Al proponernos analizar los principales avances en materia de ciberseguridad y operaciones de TI del año 2017, identificamos tres factores clave que, en nuestra opinión, influirán en las empresas de los sectores público y privado durante los próximos años. Además, en el curso « 2018» le ofrecemos medidas concretas que puede adoptar en su propia organización para hacer frente a estas fuerzas.
(Imagen: Mohamed Hassan / Pixabay)
¿Qué sería de un resumen de fin de año sin mencionar el ransomware, el Internet de las cosas y los actores maliciosos vinculados a Estados? Todos estos elementos afectaron de manera significativa a las vidas de los profesionales de la ciberseguridad y de las operaciones de TI en 2017, y seguirán ejerciendo una gran influencia en nuestras vidas durante el próximo año. De acuerdo, ya los hemos mencionado.
Si busca una lista exhaustiva de tecnologías, Forbes no deja ningún aspecto sin abordar con sus 60 predicciones sobre ciberseguridad para el año 2018. Este tipo de resúmenes sobre tecnología resultan útiles para orientarle en sus decisiones de planificación y compra. Sin embargo, al proponernos analizar los principales avances en materia de ciberseguridad y operaciones de TI del año 2017, nos dimos cuenta de que este año han intervenido tres factores clave que ponen de manifiesto cambios significativos a nivel organizativo y de comportamiento. Creemos que estas fuerzas influirán en las decisiones relativas a las operaciones de TI y a la ciberseguridad que adopten las empresas de los sectores público y privado en los próximos años. A continuación, destacamos por qué son importantes estos aspectos y le ofrecemos una serie de medidas que puede adoptar en su propia organización durante el próximo año.
Tres factores que impulsan la ciberseguridad y las operaciones de TI en 2017
1. Aplicación de parches
Una de las tareas menos atractivas de las operaciones de TI ha pasado a ocupar un lugar destacado este año, después de que una serie de ataques de ransomware paralizaran a organizaciones de todo el mundo. Sin embargo, entre tantas acusaciones y tanto revuelo, se pasa por alto fácilmente el hecho de que la aplicación de parches en resulta complicada: (se abre en una nueva pestaña). Incluso nuestras mejores intenciones suelen verse frustradas por algo tan antiguo como la propia humanidad: el miedo al cambio (se abre en una nueva pestaña). Tal y como señala la redactora jefe Fahmida Y. Rashid en CSO Online: «Las organizaciones cuentan con sistemas heredados y muchas de ellas han realizado inversiones masivas a lo largo de los años en sistemas y equipos que no se pueden actualizar». Las migraciones no siempre son la solución, y el sector de la seguridad debe ser más creativo a la hora de encontrar formas de colaborar con las organizaciones para actualizar los sistemas obsoletos o implantar medidas de seguridad que protejan los sistemas ya existentes. Existen restricciones en cuanto a lo que la organización puede hacer con sus fondos, lo que exige otro conjunto de ideas creativas para arreglárselas con recursos limitados».
Sin duda, los compartimentos estancos dentro de la organización no ayudan en absoluto. En la mayoría de las organizaciones, observamos que los equipos de operaciones de TI y de ciberseguridad operan en unidades de negocio separadas e independientes, y dependen de distintos responsables corporativos, lo que dificulta obtener la visión global de la red necesaria para frustrar futuros ataques. Si, como sector, tenemos alguna esperanza de plantar cara dignamente a una fuerza formidable, debemos empezar por derribar las barreras corporativas que separan las operaciones de TI de la seguridad. En Tanium, predicamos con el ejemplo. Nuestros equipos de TI y seguridad están integrados en una misma organización, dirigida por nuestro director de seguridad. Sin embargo, esto no ocurre en la mayoría de las organizaciones. De hecho, las líneas jerárquicas varían considerablemente y no parece existir una norma clara al respecto. Más de cuatro de cada 10 encuestados en la 2018 .ª Encuesta Global sobre el Estado de la Seguridad de la Información de PwC «» (se abre en una nueva pestaña), en la que se encuestó a 9,500 ejecutivos de 122 países, afirmaron que su CISO depende del director general, mientras que el 22 % señaló que el CISO depende directamente del consejo de administración. Aproximadamente una cuarta parte (24 %) afirmó que su CISO depende del CIO. Aunque abogar por un cambio organizativo a gran escala pueda parecer una quimera, creemos que los equipos de operaciones de TI y de seguridad harían bien en colaborar más estrechamente, independientemente de la estructura jerárquica. Un buen punto de partida es que los miembros de los equipos de operaciones de TI y de seguridad empiecen a colaborar en la elección de tecnologías que satisfagan las necesidades de ambos grupos.
