En una conversación
Ante una filtración masiva de datos, la situación actual de una empresa —y tal vez incluso su propia existencia— puede desaparecer en cuestión de segundos. Orion Hindawi, cofundador y director técnico de Tanium, y Brad Peterson, vicepresidente ejecutivo y director de sistemas de información de Nasdaq, comprenden mejor que nadie que innumerables empresas se encuentran al borde de una catástrofe que se podría haber evitado.
Orion y Brad se reunieron recientemente para debatir cuáles son, en su opinión, las seis preguntas más importantes que deberían plantearse los directores. A continuación se presenta un resumen de su conversación.
Pregunta n.º 1: ¿A cuánto ascienden sus gastos en seguridad de la información? ¿Qué porcentaje de su gasto en herramientas de ciberseguridad se destina a proveedores tradicionales y qué porcentaje a tecnologías más recientes?
Brad: . En primer lugar, puedo responder a la pregunta sobre el Nasdaq y, a continuación, exponer mis reflexiones sobre el tema en general, basadas en mis conversaciones con otros directores de informática (CIO) y directores técnicos (CTO).
En nuestro caso, el gasto en seguridad de la información ha seguido aumentando durante los últimos tres años, mientras que nuestro gasto total en tecnología se ha mantenido estable. Este ámbito y las nuevas tecnologías de datos han sido nuestros sectores de crecimiento. En lo que respecta a los proveedores tradicionales frente a las tecnologías más recientes, hemos incorporado una serie de nuevas tecnologías, ya que la inversión y la innovación en soluciones de seguridad de la información han dado lugar a una impresionante lista de nuevos participantes en el mercado. Sigue habiendo una fuerte inversión y un nivel significativo de innovación, pero el enfoque de las herramientas ha pasado de la protección —que se consideraba insuficiente— a unas capacidades de detección y corrección más rápidas. Esto se ha convertido en una prioridad, tanto para ellos como para nosotros.
El indicador sigue al alza en cuanto al gasto. Los directores generales y los consejos de administración deben transmitir a sus responsables tecnológicos la idea y la impresión de que tienen carta blanca: «¿A qué pueden renunciar para hacer hueco en el presupuesto?». Era una tendencia en el pasado: que los nuevos proveedores le permitieran reducir sus costes y que los costes tecnológicos pudieran disminuir. No es así en el caso de la seguridad de la información. Hay muchas más posibilidades, pero el gasto total está aumentando.
Orion: Muchos de nuestros clientes cuentan con equipos de ciberseguridad de primer nivel; son conscientes de que se enfrentan a nuevas amenazas —como aquellas que llevan uno o dos meses en circulación y que los antivirus no pueden gestionar en absoluto—. No se puede hacer frente a una amenaza de hace dos meses con una tecnología de hace 20 años.
Pregunta n.º 2: ¿Ha cuantificado el coste que supondría la pérdida de datos o de propiedad intelectual a causa de un ciberataque? ¿Y lo ha comparado con su gasto en ciberseguridad?
Brad: En la actualidad existen varios informes que cuantifican el coste medio de un incidente de ciberdelincuencia. Por ejemplo, el último informe encargado por IBM situó el coste medio consolidado de 2015 en 3.8 millones de dólares. Existen algunos bufetes de abogados especializados en prestar apoyo a consejos de administración y empresas que han sufrido filtraciones, y consideran que la cifra es superior a la indicada en el informe de IBM. Por ejemplo, una ley indicaba que la media ascendía a 7 millones de dólares. Creo que conocer los costes desde el principio y mantener un diálogo con su consejo de administración ayudará a todos a evaluar la combinación adecuada entre la inversión en la función de seguridad de la información, la cobertura de seguro necesaria y el riesgo empresarial que la empresa está dispuesta a asumir. Los costes a largo plazo para la marca o la reputación derivados de una filtración parecen ser los más difíciles de cuantificar y modelizar.
Orion: En el caso de las megafugas de datos, el coste total, entre los gastos directos y el deterioro de la imagen de marca, puede ascender a miles de millones. La cuantificación se realiza caso por caso y mediante un análisis riguroso desde el problema hasta la solución —depende del tipo de negocio, las ventas, los datos, etc.—.
Pregunta n.º 3: ¿Cómo evalúa el riesgo de la empresa? ¿Sabe cuántos dispositivos finales hay en la red y cómo los controla?
Orion: Resulta sorprendente la cantidad de directores de sistemas de información que no saben responder a la pregunta: «¿Cuántos dispositivos finales tiene?». Si no sabe lo que tiene, no tiene la más mínima posibilidad de protegerlo —y es deber del consejo de administración exigir una respuesta—.
