La nueva cultura del teletrabajo ha generado una enorme complejidad para las organizaciones actuales.
Piense en los miles de millones de dispositivos —ordenadores portátiles, tabletas, ordenadores de sobremesa, impresoras, escáneres— que los trabajadores se llevaron apresuradamente a casa al inicio de la pandemia para realizar sus tareas, o que los equipos de TI, sobrecargados de trabajo y luchando por adaptarse, les enviaron posteriormente por correo. Los retos que plantea la gestión y la protección de estos dispositivos son innumerables. La mayoría ya no se limita a la red de una organización, sino que se encuentra dispersa a través de conexiones de banda ancha y Wi-Fi de libre acceso y disponibles en el mercado.
Para hacerse una idea de esta extensa red, eche un vistazo al estudio anual « : Cybersecurity Workforce Study» (: Estudio sobre el personal dedicado a la ciberseguridad) elaborado por (ISC)2, una asociación de profesionales de la ciberseguridad. En una encuesta mundial realizada a 3,790 profesionales de la seguridad, el 30 % de los encuestados afirmó que su organización pasó a un modelo de teletrabajo en tan solo un día, mientras que otro 47 % tuvo el relativo lujo de tardar una semana en hacerlo. Tal y como señala el informe, ese cambio repentino «supuso una presión sin precedentes para los profesionales de la ciberseguridad a la hora de adaptarse y proteger los entornos remotos».
La opinión generalizada entre los CISO como yo es que esta creciente complejidad de la red plantea retos costosos y que requieren mucho tiempo para la gestión y la seguridad de los terminales. En mi puesto en Tanium, oigo esto constantemente. Mi función consiste en ayudar a otros directivos de seguridad y de tecnologías de la información a hacer frente a los riesgos cibernéticos, gestionar las operaciones de TI y mejorar la resiliencia empresarial. También me encargo de proteger los sistemas y los datos de Tanium.
Lo que he aprendido es que la complejidad no tiene por qué ser incompatible con la seguridad de una organización. De hecho, creo que se está haciendo un uso indebido del propio término «complejidad». La mayoría de las veces, cuando se habla de complejidad, lo que realmente se quiere decir es diversidad empresarial y tecnológica. Se refieren a una combinación de diversas necesidades empresariales y casos de uso, así como a la infraestructura tecnológica y las aplicaciones necesarias para darles soporte, incluyendo implementaciones híbridas y multinube, aplicaciones SaaS y personalizadas, además de un universo cada vez más amplio de dispositivos para acceder a dichos recursos. Una organización puede aprovechar la diversidad en su beneficio, lo que facilita el desarrollo de más aplicaciones para gestionar dispositivos en más lugares. Los negocios y la tecnología solo se vuelven verdaderamente complejos cuando el departamento de TI carece de visibilidad y control sobre ellos.
Dejando a un lado la terminología, a continuación se presentan cinco formas en que cualquier organización puede asumir la complejidad y salir airosa de ella.
Romper con el modelo «hub-and-spoke»
Durante décadas, los equipos de TI han basado la gestión de la seguridad de la red en el modelo «hub-and-spoke». Implementaron medidas de seguridad en un centro de datos; todos los empleados de una oficina estaban conectados a él. Ese modelo se ha visto completamente trastocado. En un mundo en el que se trabaja a distancia, existen demasiados puntos de estrangulamiento en el acceso a esos entornos.
Supongamos que es usted una gran empresa de servicios financieros que cuenta con 32,000 empleados que intentan conectarse a las aplicaciones de red de sus centros de datos a través de una conexión VPN heredada. Esa misma conectividad se está utilizando para los servicios de seguridad. Esto genera un cuello de botella en las redes corporativas. Muchas empresas acaban haciendo concesiones en materia de seguridad porque necesitan mantener en funcionamiento las aplicaciones de negocio.
Lo primero que debemos hacer es eliminar la dependencia de los posibles puntos de estrangulamiento. Si todo el mundo trabaja desde casa y utiliza una conexión por cable o DSL, limitar la seguridad a la capa de red no será suficiente. Con una plantilla distribuida, esa capa de red queda obsoleta. Eso significa que necesita seguridad en los dispositivos finales. Y es importante que garantice la seguridad de sus servicios, ya sean SaaS o IaaS, en la nube.
Localice todos los puntos finales
No se puede gestionar ni proteger lo que no se ve. Por ejemplo, colaboro con numerosos CISO y CIO que utilizan una solución de para la gestión de activos, otra para la gestión de vulnerabilidades y otra para la gestión de parches. El uso de varios sistemas para gestionar y proteger los dispositivos genera lagunas en la visibilidad. Todas estas herramientas funcionan de manera diferente. Algunos funcionarán en Windows. Algunos funcionarán en Linux. Algunas funcionarán en Mac. El hecho de que las herramientas estén tan fragmentadas hace que resulte increíblemente difícil evaluar adecuadamente su exposición.
