Los directores de sistemas de información (CIO) de hoy en día se enfrentan a un reto de gran envergadura: conciliar la labor innovadora que supone la transformación digital con la necesidad de proteger a su organización frente a ciberataques sofisticados y potencialmente perjudiciales. El panorama actual de amenazas a la ciberseguridad está ejerciendo una gran presión sobre los directores de sistemas de información (CIO) para que gestionen el riesgo haciendo frente a las amenazas cibernéticas mediante una combinación de las competencias del personal y una cartera de herramientas de ciberseguridad.
Los directores de sistemas de información (CIO), responsables de supervisar todas las tecnologías de la información de una organización, deben proporcionar la orientación y los recursos informáticos que la organización necesita para respaldar su misión y alcanzar sus objetivos financieros.
Cada vez más, ese trabajo tiene que ver con la transformación digital. Esa expresión puede tener distintos significados para cada persona, pero, en esencia, se trata de aplicar la tecnología digital de forma innovadora para lanzar nuevos productos y servicios o para mejorar significativamente los ya existentes.
Casi siempre, la transformación digital da lugar a una infraestructura informática más amplia, más distribuida y más variada. Para ofrecer productos y servicios mejores, más rápidos y de mayor valor, es inevitable recurrir a más servicios en la nube, un mayor uso de los datos, inteligencia artificial (IA) y aprendizaje automático (ML) , puestos en práctica mediante nuevas aplicaciones que distribuyen la huella digital de la organización entre una plantilla más dispersa a través de dispositivos móviles y nuevas arquitecturas de aplicaciones, lo que probablemente implique el uso de interfaces de programación de aplicaciones (API) y microservicios, en lugar de las aplicaciones monolíticas desarrolladas hace una o dos décadas.
Comprensión de las superficies de ataque informático frente a los vectores de ataque
En términos de seguridad informática, esta infraestructura informática más amplia aumenta la superficie de ataque de una empresa. Según la definición del Open Web Application Security Project (OWASP), una superficie de ataque de tipo « » (se abre en una nueva pestaña) abarca «todos los puntos por los que un atacante podría acceder a un sistema y desde los que podría extraer datos».
Proteger superficies de ataque complejas resulta difícil y, a menudo, requiere herramientas cibernéticas que cuenten con capacidades complementarias. Una buena higiene cibernética, una gestión eficaz de la configuración que garantice el cumplimiento de las políticas de ciberseguridad y una supervisión continua del estado de las herramientas cibernéticas constituyen la evaluación de la preparación cibernética de una organización.
Hace quince años, cuando la mayoría de los sistemas informáticos se encontraban en las propias instalaciones y estaban protegidos por un cortafuegos de red, la superficie de ataque era relativamente reducida. Hoy en día, cuando las organizaciones dependen de cientos de servicios en la nube y los empleados trabajan a distancia, la superficie de ataque es considerablemente mayor. Cada dispositivo de un empleado conectado a una red doméstica constituye un vector de ataque potencial que podría dar lugar a la vulneración de recursos informáticos de importancia crítica.
Los directores de sistemas de información (CIO) son los responsables de garantizar la seguridad de esta infraestructura distribuida. Y deben tener en cuenta no solo las amenazas externas que logran traspasar los cortafuegos, sino también las vulnerabilidades de software en aplicaciones que dan lugar a amenazas no lineales, como SolarWinds y WannaCry.
La vulnerabilidad Log4J y la superficie de ataque actual
Esa es la lección que se desprende de la vulnerabilidad recientemente descubierta en « Log4j ». Las aplicaciones actuales incluyen cientos o miles de componentes de software y servicios. Una vulnerabilidad en cualquiera de esos componentes y servicios puede poner en peligro la seguridad de toda la aplicación y de la organización que la gestiona. Contar con herramientas de gestión de software de terceros de capaces de adaptarse a las amenazas emergentes permite ahorrar tiempo, reducir el riesgo y mejorar la preparación cibernética de una organización.
