«Es difícil hacer predicciones, sobre todo sobre el futuro», bromeó la leyenda del béisbol Yogi Berra en una de sus frases más citadas.
Resulta doblemente complicado cuando algunas de las historias más importantes de de las 2022 eran totalmente previsibles, como los ataques a la cadena de suministro de software y los ataques al firmware. Pero, ¿quién podría haber previsto hasta qué punto se volvería inestable la economía tras el estallido de la guerra en Ucrania, o las graves consecuencias que tendría para los CISO la sentencia del caso Uber ?
En este artículo prospectivo, hemos pedido a varios expertos en seguridad que hagan una estimación fundamentada sobre las tendencias más importantes para el año 2023. Estas son las cuestiones que todo responsable de seguridad de la información (CISO) debería tener muy presentes.
Las medidas relativas a la SBOM pasan a primer plano
Estén preparados o no, las listas de materiales de software (SBOM) cobrarán aún más importancia este año. Aunque gran parte de ese impulso provendrá de las empresas privadas, que están empezando a exigir listas de componentes de software (SBOM) a sus proveedores de software, quizá la presión más significativa provenga del Gobierno federal. Las agencias y los departamentos de EE. UU. deben garantizar que los proveedores se adhieran a prácticas seguras de desarrollo de software y faciliten las listas de componentes de software (SBOM) cuando manejen los datos más críticos.
«Dado el nivel actual de inmadurez, creemos que las SBOM aún no son requisitos contractuales adecuados.»Consejo del Sector de las Tecnologías de la Información
Existe un consenso casi unánime en que los elementos estándar de la lista de materiales de software (SBOM) de la « » son los que ofrecen un mayor potencial para mejorar la transparencia en las aplicaciones y los componentes de software que se utilizan en las organizaciones. No obstante, se ha desatado un debate sobre si las normas están preparadas para su uso generalizado.
Ese debate se recrudeció el pasado mes de noviembre, cuando el Consejo de la Industria de las Tecnologías de la Información (ITIC), una asociación sectorial del sector tecnológico integrada por numerosos gigantes tecnológicos, argumentó en una carta abierta publicada en que se necesita más tiempo para que las SBOM alcancen la madurez antes de que puedan utilizarse a gran escala. «Dado el nivel actual de inmadurez, creemos que las SBOM aún no son requisitos contractuales adecuados», afirmó el grupo en su carta.
El Congreso también está estudiando la posibilidad de exigir a los contratistas del Gobierno que faciliten listas de componentes de software (SBOM). Por ejemplo, la Ley de Autorización de la Defensa Nacional n.º 2023 del Senado tiene por objeto exigir la presentación de listas de componentes de software (SBOM) para todo el software no comercial creado para el Departamento de Defensa o adquirido por este.
En definitiva, algunos expertos prevén que las SBOM se adopten rápidamente, a pesar de las protestas del sector. «La tecnología necesaria para implementar y automatizar las SBOM ya existe», afirma John Pescatore, director de tendencias emergentes en seguridad del SANS Institute.
Aumenta la presión en materia de gobernanza de datos y privacidad
El endurecimiento de las normas de seguridad y privacidad de la Agencia de Seguridad de la Información ( , ) ha llamado la atención de los líderes empresariales. «La seguridad y la privacidad forman parte de todas las decisiones tecnológicas que toman hoy en día las organizaciones», afirma Pescatore. «La forma en que se protegen los datos va a ocupar un lugar cada vez más importante en el debate».
El analista de Gartner, Anthony Carpino, también prevé que las organizaciones intentarán gestionar mejor sus datos no estructurados y mejorar el cumplimiento de la normativa de privacidad en los almacenes de datos y los procesos de análisis. «Las organizaciones deben centrarse en integrar en su arquitectura de seguridad básica una perspectiva centrada en los datos», afirma.
[Lea también: 5 pasos para proteger los datos más valiosos de su organización]
Los dirigentes también deben tener en cuenta la ampliación de la legislación en materia de protección de datos. Por ejemplo, las pocas exenciones entre empresas que quedaban en la Ley de Derechos de Privacidad de California (CPRA) expiraron el January 1, 2023. La ley incluye ahora los datos de los empleados, los datos recabados en las solicitudes de empleo, así como los de los empleados y contratistas actuales y anteriores. California no es el único estado que está tomando este tipo de medidas: Virginia está impulsando un proyecto de ley conocido como la Ley de Privacidad de los Datos de los Consumidores de Virginia (VCDPA).
Se acelera la consolidación de proveedores
Abundan las previsiones sobre una importante consolidación entre los proveedores de seguridad. Los observadores prevén consecuencias derivadas de la caída del capital de inversión disponible y de la disminución de las adquisiciones por parte de las grandes empresas tecnológicas con balances sólidos, que, de forma estratégica, adquieren proveedores de seguridad para ampliar sus capacidades.
