Las filtraciones de datos se producen a un ritmo imparable. Su impacto en la vida cotidiana de las personas, así como en la resiliencia empresarial y la seguridad nacional, es ya innegable.
Solo en los últimos meses, los ciberdelincuentes han atacado a la mayor empresa procesadora de carne del mundo, provocando el cierre de importantes plantas de envasado de carne en EE. UU.; han paralizado el mayor gasoducto del país, lo que ha provocado compras motivadas por el pánico; y han vulnerado la seguridad de 300 empresas y nueve organismos federales en el mayor ciberataque de la historia de EE. UU. (Véase Ataque a SolarWinds )
Para las empresas y las administraciones públicas, la lucha ya no se limita simplemente a proteger los números de tarjetas de crédito y otros datos personales. Se trata de proteger los intereses económicos del país y, quizás lo más importante, la capacidad de la sociedad para funcionar.
Muchos de los ataques de gran repercusión tenían el potencial de causar graves daños al «motor económico» del país, afirma Maggie Wilderotter, antigua directora ejecutiva de Frontier Communications y miembro del consejo de administración de varias empresas tecnológicas. La amenaza es tan grave que, el June 2, la Casa Blanca envió una carta abierta dirigida a «directivos de empresas y líderes empresariales», en la que afirmaba que tenían una «responsabilidad clave» a la hora de reforzar la resiliencia cibernética del país, al tiempo que señalaba que «ninguna empresa está a salvo [del ransomware], independientemente de su tamaño o ubicación».
Sin embargo, las empresas que actúan como si sus defensas por sí solas fueran suficientes para garantizar su seguridad asumen un riesgo mayor del que creen. En algún momento, los atacantes lo conseguirán. (Tenga en cuenta que los ciberataques se han disparado un 600 % desde que comenzó la pandemia.)
Las organizaciones afectadas podrían verse obligadas a interrumpir sus operaciones comerciales fundamentales a causa de un ataque de ransomware de tipo « » . Esas intrusiones tienen un coste tanto para la reputación de una empresa como para sus resultados económicos: las empresas gastan una media de 3.86 millones de dólares para mitigar una filtración de datos.
Las empresas deben pasar de adoptar una estrategia puramente defensiva a prepararse para llevar a cabo un ataque con éxito y limitar los daños. A continuación le presentamos cinco formas de hacerlo.
Formarse y prepararse
No es recomendable que tenga que aprender a gestionar la respuesta ante incidentes mientras está respondiendo a una brecha de seguridad. Parece obvio, pero muchas empresas no se preparan. «Su equipo debe estar preparado y debe saber exactamente qué va a hacer», afirma Fernando Montenegro, analista principal del equipo de seguridad empresarial de 451 Research, que forma parte de S&P Global Market Intelligence.
«. Su equipo tiene que estar preparado y saber exactamente lo que va a hacer.»Fernando Montenegro, analista de seguridad de 451 Research
«No me refiero a saber qué deberían hacer , en teoría , en caso de que ocurriera algo», añade. «Me refiero a comprender exactamente qué deben hacer en función de cada situación concreta».
Esto implica tener en cuenta a las personas, los procesos y las tecnologías. Montenegro afirma que hay que empezar por identificar a las personas a las que hay que notificar cuando se produzca un incidente.
“Who do you call at 3 in the morning to escalate something about a particular application?” he says. «¿O a quién debe llamar si no consigue localizar a los contactos principales?»
Incorporar a esas personas al proceso durante la formación permite forjar relaciones importantes y generar un conocimiento colectivo sobre qué hay que hacer, quién debe hacerlo y cómo. Además de los departamentos de seguridad y de TI, los equipos de respuesta podrían incluir a personal de recursos humanos, relaciones públicas, el departamento jurídico, el departamento de producto y los departamentos de comunicación interna y externa.
[Lea también: La crisis del ransomware en EE. UU. tiene solución]
Montenegro recomienda que los equipos de respuesta ante incidentes realicen simulacros, tal vez cada trimestre. La realización de simulacros puede ayudar a los equipos de seguridad a identificar lagunas o directrices obsoletas en sus estrategias de respuesta ante incidentes, lo que aumenta la confianza y la rapidez con la que el equipo responde.
«Debe asegurarse de estar al día y no desempolvar viejos manuales de respuesta de una estantería virtual que no se ha tocado en un año», afirma.
Desarrollar la conciencia situacional
Para garantizar una respuesta rápida ante incidentes , las empresas deben estar constantemente atentas a cualquier indicio de que unos piratas informáticos o un software malicioso hayan comprometido su sistema. No le conviene enterarse de una filtración a través de un socio o cliente afectado, de las fuerzas del orden o de un grupo de servidores que de repente haya quedado cifrado por un ransomware.
«En cuanto un atacante consigue acceder mediante una credencial o eludir de algún modo la autenticación multifactorial, su sistema queda comprometido», afirma Gal Shpantzer, fundador de Security Outliers, una consultoría especializada en CISO virtuales.
«Los equipos de seguridad necesitan procesos que puedan detectar nuevas comunicaciones entre dispositivos informáticos y determinar si son legítimas.»
Para detectar una brecha de seguridad de forma temprana, los equipos de seguridad necesitan procesos capaces de identificar nuevos indicios de malware que lleguen a los dispositivos informáticos u otros puntos finales y determinar si su presencia allí es legítima. «Debe buscar comunicaciones entre ordenadores de sobremesa que resulten inusuales, o servidores que intenten conectarse con otros servidores utilizando protocolos extraños o nuevos, o de formas que establezcan nuevas relaciones en la red», afirma Shpantzer.
