La mayoría de los programas de seguridad para terminales de no fracasan porque las organizaciones carezcan de herramientas. Fracasan porque no existe un marco de referencia que permita decidir qué aspectos deben priorizarse, quién es responsable de cada cosa y cómo demostrar que la estrategia está funcionando.
Cuando los puntos finales abarcan dispositivos gestionados, sistemas OT no gestionados y cargas de trabajo en la nube, la fragmentación de las responsabilidades convierte cada incidente en un problema de coordinación. En este artículo se explica cómo organizar las capacidades de seguridad de los terminales, diseñar un sistema de responsabilidad compartida entre equipos, medir los resultados que realmente importan y adaptar la estrategia a medida que cambian los entornos.
Por qué los programas de seguridad para dispositivos finales fracasan antes incluso de ponerse en marcha
Una estrategia de seguridad de terminales es un plan estructurado que define cómo una organización selecciona e implementa soluciones de seguridad de terminales para proteger, supervisar y gestionar todos los dispositivos que se conectan a su red.
El plan suele incluir políticas relativas al acceso a los dispositivos, la detección de amenazas, la gestión de vulnerabilidades y la respuesta a incidentes de . El objetivo es reducir los riesgos en ordenadores portátiles, servidores, dispositivos móviles, cargas de trabajo en la nube y sistemas de tecnología operativa (OT).
El patrón es constante: las inversiones en herramientas superan el ritmo de desarrollo de los marcos organizativos necesarios para que resulten eficaces.
Hay tres tipos de fallos que se repiten con frecuencia en las grandes empresas:
- Propiedad fragmentada de las herramientas: El departamento de operaciones de TI se encarga de la aplicación de parches y de la gestión de la configuración. El departamento de seguridad se encarga de la detección y la respuesta.
- Ausencia de una lógica de priorización: Las funcionalidades se implementan sin una justificación clara de cuáles deben desarrollarse en primer lugar.
- Falta un marco de medición: Se realizan inversiones, pero nadie puede demostrar que la estrategia reduzca el riesgo.
En una flota de este tamaño (dispositivos Windows gestionados, sistemas OT no gestionados y cargas de trabajo en la nube), cualquier laguna en la visibilidad o la responsabilidad se convierte en un posible punto de entrada, ya sea a través del phishing, de vulnerabilidades sin parchear o de sistemas mal configurados que los atacantes pueden aprovechar antes de que los equipos detecten la actividad. Un solo ataque de phishing que tenga éxito puede proporcionar a un adversario un punto de acceso a un terminal no supervisado. A partir de ahí, desplazarse lateralmente por todo el entorno resulta mucho más fácil.
El resto de este artículo aborda directamente cada uno de los modos de fallo, comenzando por el reto que plantea el diseño organizativo y que socava la mayoría de los programas antes de que estos logren cobrar impulso.
El problema del diseño organizativo
La seguridad de los terminales se ve mermada cuando los equipos de operaciones de TI y de seguridad trabajan de forma independiente. El departamento de TI se encarga de la aplicación de parches, la implementación de software y la configuración. El departamento de seguridad se encarga de la detección de amenazas , y de la respuesta ante incidentes.
Cada equipo utiliza herramientas distintas, consulta datos distintos y rinde cuentas ante responsables distintos. En las organizaciones que cuentan con un centro de operaciones de seguridad (SOC) específico, esta fragmentación se agrava cuando los analistas del SOC carecen de visibilidad sobre los datos de las operaciones de TI. No pueden determinar si un terminal marcado ha sido parcheado o reconfigurado.
Lo que ocurre a continuación es previsible: retrasos en el traspaso de responsabilidades durante los incidentes. Discusiones sobre si un sistema cuenta con los parches correspondientes. Prioridades contrapuestas que ralentizan la remediación.
Para poner fin a la fragmentación se requieren cambios estructurales, no basta con la buena voluntad. Las ventajas de que un « » unifique las TI y la seguridad están ampliamente documentadas. La responsabilidad conjunta respecto a los indicadores comunes implica que ambos equipos se hacen responsables de los índices de cobertura de parches, las puntuaciones de cumplimiento de los terminales y el tiempo medio de corrección.
Cuando un indicador no cumple los objetivos, ambos equipos lo investigan conjuntamente.
Los paneles de control compartidos, basados en una visión centralizada de los datos de los terminales, eliminan los informes contradictorios. Si el departamento de TI ve un estado de los parches y el departamento de seguridad ve otro, la confianza se ve mermada. Una única fuente de información elimina esa fricción.
