A medida que más empresas invierten en automatización digital para gestionar todo tipo de procesos, desde las operaciones de atención al cliente hasta la tramitación de reclamaciones por fraude, los responsables de TI se plantean algunas cuestiones delicadas: ¿Acabarán los algoritmos dejando sin trabajo a sus equipos o les asignarán funciones diferentes?
Sin embargo, hay un colectivo dentro del ámbito de las tecnologías de la información que está acogiendo la automatización con los brazos abiertos: los equipos de ciberseguridad, que cuentan con una plantilla muy insuficiente y están sobrecargados de trabajo. Desde hace más de una década, la oferta de analistas de seguridad se ha quedado muy por detrás de la demanda. En 2021, más de 3.5 millones de puestos de trabajo en ciberseguridad quedarán sin cubrir, según Cybersecurity Ventures.
Mientras tanto, el número de amenazas a las que se enfrentan estos equipos se está disparando. Los ataques de ransomware en 2020 se han multiplicado por siete con respecto a su nivel de 2019 , según un estudio de Bitdefender. Por su parte, una encuesta de Ponemon reveló que el 60 % del personal de los centros de operaciones de seguridad (SOC) afirma que está considerando dejar su trabajo o incluso cambiar de profesión.
Para los profesionales de la seguridad que estén dispuestos a aguantar un poco más, la ayuda está en camino. Un número cada vez mayor de herramientas de automatización de la seguridad (se abre en una nueva pestaña) , diseñadas para gestionar tareas repetitivas de bajo nivel, puede eliminar gran parte del trabajo tedioso que conllevan la mayoría de los puestos de ciberseguridad, así como un número cada vez mayor de funciones de mayor nivel.
«El agotamiento en los centros de operaciones de seguridad (SOC) no es solo una expresión de moda, es una realidad», afirma Neal Dennis, especialista en inteligencia sobre amenazas de Cyware, una empresa de ciberseguridad con sede en Nueva York. «La implantación de la automatización aliviaría la gran mayoría de los problemas a los que se enfrentan los analistas del SOC».
La automatización supone algo más que un alivio para los equipos de ciberseguridad. Reduce los costes derivados de la ciberdelincuencia y agiliza los plazos de resolución. Un estudio titulado « July 2020 » () , realizado por IBM y Ponemon, reveló que las herramientas de automatización son un factor clave para reducir el coste de las filtraciones de datos. La implantación de software que automatiza el proceso de identificación y mitigación de amenazas está permitiendo a las organizaciones ahorrar una media de casi 3.6 millones de dólares por incidente (frente a un coste total medio por incidente de algo más de 6 millones de dólares) y reducir los plazos de resolución en aproximadamente un 25 % (de una media de 308 días a 234).
Como era de esperar, el número de organizaciones que implementan algún tipo de automatización de la seguridad ha aumentado del 49 % al 59 % desde el 2018. La pregunta más importante, por tanto, es obvia: ¿por qué no hay más organizaciones que lo hagan?
El factor no humano
Una de las razones es que muchos equipos de respuesta ante incidentes de seguridad no cuentan con la sofisticación necesaria para aprovechar al máximo la automatización, afirma Richard Stiennon, analista jefe de investigación de IT-Harvest.
«Automatizar el restablecimiento de contraseñas es fácil», afirma Stiennon. «Sin embargo, la detección proactiva de amenazas y el bloqueo automático de conexiones de red constituyen un caso de uso más sofisticado. «Son pocas las empresas que están en condiciones de hacerlo».
En años anteriores, los SOC requerían que operadores humanos respondieran a las alertas, analizaran las amenazas y redactaran o programaran reglas en respuesta a ellas. En la actualidad, las máquinas y los algoritmos se encargan de numerosas tareas de seguridad necesarias, aunque repetitivas, como la gestión de privilegios de acceso, el análisis de registros o la respuesta a amenazas de bajo nivel.
El aumento repentino del número de personas que trabajaban a distancia durante los primeros días de la pandemia aceleró la necesidad de automatizar un aspecto fundamental de cualquier equipo de seguridad: la gestión de accesos. Según Manav Mital, director ejecutivo de la empresa de seguridad de datos en la nube Cyral, los sistemas manuales de emisión de tickets que validan y autorizan a los empleados no podían hacer frente a la demanda, lo que ralentizaba el proceso y daba lugar a errores.
«En Cyral estamos muy comprometidos con la automatización de la seguridad», afirma Mital. «Nuestro principio operativo fundamental es la “seguridad como código”».
Al sustituir el aprovisionamiento manual por scripts y archivos de configuración gestionados por máquinas, los responsables del SOC pueden minimizar los errores humanos y garantizar que solo las personas adecuadas tengan acceso a los recursos correctos, añade Mital.
