A los profesionales de la ciberseguridad se les suele encomendar la tarea, cada vez más compleja, de mitigar las amenazas a la seguridad y hacer frente a posibles intrusos cibernéticos.
Para quienes nos dedicamos al ámbito de la ciberseguridad, el año pasado nos planteó numerosos retos. Nos enfrentamos a un aumento de las ciberamenazas, nos las arreglamos para desenvolvernos en un sistema de normativas y reglas cada vez más complejo y trabajamos con ahínco para minimizar los riesgos derivados del aumento del teletrabajo.
Me encargo de supervisar la ingeniería de ciberseguridad en Cummins, una empresa líder mundial en el sector de la energía especializada en motores y generadores diésel y de combustibles alternativos, así como en componentes y tecnología relacionados. Con unos 58,000 empleados, Cummins es una empresa compuesta por segmentos de negocio complementarios que se dedican al diseño, la fabricación, la distribución y el servicio técnico de una amplia gama de soluciones.
Al igual que otros profesionales del ámbito de la ciberseguridad, nos enfrentamos a retos en varios frentes: mantener la visibilidad de la empresa, hacer frente a los riesgos emergentes y utilizar la ciberseguridad para facilitar nuestras operaciones y nuestra actividad empresarial, todo ello mientras formamos una plantilla con conocimientos de ciberseguridad que ayude a nuestros compañeros a alcanzar sus objetivos personales y profesionales.
Para hacer frente a los retos actuales y aprender de ellos, intentamos ser creativos en nuestra forma de pensar y en nuestros enfoques.
Mantener la visibilidad en tiempo real
La ciberseguridad se considera cada vez más un indicador de la calidad con la que se fabrican y suministran los productos en distintos sectores. Para crear un producto seguro y de alta calidad —ya sea que se implemente internamente como solución informática o que lo utilicen sus clientes—, la ciberseguridad debe formar parte del debate desde el principio.
[Lea también: La crisis del ransomware en EE. UU. tiene solución]
Los recientes ataques del ransomware « » han puesto de manifiesto lo perjudiciales que pueden resultar los ciberataques para las cadenas de suministro y los procesos empresariales. Destacan la importancia de la visibilidad y la necesidad de medir y controlar el riesgo en un entorno informático mediante la gobernanza y la aplicación de capacidades técnicas proactivas para mitigar las amenazas.
En todos los sectores, observo una sorprendente falta de visibilidad y de aplicación técnica de las mejores prácticas. Cada vez es más habitual que los responsables de TI descubran dispositivos finales en su organización de los que no tenían conocimiento alguno anteriormente. Esto pone de relieve la importancia de poder detectar y supervisar todos los terminales.
La visibilidad es fundamental en los esfuerzos por proteger y evitar que las amenazas aprovechen los terminales que no figuran en el inventario de y que, por consiguiente, no se someten a un mantenimiento ni a una gestión periódicas.
El reto híbrido
Muchas empresas tienen un modelo híbrido, ya que trabajan con múltiples sistemas operativos y aplicaciones que, tradicionalmente, se alojaban en sus propias instalaciones y que ahora se están trasladando a entornos en la nube. Aunque algunos sectores siempre contarán con algunas funciones en sus propias instalaciones, las empresas seguirán intensificando sus esfuerzos por alojar aplicaciones e infraestructura en la nube.
Es importante poder tender un puente entre esos dos mundos (el entorno local y la nube). Lo mismo ocurre con la capacidad de ampliar y adaptar la tecnología y las soluciones que protegen a dichas empresas en diferentes zonas geográficas y plataformas técnicas.
[Lea también: Cómo la nube puede resultar más eficiente y segura para los sectores regulados]
El uso de tecnologías compatibles con múltiples sistemas operativos y plataformas permite a su organización identificar, de forma más precisa y eficiente, los dispositivos finales que se están migrando a entornos en la nube. Las herramientas adecuadas pueden facilitar la conversión entre fuentes de datos que presentan discrepancias y permitir un análisis detallado de los criterios de valoración desde un marco de referencia común.
Enriquecimiento de datos
Asimismo, puede contribuir a enriquecer otros datos que se hayan recopilado. Esta capacidad hace que los equipos sean más eficientes y les permite tomar decisiones con mayor seguridad y con mejores resultados. Asimismo, aborda los retos que plantean la proliferación de herramientas y el aumento de los costes de ciberseguridad.
Este es un problema habitual para muchas organizaciones, ya que las empresas dedican recursos económicos y de personal a consolidar los informes procedentes de múltiples herramientas de ciberseguridad y operaciones. Esta centralización de la presentación de informes puede impedir que se dediquen recursos y competencias valiosos a abordar de forma más proactiva las amenazas o los riesgos.
[Lea también: La proliferación de herramientas pone en peligro la seguridad tras la pandemia]
Las consideraciones relativas a riesgos como las vulnerabilidades de software —en un contexto en el que algunas tareas repetitivas se están automatizando cada vez más y se realizan cada vez menos de forma manual— son aspectos clave a tener en cuenta a medida que los responsables de ciberseguridad tratan de mejorar la madurez y la eficiencia de sus operaciones de ciberseguridad. Esas mejoras permiten a los equipos de ciberseguridad disponer de más tiempo para centrarse en otras tareas más complejas.