También es importante contar con vías de escalación bien definidas para los conflictos prioritarios. Cuando el departamento de seguridad desea que se implemente de inmediato un parche de emergencia y el departamento de TI necesita un intervalo de tiempo para realizar cambios a fin de evitar interrupciones en la producción, un proceso de escalación acordado previamente evita que este punto muerto ralentice la respuesta.
La cuestión relativa al diseño organizativo no es «¿cómo conseguimos que los departamentos de TI y de seguridad colaboren mejor?». La pregunta es: «¿Qué modelo de propiedad, qué arquitectura de datos y qué proceso de escalación hacen que la colaboración sea la norma?». Una vez establecida dicha estructura, la secuenciación se convierte en la siguiente decisión estratégica.
Un marco de secuenciación de capacidades
No todas las funciones de seguridad de los dispositivos finales aportan el mismo valor en todas las fases de madurez del programa. Si se construyen en el orden incorrecto, se crean lagunas que socavan las inversiones posteriores. El esquema de secuenciación que figura a continuación se basa en la lógica de dependencia, según la cual cada capacidad depende de la anterior.
Marco de secuenciación de capacidades
No se puede aplicar un parche, supervisar ni proteger lo que no se ve. La detección de activos identifica todos los terminales que se conectan a su entorno, incluidos los dispositivos gestionados, los sistemas no gestionados y la «TI en la sombra».
A escala empresarial, la detección de activos implica una detección continua, no análisis periódicos. Incluye dispositivos OT y dispositivos IoT (desde sensores en la planta de producción hasta sistemas de edificios inteligentes), así como teléfonos inteligentes, contenedores y cargas de trabajo efímeras en la nube que las herramientas tradicionales suelen pasar por alto.
Esto es especialmente cierto en entornos de «traiga su propio dispositivo» (BYOD), en los que es posible que los dispositivos personales nunca aparezcan en un sistema tradicional de gestión de activos.
- Dispositivos gestionados
- Sistemas OT / IoT
- Cargas de trabajo en la nube
- BYOD
- Contenedores
Cada paso se basa en el anterior. El despliegue de capacidades fuera de orden genera lagunas que socavan todo lo que viene a continuación. El orden en que se realizan las inversiones determina si estas se refuerzan entre sí o si se contrarrestan.
Una vez ordenadas las capacidades, el siguiente reto consiste en garantizar que los equipos de TI y de seguridad trabajen a partir de los mismos datos.
Establecimiento de la responsabilidad compartida y de una única fuente de información fiable
El modelo organizativo descrito anteriormente solo funciona cuando ambos equipos trabajan con los mismos datos. «¿Está parcheado?» debería ser un hecho, no un tema de debate. Una «única fuente de verdad» significa una única capa de datos de puntos finales a la que ambos equipos realizan consultas.
Lo ideal es que una consola de gestión centralizada ofrezca a los equipos de operaciones de TI y de seguridad una visión unificada del estado de los terminales, el cumplimiento de las políticas y las alertas activas, sin necesidad de cambiar de consola. La visibilidad del estado actual de los terminales elimina el desfase entre «hemos implementado el parche» y «hemos comprobado que se ha instalado».
En la práctica, la propiedad compartida consiste en que los departamentos de TI y de seguridad tengan acceso a los mismos datos sobre el estado actual de cada terminal. La aplicación automática de parches, el cumplimiento de la configuración y el enrutamiento de alertas se rigen por las políticas acordadas por ambos equipos. Las acciones de corrección de vulnerabilidades son auditables, por lo que ambos equipos pueden verificar qué ha ocurrido y cuándo.
Los datos compartidos hacen posible la responsabilidad compartida. Sin embargo, la rendición de cuentas requiere una evaluación.
Cómo evaluar si su estrategia está funcionando realmente
La implementación de capacidades no equivale a la reducción del riesgo. Las filtraciones de datos, las sanciones normativas y las interrupciones operativas son las consecuencias que los consejos de administración y los directivos tratan de evitar. La medición vincula su labor técnica con esas cuestiones de carácter empresarial.
El porcentaje de implementación de agentes es la métrica fundamental. Si esta cifra no supera el 95 %, el resto de indicadores se basan en datos incompletos. No es posible medir la cobertura de los parches en los dispositivos finales que no se pueden visualizar.
La traducción de los indicadores técnicos a un lenguaje centrado en la reducción de riesgos resulta de gran ayuda a la hora de elaborar informes para la dirección. En un informe del consejo de administración, la «tasa de cobertura de parches» pasa a denominarse «porcentaje de vulnerabilidades conocidas solucionadas dentro del plazo establecido en el SLA». «El tiempo medio de reparación (MTTR)" pasa a denominarse «tiempo medio para contener las amenazas confirmadas».
Las métricas demuestran que la estrategia funciona. Asimismo, facilitan la elaboración de informes de cumplimiento normativo, que es precisamente donde la seguridad de los terminales se vincula con los requisitos normativos.
