Se puede decir que Dan Ronco siempre está en el punto de mira. Es el directivo de TI encargado de gestionar miles de terminales dispares para Service Logic, una empresa de calefacción, ventilación y aire acondicionado en constante crecimiento (a través de fusiones y adquisiciones); y, gracias a la gran cantidad de adquisiciones realizadas en los últimos años, se encarga de integrar a cada nueva empresa adquirida en la familia desde el punto de vista de la seguridad.
«No se trata del modelo típico de fusiones y adquisiciones», explica Ronco.
En el ámbito de las fusiones y adquisiciones corporativas , Service Logic —la mayor empresa privada de servicios energéticos y de climatización de Norteamérica— aplica un estilo de gestión que podría describirse, en definitiva, como el polo opuesto a la crianza sobreprotectora.
A diferencia de muchas empresas que cotizan en bolsa, Service Logic adopta un enfoque personalizado en materia de adquisiciones, lo que ayuda a las empresas adquiridas a conservar su legado. Si bien este estilo de organización permite que las adquisiciones prosperen y parece contribuir positivamente a los resultados económicos (Service Logic cuenta ya con 119 establecimientos y sigue creciendo), plantea ciertos retos en materia de ciberseguridad.
Desde su sede central en Charlotte, Carolina del Norte, Service Logic adquiere o invierte en empresas regionales del sector de la climatización y les ayuda a crecer, al tiempo que mantiene cierto grado de independencia para que puedan seguir operando como lo hacían anteriormente. Las empresas pueden ser de todo tipo, desde un pequeño negocio familiar hasta un proveedor líder de servicios de climatización en un gran mercado, lo que significa que Ronco, en su calidad de director de arquitectura de seguridad empresarial, se enfrenta a niveles muy dispares en la escala de madurez de la seguridad.
Ronco se sentó con nosotros para explicarnos cómo gestiona este número cada vez mayor de dispositivos finales , de modo que todas las empresas que forman parte del grupo Service Logic puedan centrarse en mantener los centros de datos frescos en verano y las oficinas cálidas en invierno.
(La siguiente entrevista es una adaptación de una conversación de « » con Ronco en el podcast de Tanium «», , producido por Tanium, que edita esta revista.) (Se ha editado por motivos de espacio y claridad.)
En primer lugar, Service Logic cuenta con ese interesante modelo de negocio descentralizado. ¿Podría darme más detalles al respecto?
Por supuesto. Por lo tanto, adquirimos empresas dedicadas específicamente al sector de los servicios de climatización (HVAC) para el ámbito comercial e industrial en Estados Unidos y Canadá. En estos momentos contamos con unas 52 unidades de negocio y más de 100 centros.
«. Nuestro modelo es un poco diferente del modelo de adquisición habitual…». Les ofrecemos apoyo financiero, pero también les brindamos una vía para reforzar su estrategia de seguridad.»
Nuestro modelo difiere ligeramente del modelo de adquisición habitual, en el que quizá las empresas no están rindiendo lo suficiente o necesitan una gran inversión de capital. Adquirimos empresas de gran éxito, de tal forma que puedan seguir haciendo aquello que les ha llevado al éxito, y les ofrecemos respaldo financiero; pero también les brindamos una vía para ampliar su postura de seguridad, de tal forma que proteja nuestra inversión y, al mismo tiempo, les sirva de plataforma de lanzamiento hacia la siguiente etapa de éxito en lo que respecta a su negocio.
Esto debe plantear algunos retos operativos y de seguridad únicos, ¿verdad?
En un modelo descentralizado, se enfrentan a situaciones como o la «TI en la sombra», en las que es posible que los empleados no se ajusten a la política de la empresa en cuanto a qué herramientas pueden utilizarse, qué prácticas se deben seguir o qué licencias se pueden adquirir, así como al software infrautilizado y cuestiones similares.
[Lea también: La guía de supervivencia del CISO en fusiones y adquisiciones]
Por lo tanto, es importante que identifiquemos esas deficiencias de tal manera que podamos facilitar un diálogo sobre cómo [controlar] esa situación, tanto desde una perspectiva operativa como desde una perspectiva de costes.
Y eso empieza por…
Tendremos una breve llamada introductoria para presentarnos, presentar al equipo; se unirá a nosotros nuestro director de sistemas de información (CIO) y comenzaremos [con una visión general de y la gestión de terminales]. Debemos obtener una visión clara de todos los activos… comprender cuáles son esos activos y las vulnerabilidades asociadas a ellos, y elaborar un plan para hacerles frente.
«En un modelo descentralizado, hay que lidiar con situaciones como la “TI en la sombra”, en la que es posible que los empleados no estén en sintonía con la empresa en cuanto a las herramientas que pueden utilizarse.»
