En este blog, Chris Hodson, director global de seguridad de la información (CISO) de Tanium, se reunió con Geoff Fisher, responsable de ciberseguridad y respuesta a incidentes de EY, para analizar el papel de los CISO y cómo ha evolucionado a raíz de la pandemia de la COVID-19.
Cómo traducir la ciberseguridad en indicadores empresariales
Chris Hodson: Me gustaría comenzar con una pregunta que he oído con bastante frecuencia desde el inicio de la pandemia: ¿Entienden realmente los CISO su negocio? Son muchos los que siguen considerando que la función de seguridad está muy centrada en las tecnologías de la información y alejada de las operaciones habituales de la empresa. ¿Qué opina usted al respecto?
Geoff Fisher: Por lo tanto, considero que, a nivel empresarial, los CISO comprenden realmente su negocio, pero lo que les falta es la telemetría necesaria para explicar por qué la ciberseguridad y la respuesta ante incidentes deberían ser importantes para sus directivos. Todos los CISO comprenden, en última instancia, a qué se dedica su empresa y tratan de analizarla desde esa perspectiva de seguridad. En muchos casos, simplemente no disponen de los datos adecuados para explicar a sus altos directivos por qué están intentando llevar a cabo algo. Y carecen de la información necesaria para cuantificar los datos. Creo que lo que necesitan es una forma de explicar sus necesidades basada en datos, de manera muy similar a como la empresa explica sus necesidades en materia de presupuesto y crecimiento.
Chris Hodson: Sin duda, esa es la diferencia que he observado. Los profesionales de la seguridad entienden las métricas de seguridad, ¿verdad? Entendemos por qué necesitamos cortafuegos, por qué necesitamos aplicar parches y por qué necesitamos una gestión de identidades sólida; sin embargo, plasmar todo ello en una serie de indicadores alineados con los objetivos empresariales es otra cuestión.
Cómo desenvolverse en el nuevo panorama de riesgos
Chris Hodson: Esto me lleva a mi siguiente pregunta: ¿Cree usted que el panorama de amenazas ha cambiado para los CISO durante la pandemia?
Geoff Fisher: Las personas que han estado perpetrando los ataques seguirán prosperando en estos tiempos, ya que la pandemia no ha cambiado nada. En realidad, eso no modificó las tácticas, técnicas y procedimientos (TTP) de ninguno de los atacantes. Por lo tanto, en lo que respecta a la ciberseguridad, seguimos planteándonos la misma pregunta: ¿Sé dónde se encuentran todos mis activos? ¿Estoy aplicando parches a todos ellos? ¿Los estoy vigilando? ¿Puedo investigar y poner en cuarentena rápidamente los dispositivos de mis usuarios finales y, a continuación, pasar a tomar las medidas adecuadas con rapidez? Nada de eso cambió.
Lo que sí ha cambiado es dónde desea gastar su dinero. Es posible que hoy invierta más en la seguridad del personal de lo que lo haya hecho en el pasado. Ahora sé que este eslabón más débil va a cobrar mayor importancia desde el punto de vista del riesgo.
Chris Hodson: En cuanto a su observación sobre la seguridad de las personas, debemos tener en cuenta que, desde la perspectiva del usuario final, todo el mundo está trabajando desde casa. Son más vulnerables al phishing, están cansados y estresados, y tratan de conciliar su vida familiar, el cuidado de sus hijos y el trabajo en un entorno inusual. Por lo tanto, creo que eso le hace más vulnerable a las actividades maliciosas.
Lo mismo ocurre con los defensores, los equipos de operaciones de seguridad. Por lo general, están acostumbrados a trabajar en un entorno de SOC o NOC. Están celebrando reuniones diarias interfuncionales y colaborando para resolver problemas, y adaptarse para hacer todo eso a distancia supone un reto considerable.
El otro reto fundamental tiene que ver con el acceso a Internet y a las aplicaciones. El número de organizaciones que se han visto obligadas a permitir el «split tunneling» debido a problemas de ancho de banda y rendimiento de la red y que deben implementar sus actualizaciones de parches a través de una VPN. Sin embargo, en la actualidad, la VPN está totalmente saturada y se utiliza para proporcionar aplicaciones empresariales fundamentales. Son tiempos difíciles para el CISO.
La evolución del papel del CISO
Chris Hodson: ¿Cree usted que ha cambiado la función del CISO en sí misma?
