Si considera que el cumplimiento normativo es el objetivo final de sus prácticas generales de seguridad, se estará perdiendo actualizaciones fundamentales. La inminente actualización del cifrado PCI TLS nos ofrece un ejemplo paradigmático.
El cumplimiento normativo y las prácticas de seguridad van de la mano. La opinión generalizada sostiene que, cuanto mayor sea su nivel de cumplimiento, mejor será su programa de prácticas de seguridad. Esto es así independientemente de si su organización utiliza PCI-DSS (se abre en una nueva pestaña), el Marco de Ciberseguridad del NIST (se abre en una nueva pestaña), los Controles Críticos de Seguridad del CIS (se abre en una nueva pestaña), o cualquier normativa específica del sector en función del tipo de datos sensibles que almacene y comparta.
Si bien unas buenas prácticas de seguridad le ayudarán a cumplir con sus obligaciones de cumplimiento normativo, no ocurre necesariamente lo contrario. Los requisitos de cumplimiento suelen corresponder a los niveles mínimos de protección de sus datos. Si considera que el cumplimiento normativo es el objetivo final de sus prácticas generales de seguridad, se estará perdiendo actualizaciones fundamentales.
Sector de las tarjetas de pago
Tomemos como ejemplo el sector de las tarjetas de pago (PCI). El protocolo SSL/TLS se utiliza desde hace tiempo como protocolo de cifrado (se abre en una nueva pestaña) en el ámbito del PCI. En April 2015, el Consejo de Normas de Seguridad de la PCI (SSC) anunció que el protocolo SSL ya no se utilizaría como medida de seguridad y que las organizaciones estarían obligadas a actualizar su implementación de TLS de la versión 1.0 a la versión 1.1. Esta medida se diseñó para subsanar una laguna normativa que permitía el uso de protocolos de cifrado obsoletos. Algunas de estas versiones de SSL/TLS tenían más de 15 años y presentaban vulnerabilidades conocidas.
En esencia, se trató de una actualización de un único protocolo de seguridad, de la versión 1.0 a la 1.1 de TLS. El protocolo más reciente, TLS v. 1.2 (se abre en una nueva pestaña), que se definió en April 2014, fue recomendado por el PCI SSC, aunque no era obligatorio.
En un principio, se fijó como plazo el June 30, 2016 para que las organizaciones cumplieran con los requisitos de actualización. Sin embargo, a medida que se acercaba la fecha límite, las organizaciones empezaban a darse cuenta de lo difícil que resultaría dar este sencillo paso en materia de prácticas de seguridad. Algún tiempo después, con la publicación de la norma PCI DSS v3.2, el plazo para la aplicación de estos cambios se aplazó hasta el June 30, 2018.
En qué medida se quedan cortos los requisitos de cumplimiento
El ejemplo del TLS ilustra especialmente bien cómo los requisitos de cumplimiento pueden resultar insuficientes. Si bien el requisito de actualización del PCI SSC tenía por objeto subsanar las lagunas de seguridad, también suponía que las organizaciones seguirían estando lamentablemente desactualizadas incluso tras la actualización. La versión 1.1 de TLS ya tenía nueve años en April 2015 cuando el PCI SSC indicó por primera vez a las organizaciones que debían actualizarla a dicha versión. El protocolo habrá cumplido casi la adolescencia en el año 2018, cuando entre en vigor el nuevo plazo de cumplimiento. Aunque la versión TLS v.1.2 , ligeramente más reciente, se había definido en August 2008, se considerará que las organizaciones cumplen con la normativa PCI aunque no la implementen.
Se trata de un plazo extremadamente largo para proteger datos tan sensibles como los de las tarjetas de crédito y otra información de identificación personal (PII), sobre todo si tenemos en cuenta la frecuencia con la que renovamos nuestros teléfonos móviles o incluso nuestros automóviles. El objetivo de la norma PCI y de otras normas de cumplimiento es mejorar los niveles de seguridad de las organizaciones mediante su evaluación periódica. Sin embargo, tal y como demuestra el ejemplo de la PCI, si se queda esperando a que un organismo del sector le exija que implemente actualizaciones, se dará cuenta de que su entorno de seguridad está peligrosamente desactualizado.
Un programa riguroso de prácticas de seguridad habría hecho que las organizaciones implementaran estas actualizaciones de cifrado ya en 2008. De ese modo, las organizaciones adheridas a la norma PCI habrían cumplido con la norma actualizada mucho antes de que fuera obligatorio.
Cómo puede ayudarle Tanium
Para cualquiera que utilice la plataforma Tanium, gestionar esta actualización implicaría disponer de un sensor para la detección de versiones de TLS que se ejecute en toda su infraestructura en cuestión de segundos. A partir de la lista de sistemas detectados, Tanium puede implementar contenido de configuración en dichos terminales para actualizarlos a la última versión, de nuevo en cuestión de segundos.
Es fundamental considerar la higiene de seguridad como un proceso, no como un objetivo final. Irá aprendiendo sobre la marcha y ajustando el rumbo según sea necesario. Dado que las normas y regulaciones en materia de cumplimiento cambian cada año. Tanium permite a las organizaciones adaptarse mucho mejor a los cambios normativos, algo que no era posible con las herramientas de 2008. Dado que Tanium es una plataforma abierta y ampliable, los nuevos contenidos —como el sensor PCI TLS y las medidas correctivas mencionadas anteriormente— pueden facilitarle el ajuste de su postura de seguridad en respuesta a los cambios legales o normativos.
Acerca del autor,: Como director de gestión de productos de Tanium, Alexander Quilter aporta a su cargo su experiencia en seguridad empresarial y en software de automatización de sistemas y redes. Antes de incorporarse a Tanium, Alexander dirigió las actividades de gestión de productos para las líneas de productos de seguridad y cumplimiento normativo de Cisco, Lancope, Qualys, nCircle y Opsware. Cuenta con un máster en Gestión de la Ingeniería de Software por la Universidad Carnegie Mellon y una licenciatura en Informática por la Universidad de Utah.
