La transformación digital está modificando continuamente la estructura tecnológica de las empresas. Lo que antes eran perímetros cerrados controlados de forma centralizada, dispositivos proporcionados por la empresa e infraestructura local se ha transformado en una red cada vez más extensa —y en constante crecimiento— de servicios de software, infraestructuras en la nube y servicios de aplicaciones descentralizados.
Para comprobarlo, solo tiene que seguir el rastro del dinero. Según la consultora Futurum, las empresas gastan actualmente unos
700 000 millones de dólares al año en proyectos de transformación digital. Según un estudio de la empresa, no solo la empresa típica cuenta con más de 200 aplicaciones en uso activo, sino que el 60 % de dichas aplicaciones se renueva cada dos años. Esto significa que, para el año 2023, el 60 % de las aplicaciones que se utilizan en la actualidad habrán sido sustituidas.
Se trata de una tasa asombrosa, que actualmente está causando quebraderos de cabeza a las organizaciones debido a los retos que plantea para la ciberseguridad. «Todos estos rápidos cambios han dado un vuelco a los enfoques tradicionales en materia de seguridad», afirma Andy Ellis, director asesor de seguridad de la información (CISO) de Orca Security, una empresa de seguridad en la nube, y antiguo director de seguridad de la empresa de seguridad web Akamai Technologies. «Aumentar el número de personas dedicadas a resolver el problema no es la solución». «No es escalable».
Para mantenerse al día con los rápidos avances en la transformación digital de su organización y mitigar los problemas de seguridad, los directores de sistemas de información (CIO) y los directores de seguridad de la información (CISO) deberían seguir estas cinco prácticas.
Incorpore la seguridad a la transformación digital
Cuesta creer que aún haya que decirlo, pero es imprescindible contar con la participación de los equipos de seguridad desde el principio en cualquier nueva iniciativa digital. Y punto. «La seguridad debe tenerse en cuenta en las primeras conversaciones importantes y durante la fase de planificación», afirma John D. Johnson, alto directivo de seguridad de la información en una gran empresa de alimentos procesados.
De ese modo, añade, «asumimos la responsabilidad si ocurre algo, y desempeñamos un papel fundamental en la protección de la empresa». No es posible garantizar de forma eficaz la seguridad de las nuevas iniciativas digitales limitándose a intervenir para solucionar los problemas únicamente cuando algo falla. «Debemos formar parte de todo el debate para poder contribuir a trazar una hoja de ruta más segura que permita a la organización sacar partido del nuevo mercado digital».
Incorporar la seguridad en toda la organización no se limita únicamente a la toma de decisiones en el conjunto del proceso de transformación digital. La seguridad también debe formar parte de las decisiones empresariales cotidianas, como qué aplicaciones implementa la organización, qué funciones se añaden a dichas aplicaciones, dónde se almacenan los datos y quién puede acceder a ellos.
«Se pretende que todos sigan el mismo camino y comprendan la importancia del cambio empresarial», afirma Scott Crawford, director de investigación en seguridad de la información de 451 Research. «Esto significa que debe sensibilizar a los usuarios y que debe esforzarse por crear una cultura corporativa y saludable».
Adelantar la seguridad
Si bien la seguridad debe integrarse en todos los aspectos de su transformación digital, esto resulta especialmente cierto en el caso de los procesos de DevOps de « » y en el desarrollo de aplicaciones de software. Wim Remes, director ejecutivo y fundador de Wire Security, una consultora especializada en seguridad de la información con sede en Bélgica, lo ha comprobado de primera mano. Según él, DevOps puede dar lugar a una mayor calidad y seguridad del software, y puede hacerlo de forma sistemática; sin embargo, «requiere que las capacidades de seguridad estén bien alineadas con el desarrollo y las operaciones de TI, de manera que tengan en cuenta el modelo de amenazas del software y supervisen de forma continua los defectos que deban subsanarse».
«. Todos estos rápidos cambios han dado un giro radical a los enfoques tradicionales en materia de seguridad.»Andy Ellis, director de seguridad de la información (CISO) asesor de Orca Security
Chris Blow, director de seguridad ofensiva de Liberty Mutual Insurance, está de acuerdo y añade: «Cuando la seguridad se integra adecuadamente en el proceso de desarrollo, la ciberdefensa se incorpora al proceso de desarrollo en lugar de aplicarse una vez que el software ya se ha implementado». «Esto hace que el desarrollo seguro sea escalable y ágil», afirma Blow.