Qué puede hacer al respecto:
Mejorar la colaboración entre los equipos de TI y de ciberseguridad no es la panacea para los dilemas relacionados con la aplicación de parches a los que se enfrentan las organizaciones, pero contribuye en gran medida a agilizar el proceso. Trabajar para fomentar un espíritu de colaboración continua facilitará que usted y sus compañeros mantengan al día sus aplicaciones y dispositivos, y garanticen la seguridad de los datos y de los empleados de su empresa. Busque buenos proyectos con objetivos comunes en los que pueda colaborar. Busque formas de crear mejores mecanismos de comunicación entre las distintas áreas de la organización. Desarrolle estrategias para fomentar el intercambio de ideas entre equipos. Es posible que sus compañeros del departamento de TI, por ejemplo, deseen implicarse más en el ámbito de la ciberseguridad, ya que ello les permite alejarse un poco de sus funciones habituales. Del mismo modo, si dedica todo su tiempo a un equipo de ciberseguridad, una temporada en el departamento de operaciones de TI podría ayudarle a comprender los retos a los que se enfrentan esos compañeros.
2. El consejo de administración
Lo que convierte al 2017 en un punto de inflexión en lo que respecta al tema de la ciberseguridad y al consejo de administración es el notable cambio en el tipo de preguntas que plantean los miembros del consejo. En los últimos años, las filtraciones de gran repercusión —y su consiguiente impacto en los resultados económicos— han llevado a los consejos de administración a empezar a prestar atención a la ciberseguridad de una forma que no habían hecho hasta ahora. Tal y como escribe Julliette Rizkallah, directora de marketing de Sailpoint, , en Forbes (se abre en una nueva pestaña): «Hemos avanzado mucho desde aquellos tiempos en los que los miembros del consejo de administración solían preguntar: ¿Estamos seguros?». Ahora solicitan informes de evaluación que midan el nivel de seguridad de la empresa. Asimismo, están planteando más preguntas relacionadas con la normativa y sobre cómo los controles de seguridad pueden ayudar a demostrar el cumplimiento de la misma. «En breve, veremos cómo los consejos de administración exigen informes trimestrales sobre ciberseguridad —algunos presentados directamente por el CISO— en lugar de limitarse a las actualizaciones esporádicas del comité de seguridad de la empresa».
De hecho, la ciberseguridad es una de las cinco principales tendencias que, según las previsiones, tendrán un mayor impacto en las empresas en 2018, según una encuesta realizada a 587 consejeros de empresa por la Asociación Nacional de Consejeros de Empresa (NACD). Según la NACD, los consejos de administración se muestran menos seguros respecto a su preparación ante los riesgos cibernéticos que hace un año. Solo el 37 % de los encuestados afirma sentirse seguro o muy seguro de que su empresa cuenta con la protección adecuada frente a un ciberataque, frente al 42 % del año pasado.
