Este año se cumple un cuarto de siglo de Black Hat, la conferencia sobre seguridad de la información que reúne a un variopinto grupo de hackers, responsables de seguridad de la información (CISO), líderes gubernamentales y gurús de la tecnología.
Black Hat runs August 6-11 in Las Vegas. Fundado por el consultor de seguridad Jeff Moss en « 1997—before iPhones», «Twitter» o el « » original de Matrix, el evento ha ido creciendo en tamaño y reputación, pasando de ser una reunión puntual a convertirse en un simposio de varios días que causa gran impacto y se celebra en tres continentes.
A diferencia del viejo dicho «Lo que pasa en Las Vegas, se queda en Las Vegas», puede estar seguro de que lo que ocurra en Black Hat dará mucho que hablar. Como aquella vez en el curso 2010 , cuando el difunto hacker e investigador de seguridad neozelandés Barnaby Jack demostró lo fácil que resultaba hacer que un cajero automático soltara dinero en efectivo.
O en 2012, cuando el informático y profesor de ciberseguridad moldavo Andrei Costin puso de manifiesto unas fallas de seguridad en el sistema de control del tráfico aéreo de la FAA que le permitieron revelar la ubicación del Air Force One. O en 2016, cuando los investigadores de seguridad piratearon un Jeep Cherokee conectado a Internet con , mientras el reportero de Wired , Andy Greenberg, conducía el vehículo.
Todo en directo, en Black Hat.
¿Qué nos deparará este año? Endpoint ha analizado el calendario de Black Hat y ha seleccionado cinco eventos que no querrá perderse. Considérelos de lectura obligatoria para los directores de seguridad de la información (CISO), sus equipos de seguridad y cualquier directivo empresarial que se tome en serio la ciberseguridad.
1. Primeros planos y fotos espontáneas
Cuándo: Martes, August 9, 8 a.m. a 6 p.m.
Quiénes: Kirsten Bay, directora ejecutiva de Cysurance; Joanna Burkey, directora de seguridad de la información (CISO) de HP; y un grupo asesor formado por destacados directores de seguridad de la información (CISO) de Cisco y Salesforce, entre otros.
Este evento, de jornada completa y al que solo se puede asistir previa autorización, ofrece debates confidenciales y la oportunidad de establecer contactos con algunos de los principales responsables de seguridad de empresas y organismos públicos del país. Entre las charlas sinceras de expertos del sector destaca «Por qué la ciberseguridad es un pilar fundamental de los criterios ESG: qué significa esto para usted como CISO», impartida por Burkey, un veterano de la ciberseguridad que ha trabajado tanto en el ámbito del desarrollo de productos como en el de la aplicación práctica.
[Lea también: El ransomware está sacudiendo al sector de los seguros cibernéticos]
En «Seguros cibernéticos: la situación actual y cómo influir en el futuro», Bay aporta más de 25 años de experiencia en inteligencia de riesgos, gestión de la información y pólizas cibernéticas. Analiza la situación del seguro cibernético, un sector que conoce bien, ya que ha contribuido a impulsar el desarrollo de una cobertura integral y asequible para las pequeñas y medianas empresas.
«Las dificultades a las que sometemos a las personas para que contraten productos de seguro cibernético son ridículas», afirmó en un reciente Spot On Insurance podcast.
2. A favor del cambio
Cuándo: Miércoles, August 10, 1:30 p.m. a 2:10 p.m.
Quiénes: Robert Silvers, subsecretario de estrategia, política y planificación del Departamento de Seguridad Nacional (DHS); Heather Adkins, vicepresidenta de ingeniería de seguridad de Google; Jeff Moss, fundador de Black Hat y DEF CON, y antiguo director de seguridad y vicepresidente de ICANN.
La tan esperada Junta de Revisión de Seguridad Cibernética (CSRB), que recomienda las mejores prácticas en materia de ciberseguridad a los organismos públicos y a las empresas privadas de Estados Unidos, ha concluido recientemente sus primeras deliberaciones sobre la vulnerabilidad Log4j . El fundador de Black Hat, Moss, moderará un debate en el que participarán Silvers y Adkins —presidente y vicepresidente del CSRB, respectivamente— sobre las principales conclusiones de su informe inaugural y las formas en que, en su opinión, el CSRB cambiará el panorama.