«: automatizar el restablecimiento de contraseñas es muy sencillo». Sin embargo, la detección proactiva de amenazas y el bloqueo automático de conexiones de red constituyen un caso de uso más sofisticado.»Richard Stiennon, analista jefe de investigación de IT-Harvest
Las herramientas de automatización también están mejorando la respuesta ante incidentes al consolidar la información sobre amenazas procedente de múltiples fuentes, afirma Joe Partlow, director técnico de ReliaQuest, una plataforma SaaS que permite obtener visibilidad en toda la pila de seguridad. Incluso pueden ofrecer respuestas predefinidas ante amenazas de bajo nivel, como bloquear direcciones IP sospechosas o realizar restablecimientos automáticos de contraseñas.
«Nunca vamos a poder automatizarlo todo», afirma Partlow. «Sin embargo, si logramos reducir el tiempo que los analistas dedican a iniciar sesión en distintas herramientas y a responder a alertas irrelevantes o de escaso impacto, podrán dedicar más tiempo al análisis propiamente dicho de los sucesos importantes».
Es hora de ALZAR EL VUELO
Las organizaciones que desean ampliar las ventajas de la automatización están empezando a utilizar un conjunto más amplio de herramientas, denominadas plataformas de orquestación, automatización y respuesta en materia de seguridad (SOAR). Según Dennis, de Cyware, esto permite a los SOC integrar recursos que, de otro modo, quizá no funcionarían conjuntamente, como cortafuegos o herramientas de detección y respuesta en terminales (EDR) de de proveedores de la competencia.
Mediante SOAR, los analistas del centro de operaciones pueden generar un ticket a partir de una alerta de seguridad, completarlo con información procedente de otras fuentes de inteligencia, someterlo a un motor de análisis de riesgos para generar una puntuación de amenaza y, a continuación, bien marcar la amenaza como un falso positivo, bien remitirla a un analista humano para su estudio más detallado.
«Lo que a un analista de un SOC de primer nivel le llevaría 10 o 15 minutos, una plataforma de orquestación podría hacerlo en unos segundos», añade Dennis. «Esto permite a los analistas dedicarse a investigar de verdad los incidentes más graves».
El retorno de la inversión puede ser considerable. Organismos federales como el Departamento de Seguridad Nacional y las Fuerzas Armadas de los Estados Unidos han venido utilizando plataformas SOAR como multiplicador de capacidad, lo que permite a los centros de operaciones de seguridad (SOC) con falta de personal reducir drásticamente el tiempo necesario para el análisis de amenazas. According to a case study by Swimlane, a SOAR solution provider, one government agency that was manually processing more than 10,000 security alerts each day reduced the time required to analyze and remediate threats by more than 75%, while maintaining headcount and boosting staff morale.
No obstante, es evidente que existen límites en cuanto a los tipos de tareas de seguridad que cualquier organización puede automatizar. A medida que las amenazas ganen en sofisticación y alcance, los equipos de seguridad siempre recurrirán al criterio humano para tomar decisiones difíciles.
«No conviene aislar el ordenador del director general de la red solo porque haya habido un falso positivo», afirma Partlow, de ReliaQuest. «Es recomendable contrastar varias fuentes fiables antes de hacer algo así». «En cuanto empiece a desmantelar máquinas, eso supondrá el fin inmediato de su proyecto de automatización».
El día cero, pasado mañana
Para los responsables de TI que aún no logran completar la plantilla de sus equipos con personal externo o con empleados que hayan adquirido nuevas competencias, los flujos de trabajo automatizados pueden constituir una protección fundamental frente a la certeza de que los riesgos no harán más que ir en aumento.
A medida que decenas de millones de nuevos dispositivos se conecten a Internet en los próximos años, lo que ampliará considerablemente la superficie de ataque de todas las organizaciones, la necesidad de respuestas automatizadas aumentará de forma espectacular, señala Kenneth Mendelson, director general sénior de Guidepost Solutions, una consultora de seguridad internacional.
«Con la creciente presencia de dispositivos del IoT en las redes, será fundamental automatizar la tarea de identificar todos los dispositivos de la red, así como evaluar las vulnerabilidades de dichos dispositivos y corregir cualquier punto débil», afirma.
Las organizaciones de seguridad que aún no han implantado la automatización se están exponiendo a nuevos riesgos, en parte porque los piratas informáticos también utilizan herramientas de automatización. «Ya hemos visto vulnerabilidades que se propagan automáticamente, como el gusano NotPetya », afirma Stiennon, «y ataques preprogramados como Stuxnet que pueden funcionar de forma autónoma».
La situación está a punto de empeorar considerablemente. Añade que es probable que los futuros ataques de ransomware utilicen algún tipo de inteligencia artificial para analizar la red, extraer credenciales de los dispositivos finales y obtener datos. «Los ataques se llevarán a cabo en cuestión de minutos y, algún día, en cuestión de segundos», añade. «La única forma de contrarrestar eso es mediante la automatización».
