Piense en aquel momento en que se desató la pandemia y, prácticamente de la noche a la mañana, todo el mundo empezó a utilizar las videoconferencias. Fue una bendición para poner en contacto a todo tipo de personas en todo tipo de reuniones, pero cuanto más recurrían las empresas, los centros educativos, los organismos públicos y, en definitiva, prácticamente todo el mundo a las videoconferencias y a otros programas de colaboración , más vulnerables se volvían las plataformas. Los usuarios no aplicaban prácticas básicas de seguridad , como la autenticación multifactorial, y la implementación irregular del cifrado ponía en riesgo la privacidad. A medida que aumentaba el uso de las videoconferencias, también lo hacían los riesgos de ciberseguridad.
Para Michael Adams, director de seguridad de la información (CISO) de Zoom —empresa pionera en el auge de las videoconferencias—, la pandemia planteó a su empresa un problema inesperado que, en un principio, no parecía tal: el crecimiento repentino y exponencial de su base de clientes. Aunque los directores generales puedan soñar con cosas así, Adams comprendió que el crecimiento de Zoom requeriría una forma nueva y diferente de abordar la ciberseguridad.
Y un paso fundamental en ese nuevo enfoque consistió en mejorar su sistema de puntuación de riesgos cibernéticos « ».
Antes de la pandemia, Zoom contaba con un pequeño equipo de seguridad. «Hicieron un trabajo magnífico y sentaron las bases de la empresa», afirma Adams, quien se incorporó a Zoom en August 2020 como asesor jurídico del director de operaciones y del director de seguridad de la información; el año pasado asumió el cargo de director de seguridad de la información.
With the rise of remote work, the company moved forward into what he refers to as their 2.0 version of cybersecurity. Fue una oportunidad para desarrollar y mejorar los sistemas de seguridad ya existentes, ampliando el programa de seguridad actual de Zoom con el fin de hacer frente a posibles riesgos emergentes. Para ello, era necesario conocer cuáles eran los nuevos riesgos y, a continuación, adaptar su programa y su enfoque a dichos riesgos, sobre todo teniendo en cuenta que estos evolucionaban (y siguen evolucionando) con el paso del tiempo.
«. Debemos adoptar una visión global del panorama de amenazas y del panorama de riesgos y, a continuación, profundizar en ello para [comprender] nuestras obligaciones específicas para con nuestros clientes.»Michael Adams, director de seguridad de la información (CISO) de Zoom
En concreto, la puntuación de riesgos ha marcado la diferencia en el nivel de seguridad de la empresa en ámbitos como la gestión de vulnerabilidades, en los que deben cumplir con determinados requisitos de cumplimiento normativo u obligaciones con los clientes, y la gestión de riesgos de terceros, un ámbito específico que, por diversas razones, no se consideró tan prioritario como otros durante este periodo en el que las videoconferencias estaban en auge. Mediante el uso de puntuaciones de riesgo, Zoom pudo identificar posibles problemas que, de otro modo, habrían pasado desapercibidos y habrían dejado a la marca expuesta a bandas cibernéticas, hackers adolescentes que actúan por diversión y amenazas internas. En su lugar, Zoom reorientó sus inversiones para desarrollar un programa de seguridad aún más completo.
«Sabía que teníamos que invertir y destinar los recursos necesarios», afirma Adams. Además, añade, tuvieron que profundizar más para identificar el riesgo real y decidir cómo orientar los componentes clave para hacer frente a dicho riesgo.
Los resultados de este análisis de riesgos cibernéticos sirvieron de base para definir una nueva estrategia de seguridad y un conjunto de prioridades del programa para el ejercicio fiscal 2020.
Es una lección que se aplica a todas las empresas sin excepción. Muchas organizaciones tienen una idea bastante clara de los riesgos a los que se enfrentan, pero son demasiadas las que aún no han establecido un sistema formal para detectar y supervisar dichos riesgos.
Cómo poner en marcha un programa de evaluación de riesgos cibernéticos
La evaluación de riesgos comienza por identificar los indicadores de riesgo que son relevantes para su empresa. Hay muchos indicadores de riesgo cibernético que deben tenerse en cuenta (por ejemplo, el número de ciberataques consumados o intentados, la rapidez y la periodicidad de la gestión de parches, los tiempos de respuesta ante incidentes cibernéticos, etc.). Adams se basó en el Marco de Ciberseguridad (CSF) del NIST, disponible en , y , así como en la norma ISO 27001, disponible en , para desarrollar un conjunto de indicadores de riesgo que ayudaron al equipo de seguridad a realizar un seguimiento trimestral de la situación de riesgo de la empresa frente a riesgos específicos.
«: Hay que saber lo que se tiene para poder defenderlo.»Adams
Por ejemplo, explica Adams, el LCR tiene cinco funciones . De entre ellas, la función «identificar» ayuda a las organizaciones a realizar un recuento de sus activos físicos y de software para sentar las bases de una solución integral de gestión de activos .
«La gestión de activos es un componente clave de cualquier programa de ciberseguridad», afirma Adams. «Para defenderlo, es necesario saber lo que se tiene». Analizando el tema con mayor profundidad, Adams se propuso dar respuesta a las siguientes cuestiones:
- ¿Dispongo de un inventario de activos significativo en ?
- ¿Hay alguna laguna?