Por ejemplo, muchas versiones muy utilizadas de una utilidad de registro de código abierto contienen un fallo que permite a los atacantes enviar una cadena a la interfaz Java Naming and Directory Interface (JNDI) del registrador, lo que permite a un usuario no autorizado ejecutar código dentro de la aplicación con privilegios elevados. Esta vulnerabilidad crítica puede aprovecharse para propagar ransomware, sustraer datos, bloquear sistemas y otras acciones similares.
La vulnerabilidad Log4J , a la que el NIST ha otorgado una puntuación de 10 sobre 10 en cuanto a su nivel de criticidad según el índice «», suele ser un componente clave presente en el software web y de aplicaciones, incluyendo aproximadamente el 4 % de los repositorios de componentes Java más populares. El artefacto de software Log4j se encuentra en diversas aplicaciones, entre las que se incluyen aplicaciones comerciales líderes, así como en numerosas aplicaciones propias desarrolladas internamente. Por lo tanto, la vulnerabilidad Log4j forma parte ahora de la superficie de ataque de la organización. La vulnerabilidad Log4j ya ha permitido a los atacantes instalar software de minería de criptomonedas en redes corporativas, lanzar nuevas formas de ataques de ransomware e infiltrarse en el Ministerio de Defensa de Bélgica.
El Log4j nos recuerda el gran reto al que se enfrentan los directores de sistemas de información (CIO): seleccionar, implementar y gestionar arquitecturas de TI amplias y complejas, al tiempo que identifican y mitigan todas las amenazas presentes en la superficie de ataque de dichas arquitecturas, por muy complejas o desconocidas que sean dichas amenazas, sin dejar de gestionar la preparación cibernética, reducir el riesgo y contener los costes dentro de un presupuesto fijo.
Sea cual sea el aspecto que presente hoy en día la superficie de ataque, está abocada a seguir cambiando. En 2015, el 30 % de los datos corporativos se encontraban en la nube. En 2020, ese porcentaje era del 50 %. Los datos indican que la migración de aplicaciones, servicios y datos a la nube continuará. Estas migraciones a la nube, así como otras iniciativas de transformación digital, contribuirán a ampliar la superficie de ataque y a aumentar su complejidad.
Sin embargo, si el ritmo del cambio supera el de la supervisión de la seguridad, las organizaciones se verán afectadas. Serán víctimas de ataques de ransomware, filtración de datos, ataques de suplantación de identidad en el correo electrónico empresarial (BEC) y otros. Las operaciones podrían verse afectadas. Una empresa podría acabar pagando decenas de millones de dólares en concepto de rescate y, posteriormente, otros tantos a la Comisión Federal de Comercio de EE. UU. (FTC) si el ataque provocara la filtración de datos confidenciales de los consumidores.
Este es el reto al que se enfrentan los directores de sistemas de información (CIO): impulsar el cambio al tiempo que se adaptan a una superficie de ataque en constante evolución para proteger la infraestructura informática de la empresa.
No es fácil.
Reducir la superficie de ataque de las tecnologías de la información en la era de la transformación digital
Los directores de sistemas de información necesitan una combinación de herramientas, procesos y personal para hacer frente a estas amenazas. Dichas herramientas y procesos comparten una serie de requisitos comunes.
Visibilidad en tiempo real
Cualquier estrategia destinada a proteger la superficie de ataque debe tener en cuenta la naturaleza siempre cambiante de la misma. No se puede proteger lo que no se ve; por lo tanto, los directores de sistemas de información ya no pueden basarse en informes mensuales, ni siquiera semanales, para identificar las vulnerabilidades y mitigar las amenazas. La gestión de la superficie de ataque requiere acceso a datos en tiempo real y la capacidad de pasar de la detección a la respuesta al ritmo de las amenazas. Las vulnerabilidades pueden surgir en el momento en que un terminal comprometido se conecte a la red o se reinstale un componente de software obsoleto a partir de una copia de seguridad. La preparación cibernética debe tener en cuenta el software actual y el aprobado.
