En esta entrevista sincera, Chris Hodson, director de seguridad de la información (CISO) de Tanium, se reunió con Anthony Belfiore, director de seguridad (CSO) de Aon y miembro del Consejo de Administración de Tanium, para analizar las repercusiones de la plantilla distribuida en la función de ciberseguridad, la implicación del consejo de administración, la resiliencia empresarial (o la falta de ella) y los presupuestos destinados a la ciberseguridad.
Cambiar el enfoque del riesgo hacia la resiliencia cibernética
Chris Hodson: La primera pregunta se refiere a las ecuaciones de riesgo tradicionales y la implicación del consejo de administración:
Según mi experiencia, los sucesos de alto impacto y baja probabilidad suelen provocar una respuesta del tipo: «Bueno, eso nunca va a suceder, no hace falta que nos preocupemos por eso». Desde el punto de vista del consejo de administración, ¿cree que se está produciendo un cambio hacia una cultura de riesgo profundamente diferente en lo que respecta a las consideraciones de disponibilidad en la planificación ante una pandemia u otros escenarios de gran impacto y baja probabilidad, o es demasiado pronto para afirmarlo?
Anthony Belfiore: Creo que hay un par de cosas. En primer lugar, lo que las empresas están experimentando realmente en estos momentos es que se están dando cuenta de que su negocio no es realmente resiliente, y de que la resiliencia empresarial es probablemente el aspecto más crucial para su empresa.
En segundo lugar, considero que las empresas se centrarán en todo tipo de aspectos, desde el teletrabajo y las videoconferencias hasta la seguridad propiamente dicha, las pruebas de continuidad y el seguimiento de la recuperación ante desastres (DR).
En tercer lugar, las empresas van a reevaluar sus procesos empresariales fundamentales y las tecnologías que los sustentan. En los próximos dos o tres meses van a surgir muchos problemas a raíz de ello, y creo que muchas empresas empezarán a darse cuenta de que, en realidad, no sabían hasta qué punto era deficiente su nivel de seguridad. El mero hecho de que su empresa esté protegida desde el punto de vista de la ciberseguridad y cumpla con las normas COBIT, NIST o ISO no indica en absoluto si es o no resiliente ante los ciberataques ni si será capaz de recuperarse una vez que reciba un golpe.
Yo diría que se va a producir un cambio enorme hacia un enfoque centrado en la resiliencia empresarial, los procesos empresariales fundamentales, su funcionamiento, así como en las personas, los procesos y las tecnologías que respaldan esos esfuerzos. Se va a producir un aumento en el seguimiento, la priorización, la documentación, la recopilación y el registro de los protocolos, y las visualizaciones de los flujos de trabajo relacionados con la continuidad del negocio y la recuperación ante desastres van a cobrar gran importancia.
La resiliencia cibernética es un subconjunto de la resiliencia empresarial, y la ciberseguridad es, a su vez, un subconjunto de esta última. Es jerárquico. La resiliencia general de su empresa se compone de la ciberseguridad, el capital humano, las políticas y los procedimientos.
Dar prioridad a la visibilidad
Hodson: Anthony, esto me lleva a mi segunda pregunta, relativa al uso indebido del concepto de continuidad del negocio. Muchos equipos de TI «lo entienden» desde el punto de vista técnico —son capaces de realizar una conmutación por error de la infraestructura de servidores del centro de datos 1 al centro de datos 2 —, pero no comprenden los servicios, las aplicaciones y los procesos de los que el sistema forma parte intrínseca. ¿Cómo cree que va a evolucionar la planificación integral de la continuidad?
Belfiore: Se trata de la contextualización, y ahí es donde Tanium puede resultar de utilidad. Estos procesos empresariales se ejecutan en infraestructuras críticas y ecosistemas de aplicaciones. Lo más importante es ser capaz de trazar esa línea, y resulta fundamental poder disponer de información sobre el rendimiento, el estado de funcionamiento, la calidad de los servicios y la seguridad de los datos.
Es como adoptar un enfoque basado en la arquitectura empresarial para comprender sus procesos y servicios empresariales, así como los servicios de aplicaciones y la infraestructura. Se descompone a lo largo de la pila y, a continuación, se proporciona visibilidad tanto hacia arriba como hacia abajo de la pila. Entonces podrá gestionarlo. Ahora mismo no puede ocuparse de ello.
La necesidad de superar el reto que plantea la pandemia
Hodson: Esto me lleva al siguiente tema relacionado con la situación de la pandemia: la priorización de proyectos. Parece que se están dejando de lado las estrategias en favor de cualquier aspecto relacionado con la disponibilidad, lo que agrava los conflictos ya existentes en materia de prioridades y presupuestos. Según los comentarios anecdóticos que he recibido de los CISO, aquellos que dependen del director de riesgos, del departamento jurídico o directamente de la alta dirección siguen siendo capaces de exponer con claridad las prioridades en materia de seguridad y los problemas informáticos generales e inmediatos. Se ha solicitado a quienes dependen de los directores de sistemas de información (CIO) que reevalúen toda la financiación inmediata y prevista. ¿Qué opina usted al respecto?
