Dado que los Estados-nación, los hacktivistas y otros actores malintencionados aumentan constantemente el ritmo y el nivel de sofisticación de los ciberataques, muchas organizaciones llegan a un punto en el que se dan cuenta de que ya no pueden supervisar, detectar y responder adecuadamente a las amenazas. Con el tiempo, crean un sistema centralizado que permite a los equipos de seguridad compartir información y colaborar en materia de defensa y respuesta, lo que suele denominarse «centro de operaciones de seguridad» (SOC).
La centralización de la seguridad acelera la capacidad de una organización para detectar y responder a los ciberataques, pero la creación de un SOC no se lleva a cabo sin una cierta reflexión y esfuerzo.
Con el fin de ampliar las operaciones de seguridad y crear un SOC ágil de forma rápida y eficaz, Endpoint ha hablado con tres expertos.
«Los SOC no son soluciones llave en mano», afirma Wim Remes, director ejecutivo y fundador de la consultora Wire Security. «No se trata de adquirir un montón de tecnología, sentar a un montón de personas frente a los teclados y, a continuación, esperar que el SOC rinda», afirma. «Se trata de desarrollar primero las capacidades esenciales y, a continuación, ir mejorando y ampliando progresivamente las capacidades del SOC con el paso del tiempo».
Fíjese unos objetivos
«Los SOC no siempre tienen los mismos objetivos iniciales», afirma Gal Shpantzer, cofundador de Security Outliers, una consultora especializada en CISO virtuales. Para conocer cuáles son los objetivos de una organización, recomienda formular algunas preguntas:
- ¿Quiénes son los primeros clientes del SOC?
- ¿El objetivo es proporcionar paneles de control a los ejecutivos, garantizar el cumplimiento normativo o facilitar la respuesta ante incidentes de ?
- ¿Cuáles son las expectativas en materia de supervisión, alertas, análisis y respuesta?
Quizá sea mejor dejar que sea la sabiduría colectiva de toda la organización la que responda a este tipo de preguntas. Por eso, las entrevistas con diversas partes interesadas pueden ayudar a identificar los objetivos.
«. No se trata de… poner a un montón de gente delante de los teclados y esperar que el SOC funcione.»Wim Remes, director ejecutivo y fundador de Wire Security
«Los arquitectos e ingenieros de seguridad deberían mantener reuniones con las distintas unidades de negocio para determinar cómo desean interactuar y comunicarse con los equipos de operaciones de seguridad», afirma Michael Lyborg, vicepresidente sénior de seguridad global y TI empresarial de Swimlane, empresa que asesora a otras empresas sobre la automatización de las operaciones de seguridad.
«A continuación, trabaje de forma inversa, teniendo en cuenta los resultados deseados, los objetivos de experiencia del usuario, las medidas de respuesta y los árboles de notificaciones».
Realice un análisis de deficiencias
«Es posible que su organización ya cuente con algunas de las capacidades internas necesarias para alcanzar sus objetivos», afirma Remes. El siguiente paso consiste en identificar las áreas en las que su organización destaca y aquellas que necesitan mejorar.
Quizás la organización ya sea eficaz en la gestión de vulnerabilidades y cuente con un panel de control de seguridad eficiente que ofrezca información sobre los incidentes en curso. Por otra parte, es posible que carezca de capacidades de detección de amenaz y de respuesta ante incidentes. Una vez que haya identificado las carencias, podrá elaborar un plan para subsanarlas, ya sea de forma interna o externa.
Incorpore al personal adecuado
Entre las funciones esenciales de un SOC se incluyen la supervisión y las pruebas de seguridad, la priorización de alertas, la respuesta ante incidentes, la administración de la seguridad, la corrección de incidencias, la detección proactiva de amenazas, la investigación y otras muchas. Estas competencias son algo más que un simple conjunto de herramientas: implican la mente que hay detrás del teclado.
Es posible que las personas que necesita ya se encuentren dentro de su organización, pero que trabajen en ámbitos relacionados con la administración de sistemas o la seguridad.
La contratación interna suele ser una buena opción. «Comprender el entorno es fundamental, ya que no se puede reaccionar ante un entorno que no se conoce», afirma Remes. «No será tan eficiente como aquellas personas que, aunque tengan menos conocimientos en materia de seguridad, conocen realmente la organización».
En función de las características del entorno tecnológico de la empresa, el SOC deberá contar con un equipo formado por miembros que posean una diversidad de competencias. Podría ser necesario contar con conocimientos especializados en todo tipo de ámbitos, desde los sistemas operativos modernos hasta los mainframes y los sistemas heredados, pasando por la arquitectura en la nube.
