El marco «: Essential Eight» de Australia puede que sea el marco de ciberseguridad predominante utilizado por las entidades gubernamentales y las empresas de Australia, pero su modelo de varios niveles, que abarca ocho amplias áreas de control, es tan complejo que las tasas de cumplimiento siguen siendo muy bajas. Incluso las organizaciones gubernamentales que cuentan con una buena financiación tienen dificultades para alcanzar el nivel exigido.
La inteligencia artificial y la automatización podrían contribuir en gran medida a revertir esta tendencia. Y los expertos en ciberseguridad subrayan que ese cambio de rumbo no puede llegar lo suficientemente pronto.
Analicemos los datos más recientes (desalentadores) del sector público australiano: el porcentaje de organismos gubernamentales que cumplen con el nivel dos del modelo de madurez de «Essential Eight» disminuyó del 25 % en 2023 al 15 % en 2024, según la Dirección Australiana de Señales (ASD), la agencia de inteligencia que supervisa la ciberseguridad y creó las ocho estrategias de mitigación de riesgos.
El modelo de madurez consta de cuatro niveles; lo que puede resultar confuso es que comienzan por el nivel cero, que, en la práctica, equivale a una calificación de suspenso. Además, están los niveles uno, dos y tres, lo que convierte al nivel dos en el segundo más alto. Se espera que todas las entidades del Gobierno australiano que no pertenezcan a la Commonwealth (ministerios, organismos y otras entidades que operan como parte de la estructura gubernamental general y no como entidades jurídicas independientes) cumplan los requisitos de nivel dos.
La disminución del cumplimiento del nivel dos podría deberse a una actualización que la ASD realizó en el modelo a finales de 2023, lo que probablemente supuso un retroceso para algunas entidades. Entre sus áreas de interés principales se incluían el equilibrio de los plazos de aplicación de parches, el aumento de la adopción de la autenticación multifactorial (MFA) resistente al phishing, y la realización de la detección y respuesta ante incidentes en la infraestructura conectada a Internet. Aun así, las tasas del 2023 no eran motivo de orgullo. Por su parte, a las empresas privadas se les anima simplemente a cumplir con las «Ocho Medidas Esenciales». Así pues, mientras que las grandes multinacionales, con amplios presupuestos y equipos de seguridad considerables, podrían tener al menos alguna posibilidad, las pequeñas y medianas empresas se han enfrentado a grandes dificultades a la hora de aplicar dichos marcos recomendados.
A pesar de esa complejidad que da de cabezazos, el «Essential Eight» sigue imponiendo su dominio. ¿Cómo?
De hecho, se trata de uno de los cinco marcos normativos que abarcan las normas australianas, estadounidenses e internacionales y que las empresas de Australia pueden utilizar para demostrar el cumplimiento de las normas de ciberseguridad, tal y como se establece en la legislación sobre Seguridad de las Infraestructuras Críticas (SOCI), anunciada en 2018 por el Ministerio del Interior de Australia y actualizada el año pasado. Un gran número de organizaciones con sede en Australia optan por el «Essential Eight», probablemente «porque el Gobierno lo entiende», afirma Paul Foley, director ejecutivo de gobernanza, riesgo y cumplimiento normativo de la empresa de servicios informáticos CyberCX, con sede en Melbourne. La terminología y la estructura de «The Essential Eight» se han convertido en la norma para los funcionarios públicos a la hora de abordar las capacidades en materia de ciberseguridad, por lo que resulta lógico que las empresas que deseen colaborar con organismos públicos sigan sus principios.
[Read also: Cybersecurity frameworks—10 popular standards explained, from HIPAA to NIST to GDPR]
Por lo tanto, para bien o para mal, las empresas suelen optar por los «Ocho Fundamentales» y, a continuación, se enfrentan a dificultades a la hora de aplicar su complejo conjunto de controles. ¿Podría ser más sencillo gracias a la tecnología? En cierto modo, sí, según afirman los expertos. Gracias a innovaciones que van desde la inteligencia artificial hasta la «infraestructura como código» (que permite la configuración programática, basada en software, de la infraestructura informática), las organizaciones de los sectores público y privado están descubriendo que pueden recurrir a sistemas automatizados para que asuman la carga de trabajo.