Automatice todo lo que pueda
Los procesos manuales no son escalables; de ahí el auge de la automatización de procesos en una amplia gama de aplicaciones y flujos de trabajo empresariales, desde el seguimiento de facturas en contabilidad hasta la incorporación de personal en Recursos Humanos. La automatización reduce los errores humanos, aumenta la productividad y mejora la satisfacción laboral de los empleados, al permitirles dedicarse a tareas de mayor nivel. La automatización también debería ser un objetivo para la ciberseguridad .
Afortunadamente, el aumento de las interfaces de programación de aplicaciones (API) y la capacidad de automatizar las operaciones de seguridad —como los análisis de seguridad de las aplicaciones, las evaluaciones de vulnerabilidades del sistema y de la configuración de , así como el aprovisionamiento de usuarios— lo hacen posible.
«Las empresas deben plantearse la realización de pruebas y validaciones de seguridad automatizadas y continuas», afirma Crawford.
Ellis está de acuerdo y añade: «Hoy en día, la seguridad se basa en gran medida en la capacidad de automatizar». Debe automatizar los procesos para dejar de dedicar tiempo a tareas repetitivas. «Si aún no lo está haciendo, va con retraso». Para adelantarse a los problemas, o al menos ponerse al día, aconseja a los equipos de seguridad y tecnología que utilicen API modernas y capacidades de integración para supervisar las configuraciones de red en busca de problemas de seguridad. «Hay que encontrar la forma de que las integraciones resulten económicas y sencillas, de modo que se puedan supervisar con facilidad», afirma.
Mantenga una buena higiene
Cuando los sistemas se implementan con rapidez, también es necesario adoptar rápidamente las medidas básicas de seguridad. Esto significa que los sistemas deben estar protegidos con parches y actualizados, que las configuraciones del sistema estén correctamente establecidas, que los terminales y las redes se sometan a análisis para detectar amenazas y malware, que se realicen copias de seguridad de los datos y los sistemas, y que se desactiven los servicios innecesarios, entre muchos otros aspectos esenciales para el estado de seguridad.
«Es necesario contar con una higiene básica para lograr la agilidad del sistema, ya que, si no se dispone de esa higiene básica, resulta difícil poner en práctica capacidades más sofisticadas durante una nueva iniciativa o transformación», afirma Johnson, de Campbell.
[Lea también: Higiene cibernética: la gestión proactiva de riesgos comienza aquí]
Crawford está de acuerdo. «Es importante tomar distancia y asegurarse de que se dispone de elementos como un inventario coherente de los activos existentes y de quién es el responsable de mantenerlos y protegerlos a medida que evoluciona la infraestructura tecnológica», afirma.
Centrarse en los datos regulados y de mayor valor
Existe un modelo estadístico que utilizan los banqueros de inversión para cuantificar la magnitud de las posibles pérdidas en una entidad financiera, una cartera o una posición durante un periodo de tiempo concreto. Se denomina «valor en riesgo» (VaR). Para los CISO que evalúan los riesgos de seguridad de su organización, el VaR se ha convertido en una herramienta cada vez más importante.
Los responsables de seguridad deben cuantificar sus riesgos digitales en función del valor de los sistemas y los datos, lo que les facilita la toma de decisiones sobre inversiones en ciberseguridad. El modelo de VaR cibernético « » ( ) analiza la posible pérdida financiera provocada por un incidente de seguridad, su duración y la probabilidad de que se produzca. Esto permite a los CISO analizar los riesgos de ciberseguridad en un contexto empresarial con los principales directivos.
Es fundamental centrarse en los riesgos que realmente importan. Si los equipos de seguridad desean mantenerse al día con los esfuerzos de transformación digital de su organización, deben conocer a fondo su índice de riesgo. De lo contrario, se verán abrumados por lo desconocido.
«Los equipos de seguridad suelen ser demasiado reducidos para abarcar todo lo que surge en una organización en un día cualquiera», afirma Crawford. «Así pues, si intentan protegerlo todo como si se tratara de un secreto de Estado, es probable que no puedan proteger nada adecuadamente durante mucho tiempo».
