer caso omiso de los detractores y colaborar para introducir cambios allí donde sea necesario.
Estructuras organizativas
Las estructuras organizativas también deben adaptarse para contribuir a afianzar la nueva cultura. Por un lado, las empresas deben eliminar cualquier barrera de información que exista entre los distintos departamentos que deberían colaborar entre sí.
El CSO o el CISO no pueden permitirse el lujo de esperar a que el departamento de TI, el de operaciones o cualquier otra unidad de la organización les facilite información valiosa y conocimientos sobre amenazas o vulnerabilidades que podrían ayudar a prevenir una filtración de datos.
Desde el punto de vista organizativo, muchas empresas siguen presentando compartimentos estancos que impiden que las distintas partes interesadas colaboren como deberían en cuestiones de seguridad y cumplimiento normativo. Además —y quizá lo que es peor— siguen existiendo disputas internas que pueden impedir que las distintas facciones trabajen de forma cohesionada para proteger a la organización en su conjunto.
Las mejores organizaciones mantienen una comunicación fluida y comparten información con frecuencia entre los distintos departamentos. Sin embargo, para alcanzar un nivel realmente óptimo en materia de seguridad y cumplimiento normativo, la mayoría de las organizaciones con visión de futuro han simplificado su estructura organizativa con el fin de eliminar los compartimentos estancos y las disputas por competencias, y garantizar que las distintas funciones tecnológicas y empresariales trabajen al unísono.
Otro elemento importante que contribuye a la creación de los «silos» mencionados anteriormente son las estructuras jerárquicas a las que rinden cuentas los máximos responsables de seguridad y cumplimiento normativo, como, por ejemplo, el CISO. Lo ideal sería que el máximo responsable de seguridad dependiera del director general, del director financiero, del director técnico o de otros altos directivos de la empresa. Esto puede contribuir a eliminar los trámites burocráticos, sobre todo en ámbitos como la aprobación de presupuestos.
El hecho de que el CISO u otros responsables de seguridad formen parte del equipo directivo y dependan de los altos directivos garantiza que la ciberseguridad y el cumplimiento normativo sean prioridades fundamentales para la organización.
Contar con un líder sólido es esencial, pero, en última instancia, la ciberseguridad debería formar parte del trabajo de todos. Siempre existirá una cierta disyuntiva entre la seguridad y la libertad para innovar. Sin embargo, al adoptar una nueva mentalidad en materia de seguridad, las organizaciones pueden alcanzar el verdadero éxito en la transformación digital.
Descubra cómo Tanium puede ayudarle a priorizar sus necesidades en materia de ciberseguridad y cumplimiento normativo de cara a la transformación digital. Descubra hoy mismo el poder « » de Tanium: (se abre en una nueva pestaña).