Desea implementar herramientas de seguridad de puntos finales con capacidades integrales, como sistemas de detección de intrusiones y anomalías, que detecten cualquier actividad inusual tan pronto como sea razonablemente posible. «La novedad en las comunicaciones y la novedad en los binarios son pistas importantes», afirma Shpantzer.
Comprender el impacto en el negocio
Cuando se produce un incidente de seguridad, la mayoría de las organizaciones no logran comprender el impacto que dicho incidente tiene en su actividad empresarial. Sin embargo, cada incidente supone, en mayor o menor medida, una interrupción de la actividad empresarial.
«Lo que marca la diferencia es hasta qué punto afecta al funcionamiento de la empresa», afirma David Elfering, director de seguridad de la información de ReSource Pro. La escalación de un incidente, desde una consulta al servicio de asistencia técnica hasta una situación que requiere una respuesta de alto nivel, es un proceso que, según afirma, «funciona muy mal en la mayoría de las empresas».
«La escalación de una incidencia del servicio de asistencia a una que requiera una respuesta de alto nivel es un proceso que no funciona correctamente en la mayoría de las empresas.»David Elfering, director de seguridad de la información de ReSource Pro
Esto se debe a que la mayoría de las empresas no disponen de un inventario de sus procesos fundamentales. Eso significa que no conocen el valor de sus procesos. Por lo tanto, no pueden asignar una verdadera criticidad. Por eso, cuando el departamento de TI clasifica algo como crítico o de bajo riesgo, muchas veces —según afirma Elfering— «simplemente están haciendo conjeturas».
Para comprender mejor el impacto de los incidentes cibernéticos, las organizaciones deben dejar de evaluar sus entornos informáticos de abajo arriba. En lugar de enumerar cómo los sistemas informáticos respaldan el negocio, es mejor empezar por lo más alto, afirma Montenegro.
«Identifique sus principales procesos empresariales y la tecnología que los mantiene en funcionamiento», afirma. «Esto ayuda a simplificar, desde el punto de vista del valor, la decisión sobre qué incidentes son críticos para las operaciones empresariales más importantes».
Apueste por el centro de operaciones de seguridad (SOC) remoto
Muchos equipos de seguridad de las empresas comenzaron a trabajar a distancia durante la pandemia. Dado que las organizaciones se enfrentan a una escasez de personal cualificado en materia de seguridad, ahora consideran que el trabajo a distancia supone una ventaja, ya que les permite acceder a una amplia variedad de candidatos de todo el mundo.
«Por lo general, los operadores del SOC trabajaban en un entorno físico en el que había pantallas por todas partes y todo el mundo estaba pendiente de las alertas», afirma Scott Crawford, director de investigación en seguridad de la información de 451 Research. «Hemos aprendido que es posible que los analistas supervisen las consolas desde cualquier lugar y que puedan trabajar de forma colaborativa».
Ese entorno de trabajo a distancia también resulta atractivo para muchos trabajadores que prefieren vivir donde deseen y evitar los gastos y las molestias que supone desplazarse a la oficina.
«Esto facilitará en gran medida la retención de los conocimientos especializados en seguridad que necesita para responder de forma eficaz ante los incidentes», afirma Crawford.
Automatice los procesos cuando sea conveniente
En lo que respecta a la recopilación de datos y la revisión de registros, existen numerosos procesos que pueden y deben automatizarse. «Lo ideal es automatizar todo lo posible», afirma Shpantzer. «Puede crear guías de actuación que prevean pulsar un gran botón rojo que cargue un conjunto de indicadores de compromiso (IOC) y analice sus registros para localizar todos los equipos en los que haya intervenido el IOC, así como para consultar todas las URL que registra el proxy DNS».
[Lea también: Por qué la seguridad y la automatización van de la mano]
Usted desea que esa tarea requiera menos trabajo manual, sobre todo si alguien la realiza de forma repetida. La automatización no solo es más rápida, sino que además reduce los errores humanos debidos a la intervención manual. Esto es fundamental, afirma Shpantzer, en medio del estrés que supone un incidente en curso. También es fundamental determinar durante cuánto tiempo deben conservarse los registros. Muchos ataques se prolongarán durante semanas e incluso meses, por lo que debe determinar dónde deben almacenarse los registros y, a continuación, crear el flujo de trabajo necesario para acceder a ellos y analizarlos rápidamente cuando sea necesario.
«Lo que se desea es poder hacer clic en un botón y obtener esos registros, o hacer clic en botones que estén claramente etiquetados» con los datos correspondientes, afirma Shpantzer. Entre ellas podrían figurar etiquetas como «hoja de cálculo de entrada con IOC para DNS», «hoja de cálculo de entrada con direcciones IP» o «hojas de cálculo de entrada con hash».
Con todo ello, afirma, la plataforma de detección y respuesta en los puntos finales de se encargará de coordinarlo todo. «De este modo, podrá determinar rápidamente qué ha ocurrido, dónde ha ocurrido y qué se ha visto afectado», afirma.
Aunque las filtraciones de datos son prácticamente inevitables —no es cuestión de «si» se producirán, sino de «cuándo»—, al menos podemos tomar medidas para evitarlas durante el mayor tiempo posible y, cuando se produzcan, estar preparados para garantizar que su impacto sea mínimo.