Por qué «Essential Eight» es el «mínimo aceptable»
La automatización podría ser la mayor ayuda para las empresas que se encuentran en el nivel cero de Essential Eight (lo que se podría denominar el nivel «solo queda mejorar»), lo que significa que están totalmente expuestas a los ataques debido a sus vulnerabilidades en materia de ciberseguridad.
«. Porque el Gobierno lo entiende.»Paul Foley, director ejecutivo de gobernanza, riesgo y cumplimiento normativo de CyberCX, explica por qué tantas organizaciones siguen sintiéndose atraídas por el «Essential Eight», a pesar de su complejidad y de los retos que plantea en materia de cumplimiento normativo
El Gobierno define cada uno de los demás niveles en función de los tipos de atacantes contra los que podría defenderse una empresa que alcanzara dicho nivel, desde los piratas informáticos sin experiencia hasta aquellos con mayor pericia técnica. Por ejemplo, uno de los requisitos del nivel dos es el uso de una autenticación multifactorial (MFA) resistente al phishing para autenticarse en los sistemas. El nivel tres está destinado a quienes son capaces de defenderse frente a adversarios más duros.
Cada nivel abarca el mismo conjunto de ocho áreas generales de control: control de aplicaciones, aplicación de parches a las aplicaciones, aplicación de parches al sistema operativo, configuración de las opciones de macros de Microsoft Office, refuerzo de la seguridad de las aplicaciones de los usuarios, restricción de privilegios administrativos, autenticación multifactorial (MFA) y copias de seguridad periódicas. Sin embargo, a medida que aumentan los niveles, los requisitos relacionados con cada una de estas áreas se vuelven más exigentes.
«Llevo diciendo que el Essential Eight ha sido el nivel mínimo aceptable para una red estándar desde que se presentó», afirma Kieran Hynes, fundador de la empresa de consultoría informática Willyama Services. Esto se debe a que son muchas las empresas que operan en sectores regulados por la Ley SOCI y que eligen el «Essential Eight» como marco al que adherirse. «Aproximadamente el 80 % del sector empresarial australiano, si se excluyen las microempresas y las empresas muy pequeñas, pertenecería a sectores de servicios que quedarían regulados por la legislación SOCI», afirma.
¿Qué podría facilitar la aplicación de los «Ocho Fundamentales»? Automatización del cumplimiento normativo continuo
¿De qué manera podría la automatización contribuir a que los «Ocho Fundamentales» resulten más fáciles de gestionar? Es posible que esto se deba a la cuestión del «cumplimiento continuo», un concepto que en su día fue una mera aspiración, pero que en los últimos años se ha vuelto más alcanzable gracias a los avances en el aprendizaje automático, la proliferación de herramientas de IA en ciberseguridad y una mayor concienciación sobre las ventajas de la supervisión de datos en tiempo real y una mayor visibilidad en las redes informáticas.
«. Llevo diciendo que el Essential Eight ha sido el nivel mínimo aceptable para una red estándar desde que salió al mercado.»Kieran Hynes, fundador de Willyama Services
Según señalan los expertos, este cambio de paradigma —que pasa del cumplimiento normativo tradicional —con sus auditorías periódicas y el personal apartado de sus tareas cotidianas en una carrera frenética por recopilar datos de cumplimiento— a un enfoque más ágil— ya está en marcha. El mes pasado, la Oficina de Normas de Defensa ( ) del Departamento de Defensa de EE. UU. publicó en el Registro Federal ( ) una nueva norma relacionada con la Certificación del Modelo de Madurez en Ciberseguridad (CMMC) del Programa de Gestión de Riesgos de la Defensa (), un marco similar al «Essential Eight» de Australia, que exige a las organizaciones de toda la cadena de suministro de defensa mantener un cumplimiento continuo. La norma entrará en vigor el próximo mes.