A menudo, es el CISO o el CSO de una empresa quien debe informar al consejo de administración (se abre en una nueva pestaña) sobre ciberseguridad, lo que puede resultar una tarea difícil y abrumadora. Por norma general, se suele hablar de técnicas y tecnologías, mientras que los principales factores empresariales —entre ellos, cómo los compartimentos estancos de las organizaciones limitan la eficacia de las prácticas de ciberseguridad— quedan sin abordar. La consultora Gartner prevé que las organizaciones de todo el mundo gastarán en total 89.1 000 millones de dólares en ciberseguridad (se abre en una nueva pestaña) de aquí a finales de año, y se espera que el gasto aumente un 8 % hasta alcanzar los 96.3 000 millones de dólares en 2018. Además, una encuesta realizada por Ernst & Young a 1,200 directivos de alto nivel de empresas de todo el mundo revela que la gran mayoría de los encuestados considera que sus organizaciones deben aumentar su gasto en ciberseguridad en un 50 %. Sin embargo, solo el 12 % de los encuestados espera que sus presupuestos de ciberseguridad aumenten más del 25 %. Esto podría indicar una falta de voluntad por parte de las empresas para aumentar el gasto en ciberseguridad. De hecho, una encuesta realizada por la Sociedad de Gestión de la Información a 1,178 profesionales de las tecnologías de la información revela que, aunque los responsables de TI identificaron la ciberseguridad como el principal problema de TI para sus organizaciones este año, el gasto en ciberseguridad, expresado como porcentaje de los presupuestos de TI, disminuyó en 2017. El gasto en ciberseguridad representa el 5.3 % del presupuesto de TI de este año, frente al 6.2 % registrado en 2016).
Entonces, ¿qué va a hacer que las organizaciones aumenten sus inversiones en ciberseguridad? Más de tres cuartas partes de los encuestados por EY (76 %) afirman que el descubrimiento de una brecha de seguridad que haya causado daños probablemente daría lugar a una mayor asignación de recursos a la ciberseguridad. El daño parece ser el factor determinante en este caso; el 64 % de los encuestados afirmó que un ataque que no pareciera haber causado ningún perjuicio probablemente no daría lugar a un aumento del presupuesto de ciberseguridad de la organización.
Aunque las organizaciones han avanzado este año en la transformación del tipo de debates sobre ciberseguridad que se mantienen a nivel del consejo de administración, aún nos queda un largo camino por recorrer antes de que la mayoría de los consejos de administración se tomen en serio la ciberseguridad como prioridad empresarial. Solo el 44 % de los encuestados en la 2018 .ª Encuesta Global sobre el Estado de la Seguridad de la Información de PwC afirma que los consejos de administración de sus empresas participan activamente en la estrategia general de seguridad de estas. Según Gartner (se abre en una nueva pestaña), : «El departamento de seguridad tiene una mayor responsabilidad a la hora de trasladar el trabajo que realiza al contexto empresarial». Sin esa comunicación, se produce un desajuste entre el departamento de seguridad y lo que ocurre en el resto de la organización. Es en ese momento cuando se observa el auge de fenómenos como la «TI en la sombra». «Gracias a esta coordinación, la organización prosperará o fracasará en conjunto, lo que la situará en una posición más favorable que la de aquellas que operan de forma aislada».
Qué puede hacer al respecto:
Identificar los indicadores adecuados que se deben compartir con su consejo de administración es uno de los mayores retos a los que se enfrentan los responsables de ciberseguridad. Demostrar el retorno de la inversión en ciberseguridad es más fácil de decir que de hacer, sobre todo cuando los indicadores deben estar relacionados con la actividad empresarial. Por supuesto, puede decirse que el producto X nos permitió detectar y corregir la vulnerabilidad Y un 30 % más rápido que la solución anterior. Esto está muy bien, pero no significará nada para su junta directiva. La solución de reserva consiste en medir todo lo que se le ocurra medir y dejar que la junta directiva se encargue de resolverlo. Esto tampoco significa nada para su consejo de administración. Depende de usted analizar lo que comparte y asegurarse de que se enmarque en un contexto de valor empresarial real. En un artículo publicado en CSO, Rick Howard, director de seguridad de la información (CSO) de Palo Alto Networks, recomienda utilizar conceptos empresariales como la pérdida de ingresos, los costes derivados de llevar a cabo la investigación forense del ataque y reparar los daños causados, así como los gastos derivados de la defensa ante demandas de los clientes, para situar en contexto sus esfuerzos en materia de ciberseguridad. Un buen punto de partida es colaborar con las partes interesadas de los departamentos de TI y del ámbito empresarial para identificar los indicadores de negocio que resulten más pertinentes para su organización y, a continuación, analizar cómo puede relacionar sus inversiones en ciberseguridad con dichos indicadores. A la hora de evaluar la eficacia de su estrategia de ciberseguridad, no existe una respuesta válida para todos los casos, y le corresponde a usted reunir a los compañeros disponibles para que le ayuden a comprender qué es lo más relevante para su consejo de administración.