«. Aunque no se produzca una consolidación, también podrá identificar a aquellos proveedores de los que probablemente pueda prescindir.»Andrew Storms, vicepresidente de seguridad de Replicated
La inversión en ciberseguridad se estaba enfriando a medida que el año 2022 llegaba a su fin, con unas valoraciones en fuerte descenso. Sin embargo, Andy Ellis, socio operativo de la empresa de capital riesgo especializada en ciberseguridad YL Ventures, no cree que la consolidación vaya a ser un factor determinante. «En el mercado de la ciberseguridad se producen regularmente altibajos», afirma. «Cuando la red era el núcleo de la seguridad, se produjo una consolidación en torno a los principales actores. Sin embargo, seguía habiendo más de 50 proveedores de cortafuegos. «Fue precisamente entre los proveedores especializados donde pudimos observar la innovación».
Los expertos a los que hemos consultado han sugerido que los equipos de seguridad realicen un inventario de sus proveedores de seguridad actuales y evalúen su rendimiento en relación con los objetivos acordados. Las organizaciones deberían, por tanto, alinear a los proveedores con mejor rendimiento con los objetivos clave del programa de seguridad y elaborar planes para sustituir a los proveedores que corran riesgo de consolidación o para trabajar sin ellos. «Aunque no se produzca una consolidación, también podrá identificar a aquellos proveedores de los que probablemente pueda prescindir», afirma Andrew Storms, vicepresidente de seguridad del proveedor de plataformas Replicated.
El auge de la «experiencia de seguridad»
Según Jonathan Feldman, director de sistemas de información del condado de Wake (Carolina del Norte), en 2023 aumentarán las exigencias para mejorar la experiencia real de los usuarios con las herramientas y políticas de seguridad. Afirma que la forma en que las organizaciones se refieren a la experiencia del cliente y a la experiencia de los empleados se extenderá muy pronto a la experiencia en materia de seguridad.
«No podemos seguir considerando la seguridad como algo que ocurre de forma aislada, sin evaluar ni averiguar cómo afecta a las personas en su trabajo diario», afirma. «A todos nos interesa evitar el ransomware . «A todos nos interesa que no se produzca un atentado de gran envergadura».
Según una encuesta de Ernst & Young, , el 83 % de los empleados estadounidenses comprende los protocolos de ciberseguridad de su empresa. Sin embargo, puede resultar más difícil llegar a las generaciones más jóvenes en el ámbito laboral. Según la encuesta, los trabajadores de la Generación Z y de la generación del milenio son los menos propensos a dar prioridad a las políticas o a cumplirlas.
De cara al próximo año, Feldman aconseja a las organizaciones que se centren en lo que pueden hacer para mejorar la experiencia en materia de seguridad. Esto podría implicar adoptar el inicio de sesión único o el acceso sin contraseña. También podría significar pasar a un e de procesos de «confianza cero» (zero-trust) , en lugar de imponer a los empleados engorrosas redes privadas virtuales (VPN). En definitiva, para mejorar la experiencia en materia de seguridad es necesario que esta forme parte de forma natural del flujo de trabajo, y no constituya un obstáculo.
La autenticación ya no requiere contraseña
Los nombres de usuario y las contraseñas son mecanismos de seguridad que solo a un delincuente le podrían encantar. A nadie le gusta tener que recordarlas, introducirlas o recibir recordatorios para cambiarlas, y los profesionales de la seguridad saben que las contraseñas son uno de los controles de seguridad menos fiables que existen.
«Si logramos prescindir de las contraseñas, eso dejará fuera de juego a muchos de los atacantes menos astutos.»John Pescatore, director de tendencias emergentes en materia de seguridad del Instituto SANS
Los delincuentes aprovechan las contraseñas porque los empleados las reutilizan una y otra vez. La gente elige contraseñas que son demasiado fáciles de crear y, por lo tanto, fáciles de adivinar. Sin embargo, gracias a los acontecimientos del año pasado, se prevé que el concepto de autenticación sin contraseñas, o seguridad «sin contraseñas», vaya ganando cada vez más terreno. Aunque ya se lleva más de dos décadas pronosticando la desaparición de la contraseña , parece que, por fin, la tecnología y la motivación han coincidido para incluir por fin a las contraseñas en la lista de tecnologías en peligro de extinción.
Esta transición se debe, en parte, a las especificaciones de autenticación « FIDO2 » (), que se basan en la criptografía de clave pública y en normas internacionales. Apple, Google y Microsoft anunciaron el pasado mes de mayo que darían soporte al estándar FIDO2 para permitir la autenticación sin contraseña en todos los dispositivos. Los gigantes tecnológicos consideran que el sistema sin contraseñas ofrecerá una mayor protección frente a los ataques de phishing de tipo « » y al robo de contraseñas. El mercado parece estar de acuerdo: la empresa de estudios MarketsandMarkets estima que el mercado mundial de la autenticación sin contraseña alcanzó un valor de 6.6 000 millones de dólares el año pasado y seguirá creciendo a una tasa anual del 26 % hasta el año 2027.
«Llevamos 20 años sin poder aumentar el coste de los ataques», afirma Pescatore, del Instituto SANS. «Pero si logramos prescindir de las contraseñas, eso dejará fuera de juego a muchos de los atacantes menos astutos».
Tendencias como estas ponen de manifiesto las numerosas incertidumbres —tanto las desconocidas como las conocidas— a las que los CISO tendrán que hacer frente a lo largo del próximo año. Quienes estén preparados pueden estar seguros de que les irá mucho mejor ante los riesgos que se avecinan.