En la medida de lo posible, las herramientas de supervisión de terminales y redes deben proporcionar información en tiempo real y facilitar las investigaciones en tiempo real. Descubrir que un sistema fue vulnerado hace dos semanas les da a los atacantes una ventaja demasiado grande. Para entonces, el ransomware podría haberse propagado por los centros de datos y las distintas sedes, o bien podrían haberse detectado y sustraído datos críticos.
Fácil de aprender y fácil de usar
Los directores de sistemas de información (CIO) deben elegir herramientas que ofrezcan capacidades cibernéticas esenciales y que, al mismo tiempo, requieran una curva de aprendizaje mínima. Si los nuevos equipos deben implementar nuevas aplicaciones o servicios, proporcióneles herramientas que no sean excesivamente complejas. Dejen que se centren en el trabajo que están realizando, en lugar de tener que preocuparse por cómo mantener herramientas complejas o difíciles de manejar. El talento y la tecnología son factores clave que permiten a una organización acelerar las medidas de respuesta ante amenazas emergentes. Esta agilidad resulta fundamental, ya que el entorno de las amenazas cibernéticas se vuelve cada vez más volátil, incierto, complejo o ambiguo. Como se ha mencionado anteriormente, una acción precisa y letal que se lleva a cabo demasiado tarde tiene el mismo resultado que no actuar en absoluto. La rapidez es un componente imprescindible para el uso eficaz de las capacidades cibernéticas.
Otra consideración: los directores de sistemas de información (CIO) deben elegir herramientas que faciliten la colaboración entre los equipos de seguridad y de operaciones a la hora de responder a nuevas amenazas. La vulnerabilidad Log4j no será la última de gravedad que aparezca en el código fuente. Los equipos de seguridad y operaciones necesitan herramientas que les permitan reaccionar con rapidez para hacer frente a la amenaza de seguridad más urgente.
Cobertura integral
Elija herramientas que ofrezcan la mayor cobertura posible de los dispositivos finales y otros activos de TI. Lamentablemente, la mayoría de los sistemas de evaluación de vulnerabilidades y de gestión de terminales pasan por alto un porcentaje significativo de terminales: hasta un 20 % en muchos casos. Cuando el departamento de TI no puede detectar los dispositivos finales, no puede supervisarlos ni detectar indicios de compromiso, ni tampoco incluirlos en los programas automatizados de aplicación de parches. Esto contribuye a una mala higiene cibernética, a la falta de uniformidad en la configuración de los terminales y a que las herramientas no funcionen correctamente en el momento y lugar en que se necesitan. La visibilidad de los puntos finales se convierte en un requisito imprescindible para un enfoque eficaz de la gestión de una superficie de ataque compleja.
La superficie de ataque incluye todos los dispositivos finales y sistemas conectados a la red de la organización. Los directores de sistemas de información deben asegurarse de poder visualizar la superficie de ataque en su totalidad, y no solo algunas partes de la misma.
Centralización y automatización
Siempre que sea posible, los directores de sistemas de información (CIO) deberían optar por herramientas que sean compatibles entre sí, de modo que los datos sean visibles, accesibles y comprensibles, y que las tareas puedan automatizarse en las distintas áreas funcionales de la seguridad informática, tales como (detección de amenazas), y (gestión de parches).
Adoptar un enfoque de «armas combinadas» y utilizar múltiples herramientas que funcionen bien juntas facilita el desarrollo de procesos optimizados para las tareas de seguridad. La automatización también resulta más sencilla. La capacidad de adaptarse con flexibilidad dentro de una plataforma común puede resultar fundamental para los analistas del Centro de Operaciones de Seguridad (SOC), ya que así no perderán tiempo cambiando de un conjunto de herramientas a otro para investigar incidentes y mitigar amenazas.