3. Protección de datos
El Reglamento General de Protección de Datos de la Unión Europea (se abre en una nueva pestaña) (RGPD), que entrará en vigor en May 2018, ya está teniendo un impacto considerable este año en la forma en que las organizaciones abordan la protección de datos. Cualquier empresa que opere en la Unión Europea —independientemente de dónde tenga su sede— deberá cumplir con el Reglamento (se abre en una nueva pestaña), que modifica la forma en que las empresas y los gobiernos pueden utilizar los datos personales. El incumplimiento de esta normativa podría acarrear multas de hasta el 4 % de la facturación global. Un proyecto de ley presentado ante el Parlamento del Reino Unido en septiembre imitaría el RGPD (se abre en una nueva pestaña).
Con tanto en juego, el RGPD desencadenó una carrera por el mercado entre los proveedores de tecnología, y los proveedores de servicios de todo tipo lanzaron al mercado todo tipo de herramientas que prometían aliviar la carga que supone el cumplimiento normativo. La cantidad de información alarmista (FUD) en torno al RGPD (se abre en una nueva pestaña) es enorme, y con razón. Esta normativa no solo modificará la forma en que las organizaciones se dirigen a los consumidores a través de Internet, sino que también cambiará la forma en que deben actuar tras una filtración de datos.
El RGPD incluye una nueva norma, , relativa a la notificación de violaciones de datos en un plazo de 72 horas (se abre en una nueva pestaña), lo que supone una presión considerable para los equipos de operaciones de TI y de ciberseguridad. Quienes no cumplan el plazo de 72 horas podrían enfrentarse a una sanción de hasta el 2 % de sus ingresos globales. El reglamento también establece requisitos de localización de datos que afectarán a cualquier empresa que utilice la nube para desarrollar su actividad en la UE.
Según The National Law Review, «La definición de “filtración de datos” en el marco del RGPD es más amplia que la que figura en la mayoría de las leyes estatales de EE. UU.». En virtud del RGPD, se puede producir una violación de la seguridad de los datos cuando se vean afectadas la confidencialidad, la disponibilidad y la integridad de los mismos. Esto puede deberse a cualquier factor que afecte, aunque sea de forma temporal, a la disponibilidad de los datos, como un ataque de ransomware o un corte de suministro eléctrico. Del mismo modo, la definición de «datos personales» según el RGPD es considerablemente más amplia que la prevista en la legislación estadounidense, e incluye cualquier información que pueda utilizarse, directa o indirectamente, para identificar a una persona, incluidas las direcciones IP y las contraseñas de red.
Desde el punto de vista de las políticas públicas, la normativa pone de relieve las diferencias fundamentales en la forma en que las autoridades de la UE y de Estados Unidos conciben la privacidad. Las empresas de los Estados miembros de la UE consideran que la privacidad es un derecho humano fundamental, y esta filosofía sirve de guía para la legislación. Estados Unidos no legisla partiendo del punto de vista de que la privacidad es un derecho humano fundamental. Según la revista National Law Review (se abre en una nueva pestaña), «En lugar de elaborar una normativa general y fundamental en materia de privacidad, Estados Unidos tiende a promulgar leyes de privacidad cuando surge la necesidad de ellas». Las normativas de privacidad en EE. UU. suelen ser específicas de cada sector (HIPAA (se abre en una nueva pestaña) para el sector sanitario, y GLBA (se abre en una nueva pestaña) y FCRA (se abre en una nueva pestaña) para la información financiera) y, en ocasiones, se rigen por normas sectoriales en lugar de por la regulación gubernamental, como ocurre con PCI-DSS (se abre en una nueva pestaña) en el sector de las tarjetas de pago.