Relación entre el estado de seguridad de los terminales y el cumplimiento normativo
Los marcos de cumplimiento no preguntan: «¿Dispone de herramientas de seguridad para terminales?». Preguntan: «¿Puede demostrar que se han establecido controles específicos y que funcionan de manera eficaz?».
La correspondencia entre las capacidades de seguridad de los terminales y los controles del marco normativo simplifica la preparación de las auditorías y la presentación de informes a la dirección. «Marcos de ciberseguridad: una guía simplificada sobre el cumplimiento normativo» explica cómo se corresponden los controles con las normas más habituales. La gestión de parches se corresponde directamente con el control CIS 7 (Gestión continua de vulnerabilidades) de los controles CIS v8, y un programa de gestión de parches consolidado, con índices de cobertura cuantificables, cumple este control.
Los auditores esperan recibir registros de la implementación de parches, porcentajes de cobertura por nivel de gravedad y excepciones documentadas.
La monitorización continua de puntos finales se ajusta a la función «Detectar» (DE.CM) del Marco de Ciberseguridad del NIST (CSF). La telemetría de terminales en tiempo real forma parte de la categoría «Supervisión continua».
«Continuo» significa una supervisión en tiempo real del estado de los terminales, y no análisis periódicos que dejan intervalos entre las ventanas de recopilación. Los auditores distinguen entre herramientas que proporcionan instantáneas de un momento concreto y plataformas que ofrecen datos sobre la situación actual.
A los consejos de administración les preocupa la reducción de riesgos, no el inventario de herramientas. Exprese las métricas en términos empresariales: «Este trimestre hemos solucionado el 94 % de las vulnerabilidades críticas dentro del plazo de 72 horas establecido en nuestro acuerdo de nivel de servicio (SLA)». O bien: «El tiempo medio necesario para contener las amenazas confirmadas ha pasado de 18 horas a 6 horas».
La brecha entre las «herramientas implementadas» y la «eficacia de la estrategia» es donde se producen los fallos de cumplimiento y donde los ciberataques encuentran su punto de apoyo. La medición colma esa brecha al proporcionar a los equipos las pruebas que necesitan para demostrar que los controles funcionan, y no solo que están implantados. Los requisitos de cumplimiento normativo evolucionan, al igual que los entornos. El último paso consiste en elaborar una estrategia que se adapte.
Cómo adaptar la estrategia a medida que cambia su entorno
Una estrategia de seguridad de los dispositivos finales no es un proyecto puntual. Los entornos se adaptan a la escala. Las amenazas cibernéticas evolucionan en cuanto a sofisticación y rapidez. Los requisitos normativos cambian. La estrategia debe adaptarse a los nuevos tiempos.
Es recomendable realizar revisiones de la estrategia, como mínimo, una vez al año. Llévelas a cabo también tras incidentes graves, cambios medioambientales significativos o nuevos requisitos normativos. Las prácticas de gestión de la seguridad de los terminales pueden servir de guía para determinar qué aspectos deben revisarse en cada fase.
Las lecciones extraídas de la respuesta ante incidentes pueden permitir ajustar las prioridades en materia de capacidades más allá de las actualizaciones de los manuales de procedimientos. Si un incidente revelara que en el inventario de activos se ha omitido una clase de dispositivos, se trataría de una deficiencia en la secuencia, no simplemente de una deficiencia en el proceso.
A medida que el programa va madurando, la superposición de herramientas genera complejidad sin aportar un valor proporcional. Evalúe la posibilidad de realizar una consolidación cuando varias herramientas proporcionen datos de telemetría similares sin que exista integración entre ellas. Asimismo, se debe reforzar la disciplina cuando los equipos dedican más tiempo a cambiar de consola que a investigar.
Las métricas de la fase inicial se centran en la cobertura (porcentaje de implementación de agentes, índice de cobertura de parches). Los programas consolidados realizan un seguimiento de la eficiencia y la rapidez, como el tiempo medio de detección ( , MTTD), el tiempo medio de resolución (, MTTR) y las tendencias en la ventana de exposición a vulnerabilidades. Modifique el enfoque de la medición a medida que las capacidades vayan madurando.
La evolución de la estrategia es un proceso de gobernanza con responsables y una periodicidad bien definidos, no una mera aspiración. Programar revisiones. Asigne responsabilidades. Documente las decisiones.
Cómo Tanium respalda una estrategia de seguridad de terminales basada en información de inteligencia en tiempo real
Una estrategia como esta depende de que varios factores salgan bien al mismo tiempo. Los equipos necesitan disponer de una visión precisa y actualizada de lo que se está ejecutando a gran escala en su entorno. Los departamentos de operaciones y seguridad informáticas deben trabajar a partir de los mismos datos, en lugar de tener que conciliar los resultados de herramientas distintas.