Belfiore: Es una situación complicada. Se le exige que concilie las necesidades de seguridad física, continuidad del negocio y recuperación ante desastres, así como las de front office, middle office y operaciones, todo ello con unos recursos limitados en cuanto a financiación, tiempo, ciclos y personal. Y eso se limita al dinero y a la capacidad de realizar el trabajo. Es el impacto más básico e intuitivo, pero ahora tampoco dispone de la plantilla ni de la capacidad con las que contaba antes. No puede trabajar con la misma rapidez ni con la misma agilidad. Y la gente está realmente estresada y preocupada. Esa es, sin duda, la mayor fuente de estrés a la que me enfrento en estos momentos.
El genio ya ha salido de la lámpara
Hodson: Centrémonos ahora en las políticas y normas de seguridad. Muchas organizaciones cuentan con recursos limitados y se ven obligadas a adoptar una política de «traiga su propio dispositivo» (BYOD). En muchos casos, eso significa que también tienen que modificar sus políticas y normas de seguridad para garantizar la continuidad de la actividad empresarial y mantener el negocio en marcha. Se trata de un cambio técnico sencillo, pero resultará extremadamente difícil volver a meter al genio en la lámpara una vez que haya terminado la pandemia. ¿Está de acuerdo?
Belfiore: Sí, la gente se está acostumbrando a trabajar desde casa. El secreto ya se ha desvelado. No necesitamos todo este espacio de oficinas. No necesitamos todas estas cosas para ser eficaces. Esta pandemia, en cierto modo, lo demuestra. Esto se va a poner realmente interesante.
Hodson: Supongamos que todo el mundo está trabajando desde casa, incluidos los equipos del Centro de Operaciones de Seguridad, los equipos de respuesta a incidentes y los ingenieros. Han transcurrido seis meses y no ha ocurrido nada realmente negativo. ¿Cómo cree que los responsables de seguridad, que contaban con presupuestos enormes y afirmaban que necesitaban todos esos controles, van a volver a convencer a los consejos de administración, que sin duda preguntarán: «¿Para qué necesito todo esto y para qué necesitamos a toda esta gente si no ha pasado nada?»
Belfiore: Creo que los consejos de administración se están dando cuenta de lo eficaz que puede resultar el teletrabajo y que eso justifica sin duda alguna la inversión en ciberseguridad. Esta es la nueva normalidad. No necesitamos toda esta infraestructura ni todo ese personal para trabajar como solíamos hacerlo en el pasado. Creo que ese es el «despertar», la revolución disruptiva en el ámbito de las tecnologías de la información y la ciberseguridad.
Un nuevo enfoque en la continuidad del negocio
Hodson: Tanium se considera un servicio empresarial esencial para nuestros clientes. Ofrecemos servicios de operaciones de TI, gestión de riesgos y ciberseguridad que deben seguir funcionando en un contexto de teletrabajo. Como consecuencia, estoy recibiendo numerosos cuestionarios sobre la planificación de la continuidad del negocio por parte de los equipos de cumplimiento normativo y de gestión de riesgos (de los clientes). Algunos clientes adoptan un enfoque prescriptivo en materia de diligencia debida, acorde con la norma ISO 22301/27001, mientras que otros recurren a un enfoque más propio de la empresa. ¿Qué opina usted al respecto?
Belfiore: A nivel interno, nunca hemos considerado que un único estándar haya resultado eficaz a lo largo de la historia, por lo que, de hecho, hemos tomado todos los estándares y hemos creado la mejor solución de su clase. Nuestro estándar actual es una combinación de prácticamente todos los demás que existen.
Lo que muchos de nuestros clientes están haciendo en estos momentos es colaborar para actuar de forma conjunta en lo que respecta a la evaluación de los proveedores externos de supervisión y de sus propios procesos internos. Sus políticas y marcos basados en el riesgo suelen proceder de las «Big 4 », que llevan a cabo un ejercicio a gran escala en el que analizan todas las normas existentes, su actividad empresarial y todos los entornos normativos a los que están sujetas, para elaborar una síntesis de todo ello. Los sectores de los servicios financieros y, en particular, el sanitario, suelen actuar así debido a que están muy regulados. El Gobierno tiende a establecer normas propias debido a la gran sensibilidad que existe ante la normativa. Si se fijan en los demás sectores, en realidad se ciñen a lo básico y optan por la norma ISO o el NIST. Depende realmente del sector al que se refiera y de lo que decidan hacer.
Nuestro enfoque combina las normas de comercialización que rigen nuestra forma de aceptar a las empresas desde el punto de vista de los seguros cibernéticos, pero también incorporamos todas las mejores prácticas de la ISO, el NIST y todas las jurisdicciones en las que operamos, como la MAS en Singapur, la HKMA en Hong Kong, la FSA en Japón y la FCA en el Reino Unido. Hemos analizado todas sus normas fundamentales y nos hemos asegurado de incorporar un nivel mínimo de garantía en nuestra norma operativa actual.
Hodson: Es una observación acertada sobre los sectores verticales. Tengo otra pregunta: siempre me ha costado mucho conseguir que los altos directivos se impliquen en la planificación de la continuidad del negocio, ya sea en la gestión de crisis o en los simulacros de mesa. ¿Cree usted que la pandemia mundial va a cambiar eso?
Belfiore: Por supuesto. Creo que vamos a implantar simulacros de mesa, y que serán obligatorios por normativa. No hay forma de que salgamos de esta sin una transformación radical en la forma en que planificamos la continuidad del negocio.
¿Le interesa ver cómo funciona Tanium? Programe una demostración e individual o hable con nuestros expertos en Tanium en nuestros próximos eventos: .