El cumplimiento normativo tradicional se ha basado en un enfoque puntual, en el que los auditores revisan un sistema periódicamente para comprobar en qué medida cumple con la normativa. El peligro que esto entraña es el denominado «deslizamiento del cumplimiento», es decir, cuando las modificaciones introducidas en un sistema hacen que este deje de cumplir con los requisitos y ello no se detecte hasta la siguiente auditoría.
Un enfoque de cumplimiento continuo evalúa el sistema para garantizar que se mantenga dentro de los límites de seguridad necesarios en todo momento. Cada vez que se presente un auditor, el equipo de seguridad podrá estar seguro de que todo va según lo previsto, con la documentación necesaria para demostrarlo.
Jamie Norton, miembro del consejo de administración de la organización internacional de control ISACA, destaca las ventajas: «La visibilidad es un aspecto en el que la automatización funciona sin duda muy bien», señala. «Puede utilizar tecnologías para evaluar y comprender en qué medida se ajusta a los «Ocho Elementos Esenciales» en todo su entorno». En Australia, algunas empresas ya ofrecen este tipo de herramientas.
A pesar de sus ventajas, el cumplimiento normativo continuo plantea una serie de retos específicos que pueden dificultar su adopción generalizada, sobre todo en el caso de las empresas más pequeñas, que cuentan con presupuestos de seguridad más limitados. Hay una diferencia entre comprobar en qué medida cumple con los requisitos y automatizar los controles para garantizar que siga cumpliéndolos. Tomar medidas para configurar automáticamente los elementos y mantener sus sistemas dentro del ámbito de aplicación resulta más problemático en algunos ámbitos.
La IA, la automatización y los «Ocho Esenciales»: complejidades ocultas
Uno de los ámbitos más complejos es el control de las aplicaciones. Esto implica limitar las aplicaciones que una organización puede ejecutar a aquellas que figuran en una lista de aplicaciones autorizadas. Parece fácil, pero es más complejo de lo que parece.
«. La visibilidad es un aspecto en el que la automatización funciona sin duda alguna». Puede utilizar diversas tecnologías para evaluar y comprender en qué medida se ajusta a los «Ocho Elementos Esenciales» en todo su entorno.”Jamie Norton, miembro del consejo de administración de ISACA, una organización sin ánimo de lucro dedicada a los controles internacionales
«Debe actualizarlo constantemente en función de las nuevas aplicaciones que se publiquen y de las nuevas amenazas que surjan», afirma Norton. Cada aplicación cuenta con varias versiones que también deben gestionarse de acuerdo con los distintos requisitos de cada departamento. «Eso es algo que la inteligencia artificial podría llegar a aprender a hacer, lo que nos liberaría de la carga que supone actualizar esa configuración de forma periódica».
Otras dos categorías de los «Essential Eight» que plantean retos ocultos son la aplicación de parches en las aplicaciones y en el sistema operativo. Tanto los sistemas operativos como las aplicaciones reciben constantemente numerosas actualizaciones, a menudo con distintos niveles de gravedad. Si bien una aplicación lenta de los parches conlleva un riesgo significativo, la aplicación rápida e indiscriminada de los parches puede tener consecuencias graves en los sistemas de producción. En ocasiones, las actualizaciones del sistema operativo pueden provocar fallos en los sistemas, lo que hace que las actualizaciones automáticas resulten arriesgadas.
El riesgo que conlleva la aplicación de parches aumenta a medida que crece el número de productos distintos en la infraestructura de una empresa. El número de dependencias entre dichos productos también aumenta, lo que eleva el riesgo de que se produzcan efectos adversos, como los ataques en cadena, en los que los atacantes aprovechan varias vulnerabilidades de distintos productos de forma sucesiva.
