En este blog, Chris Hodson, CISO global de Tanium, se reunió con Geoff Fisher, ejecutivo de ciberseguridad y respuesta a incidentes de EY, para analizar el rol de los CISO y cómo se transformó como resultado de la pandemia de COVID-19.
Traducir la ciberseguridad en métricas comerciales
Chris Hodson: Me gustaría comenzar con una pregunta que he escuchado con bastante frecuencia desde el inicio de la pandemia: ¿Los CISO realmente comprenden su negocio? Hay muchos que aún ven que la función de seguridad está muy centrada en TI y separada de las operaciones habituales. ¿Cuál es su opinión sobre esto?
Geoff Fisher: Creo que a nivel empresarial, los CISO realmente comprenden su negocio, pero lo que les falta es la telemetría para explicar por qué la ciberseguridad y la respuesta a incidentes deben ser importantes para sus ejecutivos. Todos los CISO en última instancia comprenden lo que hace su negocio y están tratando de atravesar esa lente de seguridad. Simplemente no tienen los datos correctos en muchos casos para explicar a su liderazgo sénior por qué están intentando lograr algo. Y no tienen la visibilidad para cuantificar las cosas. Creo que lo que necesitan es una forma de explicar sus necesidades basadas en datos de la misma manera que la empresa explica sus necesidades de presupuesto y crecimiento.
Chris Hodson: Esa es ciertamente la brecha que he visto. Las personas de seguridad comprenden las métricas de seguridad, ¿verdad? Comprendemos por qué necesitamos firewalls, por qué necesitamos parches, por qué necesitamos una sólida gestión de identidad, pero traducir eso en una serie de métricas alineadas con el negocio es otro asunto.
Manejar el nuevo panorama de riesgos
Chris Hodson: Esto me lleva a mi siguiente pregunta: ¿Creen que el panorama de amenazas ha cambiado para los CISO durante la pandemia?
Geoff Fisher: Las personas que han estado haciendo los ataques continuarán prosperando en este momento porque la pandemia no cambió nada. Realmente no cambió los TTP de ninguno de los atacantes. Como resultado, para la ciberseguridad, aún se trata de pasar por la misma conversación: ¿Sé dónde están todos mis activos? ¿Estoy aplicando parches a todos ellos? ¿Los estoy monitoreando? ¿Puedo investigar y poner en cuarentena rápidamente mis puntos finales de usuarios finales y luego cambiar a hacer lo correcto rápidamente? Ninguno de esos cambios.
Lo que cambió es dónde desea gastar su dinero. Podría gastar más en proteger al ser humano hoy que en el pasado. Ahora sé que este eslabón más débil se expandirá desde una perspectiva de riesgo.
Chris Hodson: En su punto de vista sobre proteger al ser humano, tenemos que apreciar que desde la perspectiva del usuario final, todos trabajan en casa. Son más susceptibles al phishing, están cansados y estresados, y están tratando de equilibrar su vida doméstica, la de sus hijos y trabajar en un entorno inusual. Creo que eso lo hace más susceptible a la actividad maliciosa.
Lo mismo sucede con los defensores, los equipos de operaciones de seguridad. Generalmente, se utilizan para operar dentro de un entorno SOC o NOC. Están ejecutando enfrentamientos interfuncionales y colaborando para resolver problemas, y adaptarse para hacer todo eso de forma remota es un desafío significativo.
El otro desafío clave es el acceso a Internet y a las aplicaciones. La cantidad de organizaciones que han tenido que permitir la tunelización dividida debido a problemas con el ancho de banda y el rendimiento de la red tienen que implementar sus revisiones actualizadas a través de una VPN. Pero ahora que la VPN está absolutamente saturada y se está utilizando para entregar aplicaciones comerciales centrales. Es un momento difícil para el CISO.
Evolución del rol del CISO
Chris Hodson: ¿Cree que el rol del CISO en sí ha cambiado?
Geoff Fisher: argumentaría que el CISO en el pasado no tan distante era un tipo de rol muy centrado en la gobernanza y basado en reglas. Creo que ahora están adoptando la misma postura desde la perspectiva del CIO y el CTO y están tomando decisiones comerciales. Los CISO en última instancia tienen más espacio en la mesa de lo que pueden haber tenido en el pasado. Se sienten cómodos con la gestión de algún nivel de incertidumbre y riesgo en su organización y saben que tienen algunos controles dinámicos al alcance de la mano para poder hacerlo adecuadamente. Están tratando de equilibrar el riesgo con la funcionalidad con solo la necesidad de hacerlo. Creo que allí es donde la evolución en los últimos meses será realmente algo bueno para la industria. La relación que los CISO, CIO y CTO están construyendo en última instancia como resultado de esto será realmente útil.
Chris Hodson: Sí, creo que los roles del CISO están cambiando a una de las funciones consultivas. En la pandemia, el CISO está allí para diseñar controles o asesorar sobre un nivel de riesgo proporcional a la organización. Los roles del CISO tenían que cambiar, pero creo que también en su crédito, también lo hicieron el CIO y el CTO. Tienen que ser mucho más flexibles, mucho más consultivos.
Expandir el enfoque más allá de la detección
Chris Hodson: La última pregunta que tenía hoy era sobre la importancia de fundamentos de seguridad sólidos y las mejores prácticas. ¿Todas estas noticias sensacionales sobre amenazas cibernéticas patrocinadas por el estado han hecho que sea más difícil de priorizar para los CISO?
Geoff Fisher: Creo que aquí es donde es difícil. Esas amenazas “sensacionales” siempre han estado allí, pero han estado un poco bajo las olas y, quizás, más relacionadas con la infraestructura crítica. No estoy seguro de que sea realmente lo mismo para el mundo en general. Realmente creo que hacer bien los fundamentos es dónde todos deben enfocarse, y simplemente no creo que estallar todos estos eventos únicos en un momento para organizaciones muy específicas haga nada para educar.
¿Deberían las personas buscar malware sin archivos? Ciento por ciento. ¿Debería preocuparse por el ahuecado del proceso? Creo que sí. Pero si no sabe dónde están todos sus activos y no está aplicando parches a Java y PDF Reader, ha fallado los conceptos básicos. Creo firmemente que el NIST CSF es realmente cómo debería pensar en su programa de seguridad. Pero si le faltan los aspectos de responder y recuperar, que muchas organizaciones más pequeñas hacen, eso le causará problemas.
Chris Hodson: Estoy completamente de acuerdo. Creo que muchas organizaciones se centran en la detección. Pero la detección sin los medios para corregir y responder está casi poniendo a los CISO en una peor situación. Una alarma de incendio se activa y no está facultada ni es capaz de corregir.
Eso es algo que creemos con pasión en Tanium. La protección es increíblemente importante, pero también lo es la capacidad de poner en cuarentena un equipo, implementar un parche o desconectar algo. Las organizaciones deben tener visibilidad en tiempo real de lo que sucede en su red, especialmente después de mover casi toda la fuerza laboral a entornos remotos, y ser capaces de responder y corregir amenazas con velocidad y confianza antes de que una amenaza se convierta en una filtración en toda la empresa.
Gracias por su tiempo hoy, Geoff. Espero continuar nuestra discusión en nuestro próximo panel el July 23 con el ex hacker, Alissa Knight en Knight Ink y el analista de ciberseguridad Chris Wilder de Moor Insights & Strategy.
¿Le interesa ver a Tanium en acción? Programe una demostración personalizada o hable con nuestros expertos de Tanium en nuestros próximos eventos.