La preparación para el RGPD supone una oportunidad para que los equipos de operaciones de TI y de seguridad empiecen a buscar formas de colaborar y trabajar conjuntamente con el fin de eliminar los compartimentos estancos dentro de la organización. Resulta difícil imaginar que una organización pueda cumplir adecuadamente con el RGPD sin un esfuerzo coordinado a nivel de toda la empresa que no solo implique a los equipos de TI y ciberseguridad, sino que también reúna a personal de los ámbitos de gobernanza, riesgo y cumplimiento normativo, asuntos jurídicos, marketing y operaciones digitales, entre otros.
Qué puede hacer al respecto:
Si bien los requisitos relativos a la notificación de violaciones de seguridad y a las medidas correctivas son los aspectos más evidentes en los que el RGPD afectará a la vida de los profesionales de la ciberseguridad y de las tecnologías de la información, no pueden pasarse por alto los estrictos requisitos de privacidad y protección de datos que establece el reglamento. Por ejemplo, un informe de seguridad de Forrester sobre el RGPD, disponible en (se abre en una nueva pestaña) , señala que, según la nueva normativa, «las empresas deben tener en cuenta la privacidad desde el inicio de cualquier proyecto nuevo y garantizar que se apliquen los controles de seguridad adecuados a lo largo de todas las fases de desarrollo». Para ello será necesaria una colaboración constante entre los equipos. Supongamos, pues, que su empresa está desarrollando una nueva aplicación. Sus expertos en seguridad y privacidad deberán colaborar con el equipo de marketing para definir los requisitos empresariales y el plan de desarrollo, con el fin de garantizar el cumplimiento de la nueva normativa. Del mismo modo, el RGPD establece nuevas normas que regulan la forma en que se pueden transferir los datos personales entre empresas. La definición de «datos personales» se amplía (se abre en una nueva pestaña) según la nueva normativa, e incluye identificadores directos (nombre, número de identificación, domicilio), identificadores indirectos (fecha de nacimiento, ubicación, cargo) e identificadores en línea (direcciones IP, cuentas en redes sociales, direcciones de correo electrónico, números de cuenta y cookies del navegador). Ha llegado el momento de que los equipos de TI y de ciberseguridad empiecen a colaborar para asegurarse de que conocen dónde se encuentran todos estos datos dentro de la organización, cómo se utilizan y cómo se protegen.
El resumen
¿Qué tienen en común la aplicación correcta de parches, una comunicación eficaz con su consejo de administración y la preparación para las nuevas normativas? Todos ellos se benefician de una colaboración más estrecha entre los equipos de TI y de seguridad. Si va a fijarse un propósito empresarial para el año 2018, que sea este: colaborar más estrechamente con sus compañeros de toda la organización para asegurarse de que está haciendo todo lo posible para que la ciberseguridad y las operaciones de TI trabajen con el objetivo común de mantener los datos de su empresa a salvo y protegidos.
¿Le interesa ver cómo funciona Tanium? Concierte una demostración e individual o participe en nuestro seminario web semanal. Hable con nuestros expertos en Tanium en nuestros próximos eventos « » ().
Acerca del autor,: Como director de seguridad, David Damato se encarga de la dirección estratégica del desarrollo de módulos para la plataforma Tanium y gestiona el programa de seguridad interno de la empresa. David aporta a Tanium una amplia experiencia en materia de seguridad, que abarca la respuesta ante incidentes y el análisis forense, las evaluaciones de vulnerabilidades, el desarrollo de programas de seguridad, las operaciones de seguridad y la arquitectura de redes y seguridad. Antes de incorporarse a Tanium, David ocupó el cargo de director general en Mandiant, una empresa de FireEye, donde su equipo dirigió las labores de respuesta ante incidentes y de recuperación tras las brechas de seguridad en más de 100 empresas de la lista Fortune 500 . En Mandiant, David también desempeñó un papel fundamental en el desarrollo de nuevas capacidades en los servicios de respuesta ante incidentes y en la creación de oficinas de consultoría tanto a nivel nacional como internacional. Antes de incorporarse a Mandiant, David dirigió equipos de consultoría en materia de seguridad en PwC, dentro de su área de práctica federal de Washington, y ocupó puestos en el ámbito de las tecnologías de la información en Raytheon, centrados en la gestión de redes internas y gubernamentales. David suele compartir sus conocimientos y opiniones en eventos del sector y con los medios de comunicación.
