Cuando se produce un accidente de un avión comercial, los investigadores de aviación federales acuden rápidamente al lugar de los hechos e intentan averiguar cómo y por qué ocurrió. Sus conclusiones tienen por objeto informar al público y al sector aéreo, así como evitar accidentes similares, ya sean consecuencia de una intención delictiva, de un error humano o de un fallo técnico.
Sin embargo, en lo que respecta a los ciberataques, no existe ningún organismo de este tipo que lleve a cabo análisis similares y comparta información fundamental. Eso está a punto de cambiar. A raíz del ataque a SolarWinds —en el que los piratas informáticos se infiltraron en unas 300 empresas y nueve organismos federales, con un coste de reparación de unos 100 000 millones de dólares—, la Administración Biden tiene previsto crear una comisión de revisión de incidentes de ciberseguridad.
[Lea también: ¿Qué es la ciberresiliencia?]
En virtud de un decreto ejecutivo de la Agencia de Seguridad de la Información ( ) que se publicará próximamente, los contratistas de software del Gobierno tendrían que notificar sin demora las infracciones cibernéticas a una nueva entidad dependiente del Departamento de Seguridad Nacional. Dicha agencia sería similar a la Junta Nacional de Seguridad en el Transporte (NTSB), que investiga accidentes de aviación civil y de otro tipo y formula recomendaciones en materia de seguridad.
El objetivo de la directiva federal, que se prevé que incluya nuevas normas para cumplir con los estándares de seguridad del software, es ayudar al Gobierno a detectar y responder a los incidentes de ciberseguridad. Asimismo, tiene por objeto promover la seguridad de la cadena de suministro e instar a los contratistas federales a mejorar sus medidas de protección.
No obstante, se prevé que los nuevos requisitos para los contratistas federales tengan un impacto mucho más amplio. Los expertos en seguridad afirman que estas medidas se extenderán por las salas de juntas y las oficinas de la dirección de las empresas, a medida que estas —tanto grandes como pequeñas— traten de adoptar nuevas medidas de seguridad, reducir el riesgo, evitar costosas interrupciones y ser más transparentes para conseguir contratos y ganarse la confianza de los clientes.
«Es probable que el enfoque del Gobierno impulse al sector privado a adoptar requisitos de información similares», afirma Chris Hallenbeck , de , director de seguridad de la información (CISO) para las Américas en Tanium. «¿Qué empresa querría ser la menos transparente?»
De hecho, en la actualidad, los CISO están adoptando un enfoque proactivo para fortalecer sus empresas y sus sectores. Se están centrando en tres ámbitos fundamentales: controles más estrictos sobre el desarrollo de software, una mayor visibilidad en todas sus redes empresariales y una mejora en el intercambio de información.
¿Qué incluye el software « » de « »?
Al igual que la lista de ingredientes que figura en el envase de un producto alimenticio, la lista de materiales de software (SBOM, por sus siglas en inglés) de un proveedor de software debe enumerar de forma clara y precisa cada componente e indicar su procedencia. Se trata de un aspecto fundamental de la gestión de la cadena de suministro. Ayuda al proveedor a asegurarse de que los componentes de software estén actualizados y permite al comprador realizar análisis de vulnerabilidades para evaluar los riesgos del software.
«. Es demasiado fácil integrar software procedente de fuentes desconocidas y posiblemente maliciosas.»Frank Dickson, vicepresidente de programas de IDC
«Si le pido a un proveedor de software que elabore una SBOM y parece que no es capaz de hacerlo, eso me llevará a cuestionar sus prácticas de desarrollo de software», afirmó Sounil Yu, director de seguridad de la información (CISO) y responsable de investigación de JupiterOne. «El mero hecho de saber que pueden generar una SBOM con facilidad me da la confianza de que sus prácticas de desarrollo de software son lo suficientemente modernas o maduras como para hacer frente a una amplia gama de problemas habituales relacionados con el software vulnerable o mal mantenido».
