Para Andy Ellis, el rol de director de información (Chief Information Officer, CIO) es un “trabajo sin salida”.
Ellis lo sabría. Ha trabajado en seguridad de la información en organizaciones tan diversas como la Fuerza Aérea de los EE. UU., ha convertido a Akamai Technologies en un gigante de Internet, actualmente es socio operativo en YL Ventures, que financia y respalda empresas de ciberseguridad, y es un integrante del Salón de la Fama del CSO.
Como lo ve el veterano de ciberseguridad: “La seguridad estará integrada en todas partes” en un futuro cercano. Debido a eso, dice: “el trabajo de CIO desaparecerá como un puesto separado de nivel C” y se combinará con el rol del director de seguridad de la información (CISO) como función laboral.
Esa es solo la opinión de un experto. Pero tal pronunciamiento seguramente arraigará la ya problemática relación entre las dos profesiones y sus respectivos equipos. Aquí le explicamos por qué: Desde hace años, las referencias de las operaciones de TI y la ciberseguridad han sido contradictorias.
Aunque ambos tienen la tarea de proteger la red y los endpoint de su organización (que pueden incluir decenas de miles de computadoras portátiles, computadoras, tabletas y máquinas virtuales en la nube), TI desea asegurarse de que funcionen sin problemas mientras que Seguridad desea asegurarse de que cada una de ellas esté bloqueada.
A partir de esta simple dicotomía, nació una rivalidad y puede amenazar la ciberseguridad y la salud general de una empresa.
Los CIO y los CISO tienen “diferentes objetivos, y eso puede ser un gran desafío”, dice Duncan Miller, director de seguridad de endpoint de Tanium. Lograr que lleguen a un acuerdo sobre las métricas del éxito es uno de los mayores obstáculos para unificar los dos departamentos.
“Los dos equipos están siendo medidos para diferentes metas”, dice Miller. “Su organización de TI tiene la responsabilidad de mantener las cosas en funcionamiento y accesibles. Su equipo de seguridad está allí para asegurarse de que se estén utilizando correctamente y de que no sean accesibles para las personas que no deben tener el acceso adecuado. Existe un conflicto inherente entre estos roles y para asegurarse de que las personas estén alineadas”.
Cómo controlar un panorama de amenazas ampliamente expandido y complejo
Como todo lo demás, la pandemia y el rápido cambio al trabajo remoto están cambiando esa dinámica. Hoy en día, las fuerzas laborales distribuidas, donde cada empleado tiene al menos un dispositivo que se conecta a la red corporativa a través de Internet, han agravado los desafíos tanto para TI como para la seguridad.
“Existe un conflicto inherente entre estos roles y para asegurarse de que las personas estén alineadas”.Duncan Miller, director de seguridad de endpoint, Tanium
Tres cuartas partes de los más de 3,000 ejecutivos de seguridad, negocios y TI que la firma de contabilidad PwC consultó para obtener sus 2022 encuestas globales de perspectivas de confianza digital informan demasiada complejidad en sus entornos tecnológicos, de datos y operativos. Eso, a su vez, ha llevado a demasiados puntos ciegos.
Como resultado, los equipos de TI a menudo carecen de visibilidad de hasta el 20 % de sus puntos finales. Eso significa que esos dispositivos pueden estar mal configurados, carecer de actualizaciones de software y tener aplicaciones no autorizadas en ellos, todo lo cual puede conducir a un rendimiento deficiente para el usuario. Esas mismas cosas también son vulnerabilidades.
Para mejorar la gestión y productividad de los endpoint , y para proteger esos puntos finales contra amenazas, ambos equipos primero necesitan una vista de 360 grados de todos esos activos, no solo una vista parcial. La seguridad del punto final no puede ser una idea posterior. “Si crea seguridad más adelante, va a fallar”, dice Miller.
El surgimiento de un solo líder para operaciones y seguridad de TI
Para aplicar parches a la grieta, las referencias deben unirse o al menos trabajar a partir de los mismos datos en tiempo real, que se pueden lograr a través de una plataforma que una sus intereses y herramientas. Esos deben incluir el descubrimiento de activos, la gestión de riesgos y cumplimiento, el monitoreo de datos confidenciales y la búsqueda de amenazas. Unir los dos líderes tiene tanto su lado positivo como negativo.
“La fusión es una estructura interesante” que debe considerarse, ya que podría ayudar a las organizaciones a ser más productivas y seguras, dice Ellis, que se desempeña como CISO asesor para Orca Security, especialista en la nube. “Sin embargo, [al combinar el liderazgo], existe el riesgo de que pueda perder la perspectiva de alguien que se centra exclusivamente en cómo funciona técnicamente el riesgo”.
Wim Remes es miembro de la junta directiva de (ISC)2, la organización internacional sin fines de lucro que capacita y certifica a los profesionales de ciberseguridad, así como director general de Damovo Security Services, que asesora a las organizaciones sobre las mejores prácticas de ciberseguridad. No está convencido de que la TI y la seguridad pertenezcan a un solo liderazgo. “Sus objetivos son demasiado diferentes para que eso sea exitoso”, dice.