Cumplimiento de la normativa
Las empresas que suministran productos a clientes del sector público deben cumplir ahora estrictamente la normativa internacional relativa a la venta y la distribución. En 2020, el Departamento de Defensa de los Estados Unidos (DoD) publicó su Certificación del Modelo de Madurez en Ciberseguridad « » (CMMC) . Su objetivo es contribuir a la protección de la información controlada no clasificada (CUI) que utilizan los contratistas del Gobierno.
Los contratistas del Gobierno deben implementar, supervisar y certificar la seguridad de sus sistemas informáticos que contengan la información CUI que almacenan o transmiten. El CMMC exige ahora que los proveedores se sometan a evaluaciones y certificaciones realizadas por terceros para poder formar parte de la cadena de suministro del Departamento de Defensa.
Preveo que, en el futuro, ese requisito se amplíe al conjunto de la Administración federal. Fuera de los Estados Unidos, otros gobiernos y socios comerciales han comenzado a incluir requisitos similares en sus acuerdos y normativas.
Dos puntos de vista
Como antiguo veterano de la Armada y miembro del sector aeroespacial y de defensa, analizo la iniciativa CMMC de EE. UU. desde dos perspectivas.
Por un lado, el Gobierno, que depende en gran medida de las empresas privadas, tiene una tarea que cumplir. No hace falta que los proveedores compliquen aún más esa tarea. Por otra parte, a las organizaciones comerciales, especialmente a aquellas que operan fuera de los Estados Unidos, les preocupa que el CMMC pueda mermar su capacidad para competir e innovar.
Esto hace que sea aún más necesario gestionar múltiples enfoques y marcos de seguridad y cumplimiento normativo. Esto supone una carga adicional para los profesionales de la ciberseguridad, así como para las empresas y los equipos de asistencia.
[Lea también: ¿Qué implica el CMMC para su empresa?]
Todos los contratistas del Gobierno deben cumplir ahora esos requisitos nuevos y emergentes. Las pequeñas y medianas empresas podrían ser las más afectadas. Esto podría limitar su capacidad para actuar con agilidad a la hora de desarrollar nuevos productos, así como la base de clientes que pueda consumir dicho producto.
Ese es un factor de gran importancia para la estabilidad y el crecimiento de una empresa.
Protección de los datos del IoT (Internet de las cosas) y de telemetría
Como parte del sector de la automoción, Cummins ha dado el paso de ofrecer a nuestros clientes servicios de telemática, es decir, la comunicación inalámbrica que conecta los productos con los servicios de diagnóstico. Tradicionalmente, los vehículos, aviones, trenes y otros dispositivos conectados no se consideraban algo que mucha gente viera como dispositivos conectados a Internet.
Sin embargo, en la actualidad es posible recopilar datos tanto de vehículos en movimiento como de vehículos estacionarios —así como de otros equipos— y transmitirlos, lo que proporciona información esencial a los clientes y a los fabricantes sobre el rendimiento de un componente o producto.
Cuantos más datos se combinen —desde la información sobre el rendimiento del producto hasta los datos procedentes de los dispositivos del Internet de las cosas (IoT) utilizados en su fabricación—, mayor será el conocimiento que se obtenga sobre el producto. Esa perspectiva cobra una importancia fundamental para un desarrollador y un fabricante de un producto. Además, el cliente se beneficia de un producto de mayor calidad que puede suponer una reducción de los costes operativos.
Por supuesto, el almacenamiento y la transmisión de datos confidenciales tienen importantes implicaciones en materia de privacidad y seguridad, tanto para los propietarios de los vehículos como para las empresas que desarrollan el producto.
Hoy en día, las empresas se enfrentan a cuestiones como las siguientes:
- ¿Cómo podemos proteger y gestionar los datos del IoT y evitar que sean interceptados?
- ¿Cómo debe un dispositivo autenticarse y comunicarse con el entorno informático?
- ¿Cómo se mide el funcionamiento de un dispositivo?
- ¿Qué ocurre si alguien intenta realizar ingeniería inversa en un dispositivo y utilizarlo para algún fin perjudicial?
- ¿Cuál es la mejor forma de detectar y frustrar un ataque informático?
La gestión de los datos del IoT y de telemetría en nuestro sector y en otros supone un reto en constante evolución, dado que el entorno cambia y se desarrolla a un ritmo vertiginoso. La eliminación de los silos de datos que puedan haberse creado por motivos tradicionales es fundamental para que una empresa pueda aprovechar de forma segura esas diferentes fuentes de datos que revelan información empresarial crucial. Romper esos compartimentos estancos puede parecer contrario a lo que dicta el sentido común para muchos profesionales de la ciberseguridad, pero es posible hacerlo con un nivel cada vez mayor de competencia y rapidez si se cuentan con los controles, los procesos y la gobernanza adecuados.