A medida que las empresas utilizan repositorios de código como los que ofrece la plataforma de colaboración en software GitHub, la verificación del origen y la veracidad del código ha cobrado mayor importancia. «Resulta demasiado fácil integrar software procedente de fuentes desconocidas y, posiblemente, maliciosas», afirma Frank Dickson , de , vicepresidente de programas encargado del ámbito de la ciberseguridad en la empresa de estudios de mercado y consultoría IDC.
Si bien las organizaciones tendrán una idea más clara del software que conforma su infraestructura tecnológica gracias a una SBOM más detallada, esos detalles también podrían suponer «una avalancha de nuevos datos y ruido, y no toda esa información será útil», afirma David Wolpoff, cofundador y director de tecnología de Randori, una empresa de seguridad que lleva a cabo ataques simulados para ayudar a los clientes a detectar vulnerabilidades.
[Lea también: ¿Qué es la gestión de parches?]
Si aún no lo han hecho, los contratistas del Gobierno deben prepararse para la complejidad que los requisitos más estrictos en materia de SBOM supondrán para el proceso de contratación pública federal. Sin embargo, en última instancia, deberían beneficiarse de un proceso más ágil, afirma Window Snyder, antigua directora de seguridad de la información (CISO) de Square, Inc., y fundadora y directora ejecutiva de la empresa de seguridad de redes informáticas Thistle Technologies.
«Una SBOM exigida por el Gobierno “podría resultar muy útil al detallar qué hay que hacer en materia de gestión de parches y vulnerabilidades”», afirma. «Ayudará a los equipos de seguridad a abordar aquellos aspectos que, aunque no son tan importantes y no aparecen en la prensa especializada en tecnología, desean abordar de todos modos». «Si funciona correctamente, gracias a la [automatización], puede reducir de forma cuantificable la gestión de parches de 30 días a 15 días».
Solo se gestiona lo que se ve
Según las normas previstas en el próximo decreto ejecutivo, los contratistas de software del Gobierno deberán notificar sin demora a este último si detectan una violación de la seguridad u otro incidente de seguridad. Sin embargo, para cumplir ese requisito, los proveedores tendrán que mejorar la visibilidad en todas sus redes y activos.
Como reza el dicho del sector: «No se puede gestionar lo que no se ve».
A nivel operativo, la visibilidad consiste en obtener una visión global de todos los activos informáticos y de datos que se encuentran en el entorno de TI de una empresa. La visibilidad también implica conocer qué terminales o dispositivos son vulnerables en un momento determinado, de modo que el equipo de seguridad pueda tomar decisiones fundamentadas sobre las medidas correctivas. Gracias a una mayor visibilidad, las organizaciones pueden gestionar con mayor eficacia una violación de la seguridad y mantener la confianza en la calidad de los datos que facilitan en sus informes reglamentarios.
«Lo que debemos hacer es reforzar la seguridad de una organización para que, en primer lugar, sea menos probable que se produzca una filtración.»Chris Hallenbeck, director de seguridad de la información (CISO) para América en Tanium
Sin embargo, lograr una mayor visibilidad sigue siendo un reto, sobre todo después de que la pandemia haya ampliado la superficie de ataque al incrementar el número de terminales y activos que deben proteger. Una encuesta de Tanium, titulada « 2020 » , realizada a 750 responsables de la toma de decisiones en el ámbito de las tecnologías de la información, reveló que casi todos —alrededor del 94 %— han detectado dispositivos finales que hasta entonces se desconocían, una sorprendente falta de visibilidad que podría dar lugar a incumplimientos normativos.
A Hallenbeck, de Tanium, le gustaría que el nuevo decreto ejecutivo se centrara más en mejorar la seguridad antes de que se produzca un ataque, en lugar de hacerlo a posteriori. «Lo que debemos hacer es reforzar la seguridad de una organización para que, en primer lugar, sea menos probable que se produzca una brecha de seguridad», afirmó, y añadió que, cuando las empresas tienen visibilidad sobre sus entornos informáticos, pueden actuar de forma más proactiva y ser más productivas.
