Para Andy Ellis, el cargo de director de sistemas de información (CIO) es un «trabajo sin perspectivas».
Ellis lo sabría. Ha trabajado en el ámbito de la seguridad de la información en organizaciones tan diversas como la Fuerza Aérea de los Estados Unidos; contribuyó a convertir a Akamai Technologies en un gigante de Internet; actualmente es socio operativo de YL Ventures, que financia y apoya a empresas dedicadas a la ciberseguridad; y ha sido incluido en el Salón de la Fama de los CSO.
Según este experto en ciberseguridad: «La seguridad estará integrada en todas partes» en un futuro próximo. Por ello, afirma, «el puesto de director de sistemas de información (CIO) dejará de existir como cargo independiente de alto nivel» y se fusionará con la función del director de seguridad de la información (CISO) como una única función profesional.
Esa es solo la opinión de un experto. Sin embargo, una declaración de este tipo sin duda agravará la ya problemática relación entre ambas profesiones y sus respectivos equipos. He aquí el motivo: desde hace años, los ámbitos de las operaciones de TI y la ciberseguridad se encuentran en conflicto.
Aunque ambos tienen la misión de proteger las redes de su organización y los dispositivos finales (que pueden incluir decenas de miles de ordenadores portátiles, ordenadores de sobremesa, tabletas y máquinas virtuales en la nube), el departamento de TI quiere asegurarse de que funcionen sin problemas, mientras que el de seguridad quiere garantizar que todos y cada uno de ellos estén debidamente protegidos.
De esta sencilla dicotomía surgió una rivalidad que puede suponer una amenaza para la ciberseguridad y la salud general de una empresa.
Los directores de sistemas de información (CIO) y , así como los responsables de seguridad de la información (CISO) , tienen «objetivos distintos, y eso puede suponer un gran reto», afirma Duncan Miller, director de seguridad de terminales en Tanium. Lograr que se pongan de acuerdo sobre los indicadores de éxito es uno de los mayores obstáculos a la hora de unificar ambos departamentos.
«A ambos equipos se les evalúa en función de objetivos distintos», afirma Miller. «Su departamento de TI tiene la responsabilidad de garantizar que todo funcione correctamente y esté accesible. Su equipo de seguridad se encarga de garantizar que se utilicen correctamente y de que no sean accesibles para personas que no cuenten con los permisos de acceso adecuados. «Existe un conflicto inherente entre estas funciones y a la hora de garantizar que todos actúen de forma coordinada».
Cómo hacer frente a un panorama de amenazas cada vez más amplio y complejo
Al igual que todo lo demás, la pandemia y el rápido cambio hacia el teletrabajo están modificando esa dinámica. En la actualidad, las plantillas distribuidas —en las que cada empleado dispone de al menos un dispositivo que se conecta a la red corporativa a través de Internet— han agravado los retos tanto para el departamento de TI como para el de seguridad.
«Existe un conflicto inherente entre estas funciones y a la hora de garantizar que las personas actúen de forma coordinada.»Duncan Miller, director de seguridad de dispositivos finales de Tanium
Tres cuartas partes de los más de 3,000 directivos de los ámbitos de la seguridad, los negocios y las tecnologías de la información a los que la firma de auditoría PwC encuestó para su informe « 2022 Global Digital Trust Insights Survey» señalan que sus entornos tecnológicos, de datos y operativos son demasiado complejos. Esto, a su vez, ha dado lugar a demasiados puntos ciegos.
Como consecuencia, los equipos de TI suelen carecer de visibilidad sobre hasta un 20 % de sus terminales. Esto significa que dichos dispositivos pueden estar mal configurados, carecer de actualizaciones de software y contener aplicaciones no autorizadas, lo que, en conjunto, puede dar lugar a un rendimiento deficiente para el usuario. Esas mismas cosas también constituyen vulnerabilidades.
Para mejorar la gestión de los dispositivos finales y la productividad, así como para proteger dichos dispositivos frente a las amenazas, ambos equipos necesitan, en primer lugar, una visión de 360 grados de todos esos activos, y no solo una visión parcial. La seguridad de los dispositivos finales no puede ser una cuestión secundaria. «Si se incorpora la seguridad más adelante, acabará fallando», afirma Miller.
La aparición de un único responsable de las operaciones de TI y la seguridad
Para subsanar esta brecha, los feudos deben unirse o, al menos, trabajar a partir de los mismos datos en tiempo real, lo cual puede lograrse mediante una plataforma que aúne sus intereses y herramientas. Entre ellas deberían figurar la detección de activos , la gestión de riesgos y cumplimiento normativo, la supervisión de datos sensibles , la detección de amenazas y la búsqueda de amenazas . La unión de ambos equipos directivos tiene sus ventajas y sus inconvenientes.
«La fusión es una estructura interesante» que hay que tener en cuenta, ya que podría ayudar a las organizaciones a ser más productivas y seguras, afirma Ellis, que ejerce como CISO asesor de la empresa especializada en la nube Orca Security. «Sin embargo, [al combinar las funciones de liderazgo], existe el riesgo de perder la perspectiva de alguien que se centra exclusivamente en el funcionamiento técnico de la gestión de riesgos».
Wim Remes es miembro del consejo de administración de (ISC)², la organización internacional sin ánimo de lucro dedicada a la formación y certificación de profesionales de la ciberseguridad, así como director general de Damovo Security Services, empresa que asesora a organizaciones sobre las mejores prácticas en materia de ciberseguridad. No está convencido de que las tecnologías de la información y la seguridad deban estar bajo una misma dirección. «Sus objetivos son demasiado diferentes como para que eso tenga éxito», afirma.