En cierto modo, aceptamos su situación actual [en lo que respecta a su nivel de seguridad], sabiendo que contamos con un plan de integración muy sólido para subsanar cualquiera de esas deficiencias.
Usted sigue deseando que sigan funcionando a su manera y que presten servicio a sus comunidades a su manera.
Queremos que puedan seguir haciendo aquello que les ha llevado al éxito, y su integración no va a facilitarlo, por lo que ese no es nuestro objetivo… Realizamos numerosas comprobaciones de cumplimiento normativo. Somos una empresa del CIS [Centro para la Seguridad en Internet]. Cumplimos con los controles del CIS [un marco de que recoge 18 buenas prácticas para mejorar la ciberseguridad].
En realidad, se trata simplemente de una conversación sobre en qué punto se encuentran ahora y cómo podemos ayudarles a llegar a donde deben estar. Nos ayuda a orientar esas conversaciones en la dirección correcta. Por ejemplo, nos hemos encontrado con integraciones en las que vemos un equipo con Windows 97 …
Vaya, qué sorpresa.
…almacenados en la red. Y puede deberse a un sinfín de razones. Quizá se trate simplemente de una máquina que ayuda a agilizar algún proceso empresarial, y la mejora de dicho proceso les costará 100,000 dólares. Por lo tanto, no pueden dar de baja ese dispositivo con Windows 97 . El mero hecho de poder transmitir eso a la empresa como un riesgo [hace que] estén mejor informados, de modo que puedan tomar una decisión más acertada en materia de riesgo.
¿Y qué hay de la automatización, el aprendizaje automático y la inteligencia artificial? ¿Cómo cree que afectará eso al negocio?
Creo que esto no hará más que ir cobrando impulso. En lo que respecta a las tecnologías de la información,... Me encantaría ver un avance que incluyera algún tipo de automatización de la detección de amenazas ( ) … cosas como los IOC () o indicadores de compromiso. [Me gustaría] enseñar [a una plataforma de ciberseguridad] específicamente qué indicadores de compromiso estamos buscando y, a continuación, desarrollar un flujo de trabajo o un manual de procedimientos de « » en torno a ello, del tipo: «Si detecta esto, ¿cuáles son las respuestas esperadas?».
«Si un sistema funciona a un nivel de referencia el 90 % del tiempo, ¿puede la IA detectar un cambio en ese nivel de referencia y, a continuación, proponer algún tipo de solución?»
Y es que, desde el punto de vista de la seguridad y de la respuesta ante incidentes, existe un conjunto básico de funciones que deben llevarse a cabo ante un incidente. El aislamiento sería inmediato: independientemente de cuál sea la brecha de seguridad, su primera medida debe ser aislar todo aquello que se haya visto afectado. Además, dispone de flexibilidad: si sabe que ese sistema se ha visto comprometido y ya no se está propagando por la red, dispone de tiempo para investigar más a fondo.
La mayoría de los responsables tecnológicos con los que hemos hablado se muestran entusiasmados con lo que la inteligencia artificial puede aportar a sus empresas, mientras que los trabajadores del sector de las tecnologías de la información temen que pueda sustituirles en sus puestos de trabajo.
No veo eso concretamente. Creo que se percibe mucho entusiasmo… por aplicaciones como la supervisión mejorada o el mantenimiento predictivo; así pues, si un sistema funciona a un nivel de referencia el 90 % del tiempo, ¿podría una IA de « » detectar un cambio en esa referencia y, a continuación, proponer algún tipo de solución? O quizá se trate de un problema relacionado con el uso del espacio en disco o con la utilización de la memoria. ¿Puede extraer esa información para dar una respuesta? O quizá podamos elaborar una respuesta de referencia. Así que, si ve esto, haga lo siguiente. De este modo, podremos identificar ese manual de estrategias.
[Lea también: ¿Qué es la programación «AI vibe»? [Ventajas, inconvenientes y polémicas]
Esto puede ayudar realmente a las personas a realizar su trabajo de forma más rápida y eficaz.
Por supuesto. Y al plantearnos otras vías de aplicación de la IA, analizando aspectos como el comportamiento de los usuarios para, por ejemplo, identificar casos de riesgo interno. Supongamos que un usuario y su ordenador realizan un subconjunto de funciones el 90 % del tiempo y, de repente, se observa que… están descargando archivos o han enviado un correo electrónico de gran tamaño con un archivo adjunto de gran tamaño; esto puede ser un indicador de que se ha producido una intrusión. Por lo tanto, el hecho de que la IA nos facilite esa información en el momento oportuno nos ayudaría a proteger aún más la empresa.