Silvers fue nombrado subsecretario hace un año y tiene la difícil tarea de intentar coordinar el extenso Departamento de Seguridad Nacional (DHS) al tiempo que dirige la nueva junta. Apoya una controvertida ley que obliga a las organizaciones a notificar los incidentes cibernéticos. «No podemos abordar un problema de forma adecuada —declaró ante el Congreso— si no comprendemos su magnitud y su alcance».
3. La detección de amenazas, ahora más sencilla
Cuándo: Miércoles, August 10, 2:30 p.m. a 3 p.m.
Quiénes: John Dwyer, director de investigación; Neil Wyler, responsable global de evaluaciones de amenazas activas; Sameer Koranne, responsable global de OT: todos ellos de IBM Security X-Force
Se prevé que los ataques de ransomware aumenten en rapidez y eficacia: esa es la conclusión de un informe publicado en junio en el que se analizan los ataques de ransomware a empresas, elaborado por el equipo Security X-Force de IBM. El informe reveló que la duración media de un ataque —el tiempo transcurrido entre el acceso inicial y la ejecución del ransomware— se redujo en un 94.3 % entre 2019 y 2021.
Dwyer, Wylie y Koranne analizarán su nuevo marco de trabajo destinado a ayudar a las organizaciones a crear un equipo de detección proactiva de amenazas, así como las formas de mejorar las operaciones de detección proactiva de amenazas en los programas ya existentes. Tras haber evaluado programas en empresas de la lista «Fortune 100 » y organismos públicos, comprenden el dilema al que se enfrentan los responsables de las empresas: deberían dedicarse a la búsqueda proactiva de amenazas, pero a menudo son incapaces de explicar con claridad en qué consiste exactamente dicha actividad.
4. Un comité de revisión cibernética propio
¿Qué es «»? ¿Nadie tiene derecho a sus propios hechos, salvo en materia de ciberseguridad? Presentación de un manual de investigación para elaborar una narrativa común sobre los principales incidentes cibernéticos
Cuándo: Miércoles, August 10, 3:20 p.m. a 4 p.m.
Quiénes: Victoria Ontiveros, investigadora de la Harvard Kennedy School; Tarah Wheeler, directora ejecutiva de Red Queen Dynamics.
Mientras la CSRB investiga incidentes cibernéticos generalizados en diversas organizaciones, estas están empezando a darse cuenta de la conveniencia de contar con sus propias comisiones de revisión. Pero, ¿cómo se crea uno?
En junio, Ontiveros y Wheeler publicaron una guía titulada « » (), redactada conjuntamente con el experto en modelización de amenazas Adam Shostack, sobre las formas en que las organizaciones, tanto grandes como pequeñas —incluidos los gobiernos estatales y locales—, pueden crear mejores mecanismos de investigación. Guiarán a los responsables a lo largo del proceso de creación de una comisión de investigación de incidentes cibernéticos, sopesando las ventajas y desventajas y evaluando el impacto de las decisiones a lo largo del tiempo.
5. El ciberataque previsible
«¿Qué e?»: «Antes de Stuxnet, después de Stuxnet: todo ha cambiado, nada ha cambiado»:
Cuándo: Jueves, August 11, 9 a.m. a 10 a.m.
Quién: Kim Zetter, periodista de investigación
A pesar de los miles de millones que las empresas destinan a la seguridad y de la mayor atención que el Gobierno presta a las amenazas, los responsables siguen sorprendidos cuando los ciberdelincuentes recurren a nuevas formas de ataque, por muy predecibles que sean.
La veterana periodista Zetter, que ha escrito sobre ciberseguridad y seguridad nacional para , Wired, , The New York Times y , así como para The Washington Post, analiza esta falta de imaginación en su ponencia principal, en la que examina las lecciones sobre ciberseguridad que los líderes han tenido que aprender —y volver a aprender— y las formas en que todos podemos mejorar nuestra capacidad para prever «lo desconocido desconocido».
Zetter es autora de * * (*La cuenta atrás hasta el día cero: *), *Stuxnet* y *El lanzamiento de la primera arma digital del mundo*, y ha publicado noticias exclusivas sobre la vigilancia de la NSA y el FBI, el sabotaje ruso a la red eléctrica de Ucrania y el uso de Ucrania como campo de pruebas para ciberataques. Los últimos ataques de ransomware resultan preocupantes, pero también ofrecen numerosas pistas sobre el futuro de la ciberdelincuencia —siempre y cuando prestemos atención, claro está—.