Geoff Fisher: Yo diría que, en un pasado no muy lejano, el cargo de CISO era un puesto muy centrado en la gobernanza y basado en normas. Creo que, desde el punto de vista del director de sistemas de información (CIO) y del director técnico (CTO), ahora están en pie de igualdad y están tomando decisiones empresariales. En definitiva, los CISO tienen ahora más peso en las decisiones de lo que quizá tenían en el pasado. Se están acostumbrando a gestionar cierto grado de incertidumbre y riesgo en su organización, y saben que disponen de una serie de controles dinámicos al alcance de la mano para poder hacerlo de forma adecuada. Están tratando de encontrar un equilibrio entre el riesgo y la funcionalidad, sin más que la necesidad de llevar a cabo la tarea. Creo que es precisamente ahí donde la evolución de los últimos meses resultará realmente positiva para el sector. La relación que, en última instancia, están forjando los CISO, los CIO y los CTO como consecuencia de todo esto va a resultar de gran utilidad.
Chris Hodson: Sí, creo que las funciones del CISO están evolucionando hacia un papel de carácter consultivo. Durante la pandemia, el CISO se encarga de diseñar controles o de asesorar para alcanzar un nivel de riesgo acorde con la organización. Las funciones del CISO tuvieron que cambiar, pero creo que, y esto también dice mucho a su favor, lo mismo ocurrió con las del CIO y el CTO. Se ven obligados a ser mucho más flexibles y a adoptar un enfoque mucho más consultivo.
Ampliar el enfoque más allá de la detección
Chris Hodson: La última pregunta que me han planteado hoy ha versado sobre la importancia de contar con unos fundamentos sólidos en materia de seguridad y de aplicar las mejores prácticas. ¿Han dificultado todas estas noticias sensacionalistas sobre amenazas cibernéticas patrocinadas por Estados que los CISO establezcan sus prioridades?
Geoff Fisher: . Sabe, creo que ahí es donde está la dificultad. Esas amenazas «sensacionales» siempre han existido, pero han pasado un poco desapercibidas y quizá estén más relacionadas con las infraestructuras críticas. No estoy seguro de que sea realmente así en el resto del mundo. Creo sinceramente que lo que todos deberían tener como prioridad es asimilar bien los fundamentos, y no creo que el hecho de dar tanta importancia a todos esos acontecimientos puntuales que afectan a organizaciones muy concretas contribuya en nada a la formación.
¿Debería la gente estar atenta al malware sin archivos? Al cien por cien. ¿Debería preocuparle el «hollowing» del proceso? Eso creo. Pero si no sabe dónde se encuentran todos sus activos y no está aplicando las actualizaciones de Java y del lector de PDF, no ha cumplido con los requisitos básicos. Estoy firmemente convencido de que el Marco de Seguridad Cibernética del NIST (CSF) es, en realidad, la forma en que debería plantearse su programa de seguridad. Pero si no cuenta con los aspectos relacionados con la respuesta y la recuperación —algo que ocurre en muchas organizaciones más pequeñas—, eso le va a acarrear problemas.
Chris Hodson: Estoy totalmente de acuerdo. Creo que muchas organizaciones se centran en la detección. Sin embargo, la detección sin los medios necesarios para subsanar los problemas y dar respuesta a los incidentes supone, prácticamente, poner a los CISO en una situación aún peor. Suena una alarma de incendio y no están facultados ni son capaces en modo alguno de solucionar el problema.
Eso es algo en lo que creemos firmemente en Tanium. La protección es sumamente importante, pero también lo es la capacidad de poner un equipo en cuarentena, aplicar un parche o desconectar un sistema de la red. Las organizaciones deben disponer de visibilidad en tiempo real de lo que ocurre en su red —especialmente tras haber trasladado a casi toda la plantilla a entornos de teletrabajo— y ser capaces de responder a las amenazas y subsanarlas con rapidez y seguridad antes de que una amenaza se convierta en una brecha de seguridad que afecte a toda la empresa.
Gracias por su tiempo hoy, Geoff. Espero con interés continuar nuestro debate en la próxima mesa redonda titulada « July 23 », junto con la exhacker Alissa Knight, de Knight Ink, y el analista de ciberseguridad Chris Wilder, de Moor Insights & Strategy.
¿Le interesa ver cómo funciona Tanium? Programe una demostración e individual o hable con nuestros expertos en Tanium en nuestros próximos eventos: .