Para lograr una buena visibilidad, los equipos de seguridad deben elaborar un modelo de amenazas que refleje el riesgo de exposición de su organización. Dicho modelo debe corresponderse con los activos de alto valor y las funciones empresariales críticas. Además, los equipos de seguridad y de TI deben poder responder a preguntas sobre dónde se almacenan los datos, qué sistemas operativos se utilizan y si dichos sistemas emplean servicios en la nube o servidores e infraestructura de red locales. Sin esa información, una empresa no dispondrá de la visibilidad necesaria para tomar decisiones acertadas en materia de dotación de personal y equipamiento, lo que la hará más vulnerable a sufrir una filtración de datos.
«Una vez que la empresa comprende sus flujos de trabajo», afirma Chris Morales, director de seguridad de la información (CISO) de Netenrich, proveedor de servicios de seguridad, redes y operaciones de TI, «puede ofrecer visibilidad para garantizar que se supervise todo el flujo de trabajo en busca de los tipos de comportamientos de los atacantes que puedan producirse o que, de hecho, se produzcan».
Prepárese para compartir
Se prevé que el plazo para notificar al Gobierno una violación de la seguridad sea de 72 horas, de forma muy similar a lo establecido en el Reglamento General de Protección de Datos (RGPD) de la Unión Europea . No obstante, Morales considera que el sector del software podría y debería actuar «en cuestión de minutos» ante amenazas críticas de gran repercusión.
«La seguridad es una carrera entre el defensor y el atacante», afirma, y añade que la rapidez de respuesta es «el aspecto más crucial a la hora de contener una brecha de seguridad». El defensor debe detectar la amenaza y reaccionar antes de que el atacante alcance su objetivo. «Una notificación tardía», añade, «solo frena a los buenos».
Aunque la notificación se realice correctamente y con rapidez, el Gobierno se enfrenta a obstáculos a la hora de intentar crear un equivalente cibernético de la NTSB. Para ello, debe convencer a las empresas privadas, que tienen en juego una gran cantidad de propiedad intelectual, de que compartan información.
Aunque la Agencia Federal de Ciberseguridad y Seguridad de las Infraestructuras ( ) (CISA) se ha convertido en una firme defensora tanto del sector privado como del público, las empresas se han quejado de que el intercambio de información es unidireccional, un reto que el Gobierno debe superar creando un flujo bidireccional.
«La relación es buena, pero la transparencia también es importante», afirmó Joseph Carson, director de seguridad de la información (CISO) asesor de ThycoticCentrify, empresa que ofrece soluciones de gestión del acceso privilegiado. «La CISA ha asumido un papel más activo y proactivo, y eso es positivo, ya que es una señal de que la ciberseguridad funciona mejor cuando se pueden prevenir los ataques, en lugar de tener que intervenir siempre a posteriori para solucionar los problemas».
Entre las mejores prácticas que recomiendan los expertos en seguridad para compartir información sobre incidentes se encuentran:
- Considere cada incidente como una oportunidad para mejorar.
- Evite las culpas y céntrese en las deficiencias sistémicas y en las causas fundamentales.
- Fomente y recompense el intercambio de análisis posteriores eficaces.
Según Sounil Yu, de JupiterOne, la realización de análisis posteriores a los incidentes sin atribuir culpas en todo tipo de incidentes prepara a una organización para gestionar incidentes de seguridad críticos. «La seguridad no es más que un tipo de incidente», afirma. «Si una organización adopta las prácticas de los análisis retrospectivos sin culpar a nadie, es probable que esté bien preparada para cumplir con cualquier requisito que se derive de la [orden ejecutiva]».
Los análisis posteriores a los incidentes, en los que no se culpa a nadie, garantizan además que no se olviden las lecciones aprendidas de un incidente. Además, ofrecen la oportunidad de incorporar esas lecciones en futuros diseños de software. «Es una gran inversión para la supervivencia de la empresa», afirma Yu. Como consecuencia, los análisis a posteriori imparciales preparan a las organizaciones de hoy para el futuro de una agencia de investigación cibernética al estilo de la NTSB. Una agencia de este tipo, dedicada a realizar análisis posteriores a los incidentes de forma rigurosa y centrada exclusivamente en esclarecer a fondo lo ocurrido durante una brecha de seguridad grave, podría mejorar la seguridad tanto dentro de las organizaciones como a lo largo de toda la cadena de suministro.