Los indicadores que demuestran que la estrategia funciona requieren una fuente de datos que refleje el estado real de los terminales. Entre ellos se incluyen la tasa de cobertura de los parches, el MTTD y el tiempo medio de respuesta. No deberían basarse en los datos del último análisis programado.
La plataforma de TI autónoma Tanium de da respuesta a estos requisitos a través de una única plataforma unificada para la gestión de puntos finales , la gestión de la exposición y las operaciones de seguridad. Ofrece la detección y el inventario de activos en tiempo real, lo que proporciona a los equipos una visión actualizada de lo que existe, lo que está en funcionamiento y en qué estado se encuentra. Dado que las operaciones de TI y la seguridad comparten la misma plataforma y los mismos datos, los equipos evitan los retrasos en los traspasos de tareas y la información contradictoria.
Hay tres funciones clave de Tanium que contribuyen directamente a ello:
- La visibilidad en tiempo real como punto de partida: La arquitectura de cadena lineal de Tanium consulta los terminales en cuestión de segundos (sin muestreos ni análisis obsoletos), por lo que los equipos pueden evaluar el estado de los activos utilizando datos en tiempo real.
- Una plataforma compartida para los equipos de operaciones de TI y de seguridad: . Una única plataforma reduce la fragmentación y agiliza la respuesta, ya que permite a los equipos trabajar con los mismos datos.
- Datos continuos para una medición significativa: La información en tiempo real sobre los puntos finales permite obtener métricas precisas sin retrasos en los análisis.
Y esto se traduce directamente en un impacto operativo. de Best Buy, por ejemplo, gestiona alrededor de 120,000 terminales utilizando Tanium junto con Microsoft, y ha registrado una reducción de casi el 20 % en el tiempo medio de resolución de los incidentes activos.
A medida que los entornos de terminales se vuelven cada vez más distribuidos, la base de cualquier estrategia eficaz sigue siendo la misma: datos actualizados y un contexto compartido. Esos cimientos son los que convierten la seguridad continua de los terminales de una mera aspiración en una realidad operativa. Lo que lo hace posible es actuar en función de esos datos sin tener que cambiar de consola ni esperar a que finalicen los análisis.
Preguntas frecuentes sobre cómo desarrollar una estrategia eficaz de seguridad de los dispositivos finales
Las preguntas que figuran a continuación abordan los puntos clave de decisión que suelen surgir cuando las organizaciones pasan de la fase de planificación a la de ejecución. Se centran en la secuenciación, la selección de herramientas y la aclaración de la terminología que, a menudo, se confunde en las campañas de marketing de los proveedores.
¿Cuáles son los tres pasos principales de la seguridad de los dispositivos finales?
Los tres pasos fundamentales son: la detección y el inventario de activos, la gestión de vulnerabilidades y parches, y la aplicación de configuraciones.
¿Cuál es una técnica de seguridad para dispositivos finales que se utiliza habitualmente?
La detección y respuesta en terminales (EDR) supervisa la actividad de los terminales en tiempo real para identificar comportamientos sospechosos y facilitar la investigación. Funciona mejor cuando se basa en una visibilidad completa de los activos y en la reducción de la superficie de ataque mediante la aplicación de parches.
¿Cuál es la diferencia entre EDR y XDR?
El EDR supervisa la actividad de los terminales para detectar amenazas y responder a ellas. Las plataformas de detección y respuesta ampliadas (XDR) integran datos de telemetría procedentes de terminales, redes y cargas de trabajo en la nube para lograr una correlación más amplia de las amenazas.
¿Cómo se elige una herramienta de EDR?
La elección de la herramienta depende de si su organización ha establecido previamente un inventario completo de activos y una cobertura completa de parches. El EDR funciona mejor cuando se basa en una visibilidad precisa y en una superficie de ataque reducida, y no como sustituto de las medidas básicas de seguridad.
Para desarrollar una estrategia de seguridad de terminales que funcione a escala empresarial se necesita algo más que implementar tecnología. Para ello, es necesario contar con capacidad de planificación, establecer una responsabilidad compartida entre los departamentos de TI y de seguridad, medir los resultados y adaptar la estrategia a medida que cambian las circunstancias.
Las organizaciones que logran hacerlo correctamente operan con mayor confianza. Pueden demostrar que su estrategia está reduciendo el riesgo, y no solo consumiendo presupuesto.
Concierte una demostración para ver cómo la visibilidad y el control en tiempo real de los terminales que ofrece Tanium respalda la estrategia de seguridad de los terminales a gran escala.