Por ejemplo, el departamento de TI se centra en la «disponibilidad». Si un sistema deja de funcionar, el impacto en la empresa es directo. Por lo tanto, un equipo de operaciones de TI puede optar por no aplicar el parche correspondiente a una vulnerabilidad si su corrección pudiera provocar un fallo del sistema. La seguridad se centra en proteger la integridad de todo el sistema y de los datos que este procesa y almacena. Si un responsable de seguridad depende del departamento de TI, los responsables de este último casi siempre darán prioridad a la disponibilidad del negocio. Esto hace que la unificación total de las operaciones de TI y la seguridad suponga un reto: «La seguridad se centra en todas las funciones», afirma Remes.
Considera que un programa de seguridad sólido comienza con una estrategia de TI bien aplicada. «Muchas de las capacidades de seguridad más demandadas en las grandes organizaciones se basan en una sólida gestión de activos, , gestión de la configuración,, gestión de la seguridad de las aplicaciones y gestión de parches,, todas ellas funciones de TI», afirma. «Los departamentos de TI y de seguridad deben colaborar para identificar y mitigar los riesgos».
Eliminar los compartimentos estancos en los ámbitos de las tecnologías de la información y la seguridad
En el entorno empresarial actual, una estrategia de seguridad solo puede tener éxito si funciona en sincronía con las operaciones de TI. Lo que se necesita ahora es adoptar un enfoque de gestión «convergente». Esto significa trabajar más allá de los compartimentos estancos, como un solo equipo.
«IT tiene su propia y extensa lista de tareas pendientes». Un equipo de seguridad que comparta el mismo objetivo final puede ser de gran ayuda en este sentido.”Allan Alford, director de seguridad de la información (CISO) y director técnico (CTO) de TrustMAPP
Los expertos afirman que es perfectamente posible coordinar a ambos equipos, ya que sus objetivos finales son los mismos. «El departamento de seguridad detecta el problema, pero, en última instancia, es el departamento de TI el que debe solucionarlo», afirma Allan Alford, director de seguridad de la información (CISO) y director técnico (CTO) de TrustMAPP, una empresa dedicada a la gestión del rendimiento en materia de ciberseguridad. «El departamento de TI tiene su propia lista interminable de tareas pendientes y una lista interminable de prioridades, y solo puede destinar una cantidad determinada de recursos». «Un equipo de seguridad que comparta el mismo objetivo final puede contribuir a ello».
El reto, sin embargo, puede reducirse a diferentes concepciones del tiempo. «Es posible que el equipo de seguridad quiera que todo esté solucionado de la noche a la mañana», afirma Alford, «pero el departamento de TI no siempre puede ajustarse a plazos tan ajustados». En ocasiones, no es posible realizar una actualización porque la persona que desarrolló el software ya no trabaja en la empresa, o porque se ha dejado de comercializar un programa de software.
El mero hecho de reunir a los responsables de seguridad y de TI en una misma sala para buscar soluciones no resolverá necesariamente el problema, sobre todo si los responsables tienen estilos de liderazgo diferentes. En ocasiones, el director de sistemas de información puede verse obligado a elegir entre dos bandos enfrentados.
A menudo, la seguridad queda relegada a un segundo plano en favor de otro departamento que está más directamente relacionado con los objetivos financieros del departamento de TI. «El éxito de las tecnologías de la información se mide por lo que no se gasta», afirma Alford. «Si la seguridad se integra en el departamento de TI, es posible que se le presione para que no realice gastos, cuando lo que realmente se necesita para la seguridad es invertir dinero». «No es deseable que la seguridad quede rápidamente marginada por el departamento de TI».
Lograr que los departamentos de TI y de seguridad colaboren en una solución de gestión de identidades y accesos
Alford presenta un caso práctico. En su anterior puesto como director de seguridad de la información (CISO) en NTT Data Services, dirigió a 50,000 personas en todo el mundo. Su equipo residía tanto en zonas urbanas como rurales.
Al inicio de la pandemia de , se enfrentó a un reto a escala mundial que consistía simplemente en dotar al personal de los ordenadores adecuados para cada situación y en proporcionar a los habitantes de las zonas rurales un acceso fiable a Internet. «Nos enfrentamos a una gran variedad de situaciones, y los departamentos de TI y de seguridad tuvieron que colaborar para superarlas», afirma.
Para que todo funcionara correctamente, los dos equipos se unieron en torno a una solución común de gestión de identidades y accesos. «Tradicionalmente, la gestión de la identidad corría a cargo del departamento de TI», afirma Alford. «Nos dimos cuenta de que era una parte fundamental del sistema de seguridad, ya que todas las herramientas de seguridad de las que disponíamos giraban en torno a una solución de gestión de identidades y accesos». «Así pues, finalmente se hizo cargo de ello el departamento de seguridad, en colaboración con el otro departamento».
Los equipos implementaron una solución de «Secure Access Service Edge» (SASE) para conectar el flujo de datos procedente de centros de datos centralizados con diversos servicios en la nube. La empresa también se aseguró de contar con medidas de protección para la gestión de dispositivos finales cuando los empleados accedían a la nube.
La preparación, señala Alford, es la clave para aunar la seguridad y las tecnologías de la información en
un mundo sin límites, caracterizado por una plantilla híbrida y dispersa. Le recomienda que se prepare y cuente con las herramientas adecuadas. Elimine los compartimentos estancos, pero mantenga en los puestos directivos a expertos que comprendan realmente la función de su equipo.
«No debería importar si alguien está en un Starbucks o si está en casa», afirma. «Es necesario que exista la infraestructura necesaria para hacer frente a la ausencia de límites. Todo eso se puede hacer. «La clave reside en que exista una gran coordinación entre el departamento de TI y el de seguridad».