Brad: Orion tiene razón, y además de conocer el número de terminales, es necesario disponer de las herramientas adecuadas para poder comprender lo que ocurre en dichos terminales. ¿Qué versiones de software están instaladas?, ¿qué cambios se están realizando?, ¿qué se está añadiendo? Por lo tanto, para evaluar el riesgo, el consejo de administración debe asegurarse de que el equipo directivo disponga de las herramientas y del personal necesarios para identificar y supervisar el conjunto dinámico de criterios de evaluación de la empresa. El último aspecto que hay que evaluar es la capacidad del equipo directivo para responder ante un riesgo emergente para el medio ambiente. ¿Con qué rapidez se puede solucionar el problema una vez que se conoce una vulnerabilidad?
Pregunta n.º 4: ¿Cuál es el plan de respuesta de la empresa en caso de una pérdida importante de datos?
Orion: Los mejores equipos de ciberseguridad están desarrollando la capacidad de responder a las amenazas con recursos propios, en lugar de recurrir a un socio externo. Cuando recurre a un tercero, en esencia se está eximiendo de responsabilidad. Y, en caso de una filtración a gran escala, no tendrá control sobre los recursos si recurre a personal externo. La capacidad de reacción interna es, en la actualidad, una competencia fundamental, y no un simple valor añadido.
Brad: Gestionamos la respuesta principalmente con recursos internos. Considero que los proveedores externos constituyen un recurso válido a la hora de adquirir una empresa: se necesita ayuda para comprender rápidamente los riesgos que conlleva una posible adquisición. De lo contrario, debe tener cuidado de no confiar en exceso en personas ajenas a su entorno, ya que podría pensar que está mejor protegido de lo que realmente está. Nasdaq cuenta con un centro de operaciones de seguridad « 24/7», ubicado en las mismas instalaciones que el centro de operaciones de red global.
Pregunta n.º 5: ¿Cuál es nuestra situación en materia de seguros? ¿Contamos con cobertura frente a las pérdidas derivadas de un ciberataque? ¿Qué anchura tiene?
Orion: Hace tres años, nadie contaba con un seguro cibernético.
Brad: Considero que la contratación de un seguro cibernético es una iniciativa que merece la pena que la dirección lleve a cabo y sobre la que debe informar al consejo de administración. Es una medida proactiva que fomenta un diálogo constructivo sobre los posibles costes de una violación de la seguridad y obliga a la empresa a comprender los tipos específicos de riesgos a los que se expone en caso de que se produzca dicha violación. Al igual que con cualquier tipo de seguro, el importe de la franquicia y las limitaciones de la cobertura pueden poner de manifiesto mejores formas de utilizar los fondos, como la mejora de las herramientas de ciberseguridad y la dotación de personal. Independientemente de si la solución pasa por contratar más seguros o por invertir más en la función de seguridad de la información, la evaluación del nivel de protección de los seguros debe ser un proceso anual recurrente.
Orion: He hablado con numerosos directores generales de bancos que son conscientes de que la ciberseguridad es su principal amenaza empresarial. Puede suponer la ruina de una empresa de servicios financieros, y no es difícil imaginar que eso ocurra. Existe una razón existencial de gran importancia por la que los directores generales están preocupados.
No existe una solución perfecta, pero sí hay soluciones mejores. Puede que resulten costosas, pero la mayoría de las empresas han invertido menos de lo necesario y ahora se ven obligadas a ponerse al día. Todos sabemos lo que se supone que debemos hacer. Activos no gestionados, inventario… Se suponía que debíamos haber estado haciendo esto todo este tiempo.
Pregunta n.º 6: ¿Es capaz nuestro equipo de seguridad de obtener toda la información de que necesita de terceros? ¿Pueden utilizar esos datos de manera eficaz para gestionar o mitigar las amenazas?
Brad: Somos únicos porque estamos sujetos a regulación y se nos considera una infraestructura crítica, por lo que Nasdaq colabora muy estrechamente con socios gubernamentales como el Departamento de Seguridad Nacional, el FBI y otras agencias gubernamentales. Asimismo, estamos suscritos a los principales servicios comerciales de notificación de vulnerabilidades y amenazas para completar nuestra información.
Orion: Hay dos aspectos muy importantes en esta cuestión: ¿dispone de las relaciones necesarias para obtener datos del Gobierno y de las fuentes de información sobre amenazas pertinentes? Por otra parte, y no menos importante, ¿dispone de las herramientas necesarias para utilizar esos datos de manera eficiente?
¿Le interesa ver cómo funciona Tanium? Concierte una demostración e individual o participe en nuestro seminario web semanal. Hable con nuestros expertos en Tanium en nuestros próximos eventos « » ().