«No se puede gestionar ni proteger lo que no se ve.»Chris Hodson
Conozco a responsables de seguridad de la información (CISO) que afirman: «Oiga, durante el último trimestre hemos logrado alcanzar un porcentaje de implementación de parches críticos del 97 %». «Es un récord de la empresa». Todo el mundo está aplaudiendo y chocando las manos. Sin embargo, esa misma responsable de seguridad de la información (CISO) solo tiene ese agente de aplicación de parches instalado en hasta el 75 % de su infraestructura tecnológica. Ella no puede ver el resto, así que eso no se va a corregir. Así que se obtienen unos indicadores realmente sesgados.
La falta de visibilidad se acentúa en una época de trabajo a distancia. Sin embargo, si dispone de un plano de gestión, es decir, un único panel de control que le permita identificar y acceder a sus terminales, obtendrá mayor visibilidad y control.
Adopte el modelo «zero trust»
Acercar la seguridad a los terminales —y alejarla del centro de datos— es fundamental para proteger los negocios distribuidos actuales y garantizar la continuidad de las operaciones. Los trabajadores utilizan dispositivos que no permiten al CISO ni al equipo de seguridad elaborar informes sobre sus prácticas de seguridad, incluyendo aspectos como el estado de las actualizaciones. En ese sentido, la superficie de ataque se ha multiplicado enormemente.
Aquí es donde entra en juego el modelo «zero trust». El concepto es sencillo. Con el fin de proteger la red informática de una organización frente a intrusiones, todos los dispositivos y usuarios, incluso aquellos que el sistema ya conoce, se consideran una amenaza potencial y deben ser autenticados antes de que se les conceda acceso a la red. El modelo «zero trust» lleva ya dos décadas en uso. Sin embargo, la mayoría de los equipos de seguridad nunca llegaron a aplicarla realmente. La pandemia y el aumento vertiginoso del número de dispositivos remotos que se utilizan a través de redes Wi-Fi no seguras lo exigen ahora.
Desplazamiento hacia la izquierda
Como responsable de seguridad de la información (CISO), mi función no consiste en decir a la gente que no puede hacer ciertas cosas. Sin embargo, eso se ha considerado tradicionalmente como una función de seguridad, lo cual es totalmente incompatible con las prácticas actuales de desarrollo ágil de software, basadas en «fallar rápido» e «iterar rápido».
Una forma de solucionar eso es adoptar lo que se conoce como «pruebas de software shift left». Esto significa que se realizan pruebas mucho antes (en una fase más temprana) del ciclo de desarrollo, incorporando correcciones de seguridad a medida que los desarrolladores escriben y publican el código. Al codificar los controles de seguridad desde el principio, se reduce la complejidad a medida que se pone el sistema en producción. Esto garantiza que el equipo de seguridad sea lo suficientemente ágil como para adaptar los requisitos de seguridad a las necesidades cambiantes de la empresa, una consecuencia inevitable de cualquier proyecto de desarrollo basado en metodologías ágiles. La función de seguridad debe actuar con discreción, proporcionando un asesoramiento fundamental de forma casi inmediata.
Céntrese en el negocio, no solo en la tecnología
La complejidad no es solo técnica. Uno de los principales retos a los que se enfrentan las organizaciones en estos momentos, en plena pandemia, es comprender su propia continuidad operativa. ¿Cómo funcionan sus servicios, sus servicios empresariales, sus servicios de seguridad, sus servicios informáticos y su cadena de suministro? Determinar eso es competencia del CISO y del CIO, y forma parte de la gestión de terminales.
Allá por marzo, cuando todo el mundo empezó a trabajar a distancia, recibí una avalancha de consultas de clientes que preguntaban por la propia continuidad del negocio de Tanium. Querían saber: ¿Cómo íbamos a seguir prestando apoyo a nuestra cartera de clientes y a nuestros socios si todo el mundo estaba en casa? Algunos clientes nos enviaron cuestionarios con 150 preguntas sobre nuestros métodos. En otros casos, simplemente me ponía en contacto por teléfono con alguien del departamento de gobernanza y le explicaba cuál era nuestro enfoque, facilitándole una copia de nuestras certificaciones relativas a diversos marcos de cumplimiento para demostrarle que nuestro software de aplicación estaba intacto y era fiable.
Lo que esto pone de manifiesto es que la planificación de la continuidad del negocio debe adaptarse a los procesos y al personal de una organización. Es similar al enfoque que adopta una empresa en materia de ciberseguridad. En definitiva, debe confiar en su cadena de suministro, pero la forma de corroborar esa confianza es subjetiva y debe ajustarse tanto a la cultura de su empresa como a sus recursos.
Por eso, gestionar la complejidad no es solo una cuestión técnica. La complejidad tiene su origen en las cadenas de suministro. Se trata de identificar los riesgos tanto en las fases iniciales como en las finales del proceso. Se trata de saber qué dependencias existen, no solo en el ámbito tecnológico, sino también en lo que respecta al personal y a la forma en que este lleva a cabo su trabajo.
La complejidad caracteriza el funcionamiento de las empresas actuales. Si lo acepta, estará en condiciones de apoyar a sus empleados pase lo que pase a partir de ahora. La gestión de una empresa distribuida es compleja, pero también supone una oportunidad para alcanzar el éxito. Y, como dijo Mike Tyson: «Todo el mundo tiene un plan hasta que le dan un puñetazo en la boca».
Chris Hodson es el director de seguridad de la información (CISO) de Tanium.