Garantizar la seguridad del teletrabajo
La capacidad de garantizar la seguridad de los trabajadores remotos sigue siendo una de las principales preocupaciones de todas las organizaciones. Cuando se desató la pandemia de COVID-19, la mayoría de las empresas desconocían si sus empleados utilizaban redes personales seguras y seguían las directrices de seguridad en el tratamiento de datos desde sus hogares. Además, a menudo no se tiene conocimiento de cómo los miembros del núcleo familiar de un empleado podrían estar utilizando los dispositivos de la empresa, ni de si los empleados y contratistas están intentando utilizar un dispositivo personal para acceder a las redes y los datos corporativos. Todas esas eran preocupaciones normales, anteriores a la COVID-19, pero su magnitud aumentó al pasar una parte considerable de la plantilla de una empresa a trabajar desde casa.
A los profesionales de la ciberseguridad les preocupaban varias cuestiones: ¿Hay algún terminal disponible? ¿Lo están utilizando los empleados? Y si no lo están utilizando, ¿podemos recuperarlo o eliminarlo del sistema?
Este tipo de preguntas han sido habituales en todos los sectores durante la pandemia de la COVID-19, sobre todo cuando las empresas se dieron cuenta de que podían contratar talento de cualquier lugar, ya que las personas trabajaban desde cualquier lugar. Todas estas incógnitas suponen un mayor riesgo para las redes y los datos.
Para hacer frente a estos riesgos, muchas empresas utilizan actualmente la segmentación de « » para dividir sus redes en compartimentos con el fin de proteger mejor áreas críticas como los datos financieros o jurídicos. Los profesionales de la ciberseguridad deben plantearse cómo coordinar los distintos equipos y procesos para abordar la segmentación y, a continuación, implementar medidas de protección y detección en los terminales.
[Lea también: Cómo bloquear el movimiento lateral en un ciberataque]
Incorporar medidas de protección en el dispositivo final, siempre que sea posible, con el fin de disponer de un método para evaluar el riesgo que presenta dicho dispositivo y el usuario del mismo, constituye hoy en día un paso fundamental. Esto está impulsando una parte considerable del debate en torno a el modelo «zero trust» en el ámbito de la ciberseguridad. Asimismo, exige que una organización responda a la pregunta de qué significa el modelo «zero trust» en las distintas organizaciones que lo están adoptando como marco de trabajo.
Las tecnologías basadas en la nube pueden ayudar a las empresas a funcionar sin contratiempos durante la transición al teletrabajo. En plena pandemia, las empresas implantaron herramientas y técnicas como escritorios y aplicaciones virtuales, formación en seguridad para los empleados y soluciones de gestión de s y de puntos finales para gestionar los riesgos de seguridad. A medida que el teletrabajo se mantenga, las empresas seguirán dando prioridad a la seguridad del acceso remoto.
Creación de una plantilla con conocimientos informáticos avanzados
Las medidas adoptadas para protegerse frente a las amenazas internas revisten la misma importancia que las herramientas y tecnologías destinadas a defenderse de las amenazas externas. Un programa educativo integral en todos los niveles debería ser una prioridad para todas las empresas. Dada la constante aparición de noticias sobre filtraciones de datos en las empresas, es importante que su equipo de ciberseguridad responda a las preguntas o sintetice la información. De lo contrario, es fácil que los demás trabajadores se vean paralizados por el miedo y la incertidumbre sobre qué hacer a continuación.
[Lea también: Cómo convertir a sus trabajadores a distancia en defensores de la seguridad]
Los empleados son seres humanos. Los piratas informáticos les están atacando en sus propios hogares. Suelo iniciar las conversaciones con mis compañeros con preguntas como: «¿Ha pensado o ha hablado sobre la seguridad en su hogar?». ¿Cuáles son sus hábitos en casa? Un enfoque reflexivo tiene en cuenta la necesidad de establecer un vínculo con los empleados tanto en lo que respecta a su vida profesional como a la personal, ya que un incidente cibernético que afecte a su vida personal también puede repercutir en su capacidad para desempeñar su trabajo. Además, es lo que debe hacer un responsable de ciberseguridad que se preocupe por sus empleados.
Si no sigue las buenas prácticas, estará exponiendo su vida a riesgos, al igual que lo haría si condujera un coche. El ordenador es un dispositivo que usted maneja. No es necesario que lo sepa todo, del mismo modo que no hace falta ser mecánico para conducir un coche. No obstante, debe tener cuidado con la forma en que gira el volante, con la intensidad con la que pisa el acelerador y con las señales que sigue.
Las amenazas están en constante evolución. Nos esforzamos por garantizar que nuestro equipo mejore constantemente nuestras capacidades de detección y respuesta. Puede dedicar mucho tiempo y dinero a intentar protegerse, pero algunas de las estrategias más eficaces consisten en adoptar medidas conscientes para comprender cómo y a qué está accediendo, así como lo que pretende lograr.
Cada vez son más los ciberdelincuentes y las amenazas que buscan activamente aprovecharse de los sistemas que utilizan las empresas y sus empleados. En definitiva, debe contar con un plan sobre cómo reaccionar, recuperarse y restablecer la situación con rapidez para limitar las repercusiones.
