Cada año parece traer a los profesionales de la ciberseguridad la última novedad que promete resolver todos y cada uno de sus problemas. La lista es impresionante. Inteligencia artificial. , computación en la nube. Arquitectura « » basada en el modelo «zero-trust». Inicios de sesión en sin contraseña.
Resulta que no hay una única medida que mejore la ciberseguridad. Hay una serie de objetos. Pero, ¿qué son? ¿Lo saben los expertos en ciberseguridad? Pregunte a una docena de personas y obtendrá una docena de respuestas diferentes. Wade Baker analiza esas respuestas y compartirá las conclusiones extraídas de una encuesta realizada a 5,100 profesionales en la RSA Conference 2022.
El Sr. Baker es socio y cofundador del Cyentia Institute, que lleva a cabo investigaciones y presta servicios en materia de ciberseguridad basados en datos. Será uno de los dos ponentes que analizarán las prácticas y los resultados en materia de seguridad en su mesa redonda de RSA 2022 , titulada «: ¿Qué (en realidad, concretamente) hace que los programas de seguridad tengan AÚN MÁS éxito?» Junto con Wendy Nather, directora de CISO de asesoramiento en Cisco, el Sr. Baker analizará en profundidad los resultados del reciente estudio de Cisco « » () y del «Security Outcomes Study, Volume 2» () (), que revelaron, entre otras cosas, una fuerte correlación entre la arquitectura de TI de una organización y su resiliencia en materia de seguridad. La conferencia tendrá lugar en el marco de la « June 7», del 1:15 p.m. al 2:05 p.m. (hora del Pacífico), en el Moscone Center de San Francisco. Baker ofreció a « » Endpoint una visión de primera mano de los resultados.
¿Podría hablarme de esta investigación sobre ciberseguridad y de cómo se puso en marcha este estudio a escala mundial?
Me encanta la idea de este estudio. No recuerdo exactamente cuándo ni quién tuvo la idea de estudiar los resultados en materia de ciberseguridad. En última instancia, nos preguntamos si realmente podíamos medir los resultados. En primer lugar, permítanme remontarme al volumen uno de « » ( ) de dicho estudio.
Hemos realizado una encuesta a casi 4,800 profesionales de las tecnologías de la información y la seguridad de 25 países. Para ser un estudio sobre seguridad,
, fue de gran envergadura. La encuesta se centró
en 11 resultados, preguntando en primer lugar a los responsables de seguridad: ¿Qué es lo que usted
desea que su programa de seguridad haga
o ofrezca?
Recibimos respuestas muy diversas, pero las hemos resumido en 11 resultados. Son de alto nivel e incluyen: facilitar el funcionamiento de la empresa, evitar incidentes graves y pérdidas, garantizar el cumplimiento normativo, gestionar los costes, etc. Preguntamos a los encuestados cómo habían logrado esos resultados y si les estaba costando trabajo o si, por el contrario, les estaba saliendo de maravilla. A continuación, preguntamos sobre 25 prácticas de seguridad diferentes, aspectos básicos como (detección de amenazas),, (respuesta ante incidentes),, (gestión de vulnerabilidades), y otros similares.
Parece muy sencillo: basta con hacer estas cosas que sabemos que le hacen bien.
Bien, todas esas cosas que simplemente hace: simplemente hágalas. Así pues, este año hemos vuelto a
con el segundo volumen del estudio, en el que se ha encuestado a 5,100 profesionales de 27 países. En lugar de 25 prácticas, en
nos centramos en las cinco del estudio anterior que más contribuyeron al éxito en materia de ciberseguridad.
«Las organizaciones que contaban con una estrategia de plataforma para sus tecnologías de TI y seguridad parecían obtener mejores resultados.»
Entre ellas se incluían: la actualización proactiva de su tecnología, el uso de tecnologías que funcionaran bien juntas, una respuesta rápida ante incidentes, una recuperación rápida y una detección temprana y precisa de las amenazas. Queríamos comprender qué es lo que hace que estos cinco sean tan singulares. Así que nos pusimos a analizarlos a fondo y les hicimos muchas preguntas.
Por ejemplo, queríamos saber si las organizaciones estaban modernizando realmente su infraestructura tecnológica o si simplemente estaban gastando una fortuna en actualizaciones constantes. ¿Se basaban principalmente en la nube? Lo que observamos fue que las organizaciones que contaban con una estrategia de plataforma para sus tecnologías de TI y de seguridad parecían obtener mejores resultados.
Qué interesante. Entonces, ¿qué es lo que está mejorando los resultados en ese ámbito? ¿Se trata simplemente de dar el salto a las plataformas?
Las organizaciones que se vieron obligadas a desarrollar sus propias integraciones entre sistemas tuvieron más dificultades para alcanzar sus objetivos. Creo que eso tiene sentido. La visibilidad resulta ser algo positivo. Hemos constatado que, en lo que respecta a la detección de amenazas, aproximadamente la mitad de los encuestados obtienen buenos resultados cuando cuentan con una sólida gestión de identidades y una gestión de programas y sistemas de seguridad . Por lo tanto, disponer de una buena visibilidad de las amenazas y de los activos es fundamental para llevar a cabo una labor eficaz.
También hemos analizado a las personas, los procesos y la tecnología. Ese trío imprescindible. Nos preguntábamos: ¿Tiene alguno de estos factores una importancia mayor o menor para los resultados en materia de seguridad? Pedimos a los encuestados que valoraran cada uno de estos aspectos por separado. Los encuestados que afirmaron que sus organizaciones presentaban carencias en estos tres aspectos no obtuvieron buenos resultados. Aquellos que afirmaron tener un buen nivel en las tres áreas alcanzaron el percentil 92 en cuanto a resultados positivos. En cuanto a la zona media, hemos observado que, si presentaban fuerza en solo una de ellas, la diferencia respecto a si aumentaban la fuerza en las otras dos resultaba estadísticamente insignificante.