Por ejemplo, TI se centra en la “disponibilidad”. Si un sistema falla, el impacto comercial es directo. Por lo tanto, un equipo de operaciones de TI puede optar por dejar una vulnerabilidad sin parchear si la corrección podría fallar el sistema. La seguridad se centra en proteger la integridad de todo el sistema y los datos que procesa y almacena. Si un líder de seguridad informa a TI, el liderazgo casi siempre priorizará la disponibilidad comercial. Eso hace que la unificación completa de las operaciones y la seguridad de TI sea un desafío: “La seguridad se centra en todas las funciones”, dice Remes.
Cree que un programa de seguridad sólido comienza con una estrategia de TI bien implementada. “Muchas capacidades de seguridad altamente buscadas en grandes organizaciones dependen de una sólida gestión de activos, gestión de configuración, gestión de seguridad de aplicaciones y gestión de parches, que son todas funciones de TI”, dice. “La TI y la seguridad deben trabajar juntas para identificar y mitigar el riesgo”.
Desglosar los silos de TI y seguridad
El entorno comercial actual significa que una estrategia de seguridad solo puede ser exitosa si funciona en sincronización con las operaciones de TI. La necesidad ahora es adoptar un enfoque de gestión “convergido”. Eso significa operar en silos, como un solo equipo.
“TI tiene una lista de marcajes masiva propia. Un equipo de seguridad con el mismo objetivo final puede ayudar con eso”.Allan Alford, CISO y CTO, TrustMAPP
Los expertos dicen que es totalmente posible sincronizar los dos equipos, ya que sus objetivos finales son los mismos. “La seguridad encuentra el problema, pero en última instancia TI tiene que solucionarlo”, dice Allan Alford, CISO y CTO de TrustMAPP, una empresa de gestión del rendimiento de ciberseguridad. “TI tiene una lista de marcajes masiva propia y una lista masiva de prioridades, y solo pueden asignar una cierta cantidad de recursos. Un equipo de seguridad con el mismo objetivo final puede ayudar con eso”.
Sin embargo, el desafío puede reducirse a diferentes puntos de vista del tiempo. El equipo de seguridad podría querer ver todo reparado de la noche a la mañana, dice Alford, pero TI no siempre puede adaptarse a ese tipo de cronograma rápido. A veces, una actualización no es posible porque la persona que escribió el software ya no pertenece a la empresa o se ha interrumpido un software comercial.
El simple hecho de tener la seguridad y la TI en la misma sala para eliminar las soluciones no necesariamente resolverá el problema, especialmente si los líderes tienen diferentes estilos de liderazgo. A veces, el CIO puede verse obligado a elegir entre dos tribus en guerra.
A menudo, la seguridad se verá perjudicada a favor de otro departamento que está más directamente relacionado con las metas financieras de TI. “El éxito de la TI se mide por lo que no gastan”, dice Alford. “Si la seguridad se integra en TI, puede verse presionada a no gastar, cuando lo que realmente se necesita para la seguridad es gastar dinero. No desea ver que la seguridad se margina rápidamente por TI”.
Lograr que TI y seguridad trabajen juntos en una solución de gestión de identidad y acceso
Alford ofrece un estudio de caso. En su trabajo anterior como CISO de entrega en NTT Data Services, supervisó a 50,000 personas en todo el mundo. Su equipo vivía en áreas urbanas y rurales.
Al comienzo de la pandemia, enfrentó un desafío global: conseguir al personal las computadoras adecuadas para la situación correcta y proporcionar a las personas en áreas rurales acceso a Internet confiable. “Teníamos una amplia variedad de escenarios, y TI y seguridad tenían que trabajar juntas para superar eso”, dice.
Para ayudar a que funcione, los dos equipos se unieron bajo una solución común de gestión de identidad y acceso. “Tradicionalmente, la identidad era gestionada por TI”, dice Alford. “Vimos que era integral para el aparato de seguridad, ya que cada herramienta de seguridad que habíamos centrado en una solución de gestión de identidad y acceso. Así que la seguridad finalmente asumió el control, con la cooperación de los dos departamentos”.
El equipo implementó una solución Secure Access Service Edge (SASE) para conectar los datos que fluyen desde centros de datos centralizados a una variedad de servicios en la nube. La empresa también se aseguró de contar con protecciones de gestión de endpoint cuando los colaboradores accedieron a la nube.
La preparación, señala Alford, es la clave para unir la seguridad y la TI en
el mundo sin perímetro de una fuerza laboral híbrida y lejana. Prepárese con las herramientas adecuadas implementadas, recomienda. Divida los silos, pero mantenga a los expertos en su lugar en la parte superior que realmente comprendan la función de su equipo.
“No debería importar si alguien está en Starbucks o si alguien está en casa”, dice. “La infraestructura debe estar allí para adaptarse a la falta de límites. Todo se puede hacer. La clave es tener una gran coordinación entre TI y seguridad”.