Como señala Foley, esto convierte la aplicación de parches en una estrategia de evaluación de riesgos. Evaluar ese riesgo implica tener en cuenta todos los factores mencionados anteriormente, así como la importancia que tiene una aplicación o un sistema operativo dentro de la organización. Una aplicación que gestiona todo el proceso de producción de una empresa podría no ser más que un sistema de registro para otra.
El margen de tiempo previsto para que las organizaciones apliquen parches de software se reduce con cada nivel de madurez del «Essential Eight», lo que complica aún más el problema.
Es aquí donde la inteligencia artificial podría entrar en juego.
« , sigue siendo necesario que intervenga un ser humano», afirma Foley, «pero, ¿cómo se pueden tomar esas decisiones con mayor rapidez?». «Para aplicar parches, es imprescindible comprender las complejidades del entorno». La IA podría aprovechar ese conocimiento de las complejas dependencias entre aplicaciones en la infraestructura informática de una empresa para realizar evaluaciones basadas en el riesgo sobre los sistemas críticos que presentan determinadas vulnerabilidades. A continuación, podría presentar esas evaluaciones a los analistas, quienes tomarían la decisión definitiva.
Resultados inmediatos y formas de hacer frente a los retos de la automatización
Es probable que la automatización de algunos aspectos de la ciberseguridad resulte más sencilla que la de otros. Una de las cuestiones más destacadas es la necesidad de restringir las macros de Office.
«Se trata de una configuración de política de grupo», explica Foley. «Puede configurarlo a nivel de empresa para desactivar las macros de Office». Eso supone, por supuesto, que todos los empleados puedan prescindir de ellos. En algunos ámbitos, especialmente en el financiero, los trabajadores recurren a macros desarrolladas a lo largo de los años para llevar a cabo parte de su trabajo. En casos como ese, afirma, a menudo resulta más sencillo aislar algunos departamentos en sus respectivas partes de la red para minimizar el alcance de los efectos de una macro maliciosa.
Del mismo modo, Foley afirma que la aplicación de la autenticación de múltiples factores (MFA) es algo que debería poder automatizarse de forma centralizada (siempre que el proveedor de la aplicación lo permita).
Según Foley, existen importantes obstáculos que se interponen en el camino hacia la automatización. Para algunas organizaciones, son sus propios sistemas los que les impiden avanzar. «A menudo observamos que el Gobierno federal tiene dificultades con la deuda técnica heredada», explica.
Es posible que los sistemas desarrollados a lo largo de los años no cuenten con las capacidades de automatización adecuadas integradas de serie y, desde luego, tampoco con algunas de las funcionalidades basadas en la inteligencia artificial que se describen aquí. Asimismo, los sistemas heterogéneos con componentes de distintos proveedores que no se integran bien entre sí también resultan difíciles de automatizar. Por eso, Hynes, de Willyama, señala la migración a la nube como una posible vía para hacer frente al reto de la automatización.
«En Microsoft M365, [los clientes] no tienen ninguna responsabilidad real en materia de gestión, ya que Microsoft se encarga de todo por ellos», afirma, poniendo un ejemplo. «La automatización corre a cargo de Microsoft. No es necesario que haga nada a nivel interno. «Ese es el resultado más seguro para la mayoría de las organizaciones».
Es probable que la automatización de la ciberseguridad sea una práctica en la que se hace todo lo posible. Hynes hace referencia al principio de Pareto, según el cual se puede obtener el 80 % de los beneficios con el 20 % del esfuerzo.
A continuación, afirma que intentar automatizar absolutamente todo genera más complejidad y produce rendimientos decrecientes. Sin embargo, al optar por sistemas proporcionados o gestionados por un número relativamente reducido de proveedores, y al crear una infraestructura moderna de ciberseguridad, tendrá más posibilidades de acceder a funciones diseñadas para facilitarle la vida y de acercarse al cumplimiento de los «Essential Eight».