[Lea también: RSA Conference 2022: Los Supersónicos se reúnen con el equipo de seguridad]
Eso fue interesante. Me hizo comprender que, si una empresa tiene la tecnología como punto fuerte, puede aprovecharla para crecer. No es necesario que pasen a un programa con un gran número de participantes ni al revés. Pueden partir de sus puntos fuertes y, a partir de ahí, crear algo aún mejor. Siempre y cuando se esfuercen por mejorarlos todos, el camino que sigan no tiene importancia.
Eso es fascinante, porque en la clase de administración de empresas nos enseñaron que un buen proceso no sustituye a un buen equipo humano, pero sí puede ayudar a compensar la falta de cualificación de algunas personas.
No salió así. Sin embargo, estábamos analizando esta cuestión preguntándonos si la automatización de podía sustituir a las personas. Por ejemplo, si se pueden automatizar los procesos, ¿eso les permitiría llegar más lejos que las personas, o podría sustituir a las personas? Sabíamos que la respuesta sería «no».
«Me pareció muy gracioso que el 84 % de las organizaciones que afirman: “No utilizamos la inteligencia sobre amenazas en absoluto”, calificaran sus operaciones de seguridad como muy sólidas.»
Solo el 36 % de las organizaciones que afirmaron que su personal no es competente, que cuentan con recursos humanos insuficientes y que carecen por completo de procesos automatizados calificaron sus operaciones de seguridad como eficaces. Sin embargo, el 73 % de quienes afirmaron contar con personal técnico altamente cualificado en las operaciones de seguridad y no disponían de automatización calificaron su seguridad como sólida.
Es interesante que las organizaciones con un alto nivel de automatización, pero con personal poco cualificado, tuvieran un programa de similar solidez al de las organizaciones con recursos humanos muy cualificados pero con un bajo nivel de automatización.
¿Qué es lo que más le ha sorprendido de los resultados de la encuesta?
Les preguntamos sobre la inteligencia sobre amenazas y en qué medida los encuestados y sus organizaciones la utilizan. Me pareció muy gracioso que el 84 % de las organizaciones que afirman: «No utilizamos en absoluto la inteligencia sobre amenazas», calificaran sus operaciones de seguridad como muy sólidas. Sin embargo, entre aquellos que sí utilizan la inteligencia sobre amenazas, solo el 45 % calificó su seguridad como muy sólida. Por lo tanto, sus índices de audiencia se reducen casi a la mitad.
Empiezan a darse cuenta de que desconocen los riesgos cibernéticos que desconocen.
Exactamente. Un grupo actúa partiendo de un estado de ignorancia. Todo parece estar bien. No están teniendo en cuenta amenazas concretas y no tienen ni idea de cómo son, por lo que no las detectan. Eso debe de significar que todo va bien.
¿De qué manera deberían los CISO y sus equipos de seguridad mejorar su personal, sus procesos o su tecnología?
Hay muchos datos que les brindan la libertad de aprovechar sus puntos fuertes, en lugar de tener que ajustarse a la mentalidad de que «solo hay un camino a seguir». Esa libertad de elección supone una gran ayuda para los programas de seguridad que atraviesan dificultades.
«A menudo oímos decir: «Este es el nuevo paradigma que debe seguir…». Pero aún no hemos logrado eso. Quizá no haya una única respuesta.»
A menudo oímos decir: «Este es el nuevo paradigma que debe seguir para que todo salga a la perfección». Pero aún no hemos logrado eso. Quizás haya o quizá no haya nada concreto. Hay un montón de pequeños detalles que mejoran gradualmente un programa de seguridad.
Si logramos empezar a medir esos pequeños detalles y recabar datos que los respalden, podremos empezar a incluirlos en la hoja de ruta. Espero que la gente saque una conclusión de este tipo de todo esto.
Los resultados parecen indicar que, por muy buena que sea la ciberhigiene de una organización, hay aspectos relacionados con la seguridad de la empresa que escapan a su control —
—, como la madurez de la pila tecnológica y la calidad de la integración de los sistemas.
Sí, yo también lo creo. En cierto modo, esto pone el énfasis en . Probablemente debamos salir de nuestro propio ámbito y colaborar con otros grupos dentro de la organización, si son ellos quienes gestionan aquellos aspectos que resultan fundamentales para su éxito como responsable de seguridad. Si sabe que gran parte de ello está relacionado con los sistemas informáticos que se encarga de proteger, probablemente le convenga colaborar estrechamente con el director de sistemas de información y elaborar conjuntamente algunos planes para mejorar esa infraestructura tecnológica.
[Véase también: La creciente necesidad de unificar las tecnologías de la información y la seguridad]
¿Hay algún aspecto concreto que merezca la pena medir? Me imagino que, si los equipos y los directores de sistemas de información se limitan a empezar a medir cosas, acabarán midiendo muchas cosas equivocadas.
En cierta medida, los 11 resultados del programa de los que hablamos en estos informes constituyen un excelente punto de partida. No se trata de medidas ni de indicadores. No obstante, se trata de objetivos que los programas de seguridad pretenden alcanzar. Entonces, la pregunta es: ¿cómo puede nuestro programa contribuir de la mejor manera posible a la consecución de estos resultados? Es un buen punto de partida.