Incorpore fuentes de datos esenciales
Un SOC es, básicamente, una forma de analizar y dar respuesta al flujo de datos procedente de toda la organización. En el caso de un nuevo SOC, las fuentes de datos iniciales deben proceder de los sistemas más sensibles y críticos para el negocio.
Lyborg, de Swimlane, aconseja a los directivos que estén creando un SOC de reciente creación que tengan en cuenta el tipo y la taxonomía de los datos. También es importante crear un modelo de datos común para agilizar la integración de herramientas y simplificar la correspondencia de la información. Por lo general, los datos proceden no solo de conjuntos de herramientas de seguridad, sino también de servidores y de los puntos finales de , , de múltiples entornos en la nube, de sistemas locales, de operaciones de red e infraestructura, y de sistemas de gestión de identidades.
[Lea también: 5 pasos para proteger los datos más valiosos de su organización]
Para asignar las fuentes de datos, Shpantzer recomienda tener en cuenta su ubicación física: «¿Se encuentran en las propias instalaciones? ¿Se encuentran en sistemas en la nube? ¿Y dispongo de las competencias en ingeniería de datos, ya sea a nivel interno o mediante consultoría, para crear lo que, en esencia, algunas personas denominarían un «pipeline de datos», con el fin de recopilar esos registros procedentes de diversos métodos, tanto tradicionales como modernos?
Adopten las herramientas más modernas
Lo más sensato es poner en marcha primero un conjunto sólido de capacidades básicas y partir de ahí para seguir avanzando. En el caso de un nuevo SOC, incorpore en primer lugar la supervisión de la seguridad y la detección de incidentes en sus capacidades de respuesta. Una vez que se hayan establecido los elementos esenciales, es el momento de plantearse la incorporación de capacidades más avanzadas, como la detección de amenazas mediante análisis de comportamiento ( ), los ejercicios de simulación de ataques (red teaming), el análisis forense y la inteligencia sobre amenazas, entre otras especialidades.
En una encuesta titulada « 2021 »( Este conjunto de herramientas pone de manifiesto que la mayoría de los encuestados estaban interesados en garantizar la seguridad de sus comunicaciones SOC, al tiempo que se garantizaba la supervisión de amenazas, la prevención de ataques y la respuesta ante incidentes.
Decida qué servicios externalizar
Dado que hay millones de puestos vacantes en el ámbito de la seguridad de la información que no se cubren, puede resultar más práctico y rentable para las organizaciones externalizar aquellas tareas que no pueden asignarse fácilmente a personal interno.
«Los arquitectos e ingenieros de seguridad deberían entrevistar a las distintas unidades de negocio para determinar cómo desean interactuar y comunicarse con los equipos de operaciones de seguridad.»Michael Lyborg, vicepresidente sénior de seguridad global y TI empresarial de Swimlane
La encuesta de SANS reveló que el 38 % de los encuestados gestiona su SOC de forma interna durante 24 horas al día; el 15 % externaliza por completo su SOC; y el 31 % utiliza una combinación de supervisión interna y externalizada. Para controlar los costes, el 16 % no pone en funcionamiento su SOC 24/7.
A menudo, las organizaciones no disponen de suficiente trabajo para mantener ocupados a los especialistas a tiempo completo. Por ello, muchas empresas subcontratan servicios especializados según sus necesidades. Según la encuesta de SANS, entre los trabajos que se subcontratan con mayor frecuencia se encuentran las pruebas de penetración, las simulaciones de ataques (red teaming), la informática forense y la inteligencia sobre amenazas.
Esfuércese por alcanzar una madurez continua
Una vez que un SOC está en funcionamiento, la prioridad pasa a centrarse en añadir capacidades, perfeccionar las ya existentes y optimizar las operaciones a lo largo del tiempo. Un marco de buenas prácticas puede ayudar a identificar de inmediato las capacidades esenciales y a evaluar el grado de madurez. Entre los marcos más habituales se encuentran el Marco de Ciberseguridad del Instituto Nacional de Estándares y Tecnología (NIST CSF), el marco ATT&CK de Mitre y el modelo de capacidades y madurez del SOC (SOC-CMM).
[Lea también: 5 gráficos que muestran por qué es mejor prevenir un ciberataque que combatirlo]
En general, un SOC madura a medida que se añaden más capacidades, se automatizan más operaciones, la seguridad abarca una parte cada vez mayor de los activos críticos de una organización y las amenazas se priorizan y mitigan en función del riesgo empresarial.
«Es importante no esperar demasiado tan pronto», afirma Remes. «No va a ser como pulsar un interruptor. «Empezará con tareas básicas y muy manuales, y con el tiempo irá adquiriendo un carácter más operativo y automatizado».
En resumen: No permita que lo perfecto sea enemigo de lo bueno. Al fin y al cabo, crear un equipo ágil de operaciones de seguridad es una maratón tras el sprint inicial.