Equipos y talento
Las herramientas no son el único elemento de una estrategia eficaz de mitigación de amenazas. Los directores de sistemas de información (CIO) necesitan una plantilla con capacidad de reflexión que cuente con los conocimientos, las habilidades y las aptitudes (KSA) necesarios para llevar a cabo tareas en plazos ajustados que aceleren las transiciones desde la detección hasta la respuesta y la recuperación. Este enfoque aprovecha las capacidades de las herramientas para mejorar los procesos de la organización, sincronizando dichas capacidades y los procesos con el fin de proteger de la mejor manera posible la superficie de ataque de la organización, que está en constante evolución.
Por ejemplo, las organizaciones pueden recurrir a los equipos de simulación de ataques (Red Teams) de y a pruebas de penetración en todos los componentes de su infraestructura informática en constante evolución para detectar nuevas vulnerabilidades antes de que lo hagan los atacantes. Los resultados de estos ejercicios pueden, por lo tanto, reforzar las superficies de ataque, al tiempo que contribuyen a los procesos de aprendizaje de la organización. Estas «series y repeticiones» constituyen oportunidades de aprendizaje inestimables que mejoran la preparación en materia de conocimientos, habilidades y actitudes (KSA) del personal especializado en ciberseguridad.
Los equipos de seguridad y de desarrollo de aplicaciones pueden incorporar a expertos en materia de seguridad en las fases de diseño y planificación de los proyectos de transformación digital, de modo que la seguridad se integre en los nuevos productos y servicios, en lugar de añadirse a posteriori como una medida de última hora.
Confianza cero
Los directores de sistemas de información (CIO) deberían adoptar una estrategia «Zero Trust» basada en la « » ( ) para reducir el acceso a la superficie de ataque y evitar que los atacantes puedan desplazarse fácilmente por la red. En un modelo «Zero Trust», no se considera fiable a ningún usuario, proceso o dispositivo sin que se le someta a algún tipo de verificación. En otras palabras, no se concede el acceso a un servicio o recurso de red sin comprobar la conformidad del dispositivo, las funciones del usuario y que la autenticación se haya realizado correctamente. De hecho, se deniega el acceso a todo el mundo y a todo, salvo a aquellos usuarios, dispositivos y procesos que estén autorizados en función de la misión de la organización.
Al cerrar los puertos, las direcciones IP y los protocolos innecesarios, las organizaciones de TI reducen el tamaño de sus superficies de ataque y, al mismo tiempo, dificultan que los atacantes penetren y se desplacen lateralmente por la red en busca de datos valiosos o para propagar ransomware.
Al aplicar de forma predeterminada los principios de seguridad «Zero Trust» en las iniciativas de transformación digital, los directores de sistemas de información (CIO) pueden reducir las superficies de ataque y garantizar que sus nuevos servicios e infraestructuras de TI sean resilientes y estén preparados para facilitar las operaciones empresariales digitales.
Conclusión
La transformación digital nunca llega a su fin. Para sobrevivir y prosperar, las organizaciones deben seguir innovando, lanzando nuevos productos y servicios y optimizando los ya existentes. En consecuencia, la superficie de ataque de todas las organizaciones seguirá cambiando y, probablemente, aumentando.
Los directores de sistemas de información (CIO) necesitan las herramientas, los procesos y el personal cualificado necesarios para adaptarse a estos cambios y a las amenazas en constante evolución de los atacantes, de modo que la infraestructura informática de la organización se mantenga siempre segura.
En otra entrada del blog, analizaré las ventajas de que los directores de sistemas de información (CIO) adopten un marco de análisis de la cadena de ataque para gestionar las amenazas a la superficie de ataque.
Mientras tanto, puede visitar para concertar una demostración (se abre en una nueva pestaña) y obtener más información sobre las soluciones de Tanium para proteger la superficie de ataque de su organización.
