¿Qué indicadores necesitan los CISO?
Es una pregunta que me plantean a diario cuando me reúno con los CISO y los CIO de algunas de las organizaciones más conocidas del mundo en los sectores financiero, minorista, aeroespacial, de los medios de comunicación, de las telecomunicaciones, de la consultoría y muchos otros. Sea cual sea el rumbo que tome nuestra conversación, la cuestión fundamental es la confianza. ¿Son los datos actuales, completos y se ajustan al contexto de la organización? ¿Y sus compañeros de los departamentos de riesgos, cumplimiento normativo y operaciones coinciden con esta visión? Si no es así, ¿no deberían intercambiar opiniones? ¿Y cómo hemos llegado a aceptar que un porcentaje inferior al 100 % sea un punto de referencia «aceptable» para cualquier cosa, ya sea el cumplimiento de los parches u otra función informática fundamental?
He estado compartiendo el estudio « : Tanium’s 2019 Resilience Gap» ( Los directores de sistemas de información (CIO) y los directores de seguridad de la información (CISO) suelen enfrentarse al reto de conciliar dos requisitos empresariales fundamentales: el tiempo de actividad de los sistemas (disponibilidad) y una seguridad eficaz (gestión de parches). Tal y como subraya el estudio «Resilience Gap», este último aspecto suele quedar relegado en la jerarquía de prioridades debido a preocupaciones arraigadas en torno a la eficacia de la implementación, la cobertura y la presentación adecuada de informes.
Comparto estos datos con los responsables de seguridad de la información (CISO) y estos asienten con la cabeza, a veces con un suspiro. Un responsable de seguridad de la información (CISO) me comentó recientemente que su equipo había informado de un cumplimiento del 95 % en todos los dispositivos finales, y le pedí que me aclarara qué significaba eso. Esa es la cifra que facilita a su director de sistemas de información —según afirmó—, quien la incluye en sus informes periódicos dirigidos al director financiero, al director general y al consejo de administración. Sin embargo, el CISO no disponía de ningún método preciso para saber a cuántos dispositivos finales —gestionados o no gestionados— se refería ese 95 %, salvo una aproximación relativa. Es algo difícil de admitir, pero ocurre a diario. El estudio de Tanium señala que más del 80 % de los directores de sistemas de información (CIO) y de seguridad de la información (CISO) se han abstenido de aplicar una actualización o un parche de seguridad importante —en ocasiones, más de una vez— debido a la preocupación por el impacto que ello podría tener en las operaciones empresariales.
¿Cómo podemos gestionar nuestro riesgo si no sabemos a cuánto asciende?
No es que nos resistamos al progreso. Hemos pedido a nuestros responsables de seguridad de la información (CISO) y a nuestros responsables técnicos que amplíen su perspectiva más allá del objetivo tradicional de sus puestos de trabajo. Deben gestionar el parque informático, sí, pero también deben utilizar sus conocimientos y experiencia para impulsar la transformación digital, reforzar la seguridad y la resiliencia generales de la organización, y convertir las tecnologías de la información en un factor facilitador en lugar de un centro de costes; todo ello son aspectos de los que llevamos años oyendo hablar. Sin embargo, abordamos las operaciones y la ciberseguridad principalmente desde el punto de vista de la arquitectura física o técnica, y aceptamos ciertas limitaciones en lo que respecta a la visibilidad y el control. Eso no nos ayuda a mantener una conversación más constructiva sobre el negocio. ¿Cómo podemos gestionar nuestro riesgo si no sabemos a cuánto asciende?
He aquí una situación habitual que se repite constantemente en las reuniones de la dirección, aunque especialmente esta semana, dadas las noticias sobre el CVE-2019-0708, el fallo de Windows que permite la propagación de gusanos.
- Se convoca al responsable de seguridad de la información (CISO) y se le pregunta si la empresa es vulnerable a la amenaza CVE-2019-0708. El responsable de seguridad de la información (CISO) se compromete a realizar un análisis, pero es consciente de que, con la tecnología obsoleta de la que disponen, ello podría llevar semanas.
- En caso de que exista una vulnerabilidad, se pregunta al CISO cuánto tiempo llevará aplicar los parches necesarios. El CISO recuerda que la última vez que se produjo un incidente de seguridad de «emergencia», se tardó 20 días en alcanzar un 95 % de implementación de parches, aunque esa cifra podría estar más cerca del 75 %, ya que el equipo no tiene claro cuántos terminales cuenta realmente.
- Entre esos dispositivos finales, resultaría útil para el CISO y para la empresa saber cuántos funcionan con Windows 8 o 10 y, por lo tanto, no se ven afectados por la versión CV-2019-0708. Lamentablemente, esos datos no son fáciles de encontrar.
Todas estas son cuestiones relacionadas con la visibilidad y el control del parque informático. Entre la nube, la transformación digital, el cumplimiento normativo, la seguridad y todas aquellas cuestiones que acaparan el tiempo de un responsable de TI, no resulta prudente pedir a todo el mundo que «vuelva a lo básico»: las funciones del director de sistemas de información (CIO) y del director de seguridad de la información (CISO) simplemente ya no son las mismas que hace 20, 10 o incluso cinco años. Sin embargo, si el 94 % de los directores de sistemas de información (CIO) y de seguridad de la información (CISO) admiten que tienen que hacer concesiones en cuanto a la eficacia con la que pueden proteger a sus organizaciones frente a las interrupciones, necesitamos tener un conocimiento real de nuestro entorno informático, disponer de datos que nos permitan tomar decisiones acertadas y contar con la capacidad de corregir, aplicar parches y llevar a cabo otras acciones sin demora.
Las funciones del CISO y del CIO resultan más sencillas —y los riesgos de la empresa se gestionan mejor— cuando nos ceñimos a los principios fundamentales. No hay nada más fundamental para una infraestructura informática resiliente que una visibilidad y un control totales. Cuando aceptamos una visibilidad limitada, estamos renunciando a mucho más de lo que creemos.
¿Le interesa ver cómo funciona Tanium? Concierte una demostración e individual o participe en nuestro seminario web semanal. Hable con nuestros expertos en Tanium en nuestros próximos eventos « » ().