- ¿Qué programas de « » gestionan el software « » que se ejecuta en dichos activos?
- ¿Cómo debo abordar la gestión de vulnerabilidades para mantener esos elementos actualizados?
- ¿Cuáles son mis obligaciones en materia de cumplimiento al respecto?
«Ese es solo un ejemplo, pero debemos adoptar una visión global del panorama de amenazas y del panorama de riesgos y, a continuación, profundizar en ello para adaptar nuestra comprensión de nuestras obligaciones específicas hacia nuestros clientes», afirma. Ambas perspectivas son necesarias, ya que permiten comprender dos aspectos distintos: las amenazas, es decir, los incidentes maliciosos que se producen al aprovechar vulnerabilidades; y el riesgo, es decir, la pérdida o el daño que podría producirse en caso de que se produjera un incidente cibernético.
De cara al futuro, los parámetros de referencia para la evaluación de riesgos —medidas que comparan el entorno de una organización con el de sus competidores— ayudan a Adams y a su equipo de seguridad a garantizar que están cubriendo todas las áreas clave, y les sirven de apoyo a la hora de establecer prioridades en el uso de los recursos. Los indicadores clave de riesgo proporcionan los parámetros necesarios para determinar qué activos son objeto de ataques y para detectar cualquier anomalía. Los indicadores de riesgo se clasifican por área funcional y se realiza un seguimiento de los mismos.
«Creemos que una estrategia de seguridad eficaz debe basarse en marcos de seguridad punteros y, además, en una evaluación de riesgos adaptada a las realidades de la empresa», afirmó Adams. «Es gracias a esta combinación como podemos aprovechar al máximo nuestros recursos, nuestro tiempo y nuestra energía, y ofrecer la seguridad que nuestros clientes y nuestra empresa esperan de Zoom».
Adams también colabora estrechamente con un comité de riesgos de ciberseguridad formado por tres personas, compuesto por miembros del consejo de administración de la empresa . La creación de dicho comité contribuye en gran medida a cumplir el tipo de estrategias de buena gobernanza que la Comisión de Valores y Bolsa de Estados Unidos (SEC) esbozó en un nuevo conjunto de normas propuesto el año pasado y que actualmente se está ultimando. El comité de riesgos de Zoom se reúne trimestralmente para debatir la estrategia del próximo ejercicio fiscal, y el señor Adams aprovecha esta ocasión para presentar las principales prioridades y objetivos del programa general de ciberseguridad, siguiendo las directrices del NIST y la ISO.
La ventaja más importante (e inesperada) de la evaluación del riesgo cibernético
Podría decirse que la ventaja más significativa de la evaluación de riesgos cibernéticos es también la más sutil: la capacidad de poner de manifiesto aquellos riesgos de los que usted ni siquiera era consciente, afirma Adams, alertándole de problemas cuya existencia, de otro modo, habría pasado por alto. Disponer de esa información se convierte en la base de una estrategia de ciberseguridad más sólida y eficaz. En el caso de Zoom, esto permitió a Adams y a su equipo de seguridad establecer mejor las prioridades de sus objetivos.
«Me siento muy afortunado de contar con un sólido equipo de seguridad de y con personas que tienen un talento increíble, están muy comprometidas, aman lo que hacen y son excepcionalmente competentes en ello», afirma Adams. También ayuda que los altos cargos, incluido el consejo de administración, , estén atentos a; los responsables de la toma de decisiones de Zoom se comprometen con la ciberseguridad, lo que incluye introducir mejoras y destinar recursos.
«Es necesario abordar adecuadamente las cuestiones relacionadas con el riesgo», añade Adams. Para ello es necesario contar con un programa de seguridad estratégico y reconocer una verdad muy sencilla: no se puede resolver todo de una vez. La evaluación de riesgos sirvió de guía para el señor Adams y su equipo: identificó un problema inesperado derivado de la pandemia, lo resolvió ayudando a la organización a abordar sus cuestiones de seguridad desde una perspectiva diferente y ha proporcionado una estrategia y una hoja de ruta a medida para el futuro.
PARA SABER MÁS
Consulte otras entrevistas exclusivas con líderes de seguridad en nuestra serie "Historias de éxito".
- Joseph Karpenko, de Stratascale, habla sobre…
: DE LAS INFRACCIONES A LA ESTRATEGIA EMPRESARIAL - Ken Fishkin, el «evangelista de la privacidad» de Lowenstein Sandler, habla sobre…
FORMACIÓN ABURRIDA EN CIBERSEGURIDAD - Mike Wilkes, el «superhéroe» de Marvel, habla sobre…
EL USO DE LA IA PARA COMBATIR LA DELINCUENCIA INFORMÁTICA - «Ash Hunt», de Apex Group, en…
CÓMO PREDECIR (CON PRECISIÓN) EL RIESGO CIBERNÉTICO CON ESTA FÓRMULA - Jeff Aguilar del Condado de LA sobre…
CÓMO CAPACITA (Y RECAPACITA) A LOS TRABAJADORES PARA COMBATIR EL PHISHING - Dennis Leber de Honest Medical Group sobre…
POR QUÉ NO HABLA (MUCHO) DE CIBERSEGURIDAD CON LA JUNTA DIRECTIVA - Stephen Held de Leo A Daly sobre…
EL LADO OPUESTO DEL RIESGO DE TERCEROS
