En la segunda entrega de nuestra serie de tres partes « », David Damato, director de estrategia de Tanium, analiza cómo utilizar marcos basados en el riesgo para desarrollar un programa de ciberseguridad maduro y sostenible.
A la hora de desarrollar un programa de ciberseguridad, muchas organizaciones se centran únicamente en la prevención. En teoría, esto suena estupendo. Sin embargo, según mi experiencia, centrarse únicamente en la prevención aumenta, de hecho, las posibilidades de que se produzca una filtración grave, ya que cualquier atacante capaz de eludir los controles preventivos iniciales queda totalmente sin control.
Por lo tanto, si no está utilizando un marco de ciberseguridad para llevar a cabo una serie de medidas de higiene de seguridad, se está buscando problemas (se abre en una nueva pestaña).
En la primera parte de esta serie, « » ( ), abordé cómo conocer el estado de su entorno actual podría ayudarle a identificar deficiencias en los controles de seguridad críticos. De este modo, se obtienen resultados inmediatos que permiten mejorar las prácticas de seguridad aprovechando las inversiones ya realizadas. El siguiente paso consiste en abordar de manera global las actividades de ciberseguridad, incluidas todas las áreas relacionadas con las buenas prácticas de seguridad, mediante la adopción de un marco de ciberseguridad de vanguardia.
El uso de un marco de trabajo ofrece numerosas ventajas, entre las que se incluyen:
- Asegurarse de que sus actividades estén equilibradas entre las distintas medidas de seguridad pertinentes, y no se limiten únicamente a la prevención o la detección;
- Ofrece una estructura flexible capaz de crecer y adaptarse a cualquier organización;
- Facilitarle el cumplimiento de diversos requisitos legales y normativos; y
- Contribuir a definir un lenguaje común para que pueda comunicarse mejor con sus compañeros que utilizan marcos de trabajo similares.
Hay muchos marcos entre los que elegir. Entre los ejemplos más conocidos se encuentran el , el Marco de Ciberseguridad del NIST (CSF), , la norma ISO 27001 y , así como COBIT.
Utilización de un marco de ciberseguridad para abordar de manera global las medidas de higiene
Los principales marcos de ciberseguridad abarcan una amplia gama de actividades que definen un programa de seguridad de la información. Esto incluye medidas básicas de seguridad, como mantener un inventario de los sistemas y el software, así como aplicar las actualizaciones de seguridad de forma oportuna.
Para implantar un marco de ciberseguridad, la mayoría de las organizaciones llevarán a cabo una evaluación de deficiencias, una evaluación de riesgos y un plan de implantación. Una evaluación de deficiencias se utiliza para analizar la situación actual de los controles de seguridad de la información con arreglo a un marco definido. Si ya ha realizado un análisis de deficiencias con respecto a los controles de seguridad críticos del CIS ( ) o a la lista «Top 20» de SANS, comprobará que parte del trabajo ya se ha completado. El resultado es una visión clara del estado actual de su programa de seguridad de la información, así como de las principales deficiencias o lagunas con respecto al marco establecido. El siguiente paso consiste en llevar a cabo una evaluación de riesgos para determinar la probabilidad y el impacto de un incidente de seguridad concreto. Los resultados de la evaluación de riesgos determinan cómo define una organización su estado objetivo. Una vez completados el análisis de deficiencias y la evaluación de riesgos, un plan de implementación define cómo pretende una organización pasar de su situación actual a una situación objetivo que se ajuste al perfil de riesgo definido.
Los tres componentes fundamentales de cualquier plan de implementación son las personas, los procesos y la tecnología. Necesitará contar con el personal y las competencias adecuadas para alcanzar su objetivo. Unos procesos bien documentados y puestos en práctica garantizarán que las actividades sean repetibles y tengan en cuenta los riesgos. Sin embargo, la tecnología es la que realmente lo une todo, al integrar a las personas y facilitar los procesos mediante la automatización de tareas importantes, lo que impulsa una mayor eficiencia en las operaciones y permite que su equipo crezca.
Invertir en las tecnologías adecuadas para su marco de ciberseguridad
A la hora de realizar nuevas inversiones en seguridad, la mayoría de las organizaciones tienen dificultades para establecer prioridades entre sus necesidades y seleccionar las tecnologías adecuadas para satisfacerlas.
Puede establecer prioridades en las inversiones en seguridad teniendo en cuenta los dos atributos siguientes de una necesidad concreta: el riesgo y las dependencias. Dé prioridad en primer lugar a las necesidades de alto riesgo, según lo determinado por la evaluación de riesgos realizada. Sin embargo, al igual que la mayoría de las organizaciones, es probable que tenga muchos riesgos «altos». Para establecer prioridades entre los riesgos «altos», las organizaciones deben tener en cuenta los requisitos dependientes o previos.
Una dependencia es similar a una jerarquía de necesidades y describe las capacidades necesarias para la ejecución satisfactoria de otras capacidades de nivel superior. Por ejemplo, supongamos que su base de datos de gestión de activos y su programa de detección proactiva de amenazas son ineficaces, lo que supone un riesgo significativo para su empresa. En este caso, no podrá desarrollar un programa eficaz de detección de amenazas hasta que su equipo de seguridad comprenda cuáles son los activos que está protegiendo.
El segundo reto al que se enfrentan muchos responsables de la toma de decisiones es cómo seleccionar las tecnologías adecuadas para satisfacer las capacidades necesarias dentro de un marco determinado. Más allá de los requisitos de pruebas que forman parte de una prueba de concepto (POC), los responsables de la toma de decisiones deben armonizar las tecnologías existentes y las propuestas con cada una de las capacidades del marco seleccionado. Verá que algunas soluciones abordan numerosos componentes de un marco de trabajo, mientras que otras quizá solo cubran una única actividad. Su objetivo debe ser invertir en el menor número posible de soluciones que cubran la mayor parte de las necesidades y le permitan alcanzar las capacidades objetivo requeridas.
¿Por qué hago tanto hincapié en limitar el número de soluciones? Es muy sencillo: adquirir demasiadas soluciones resulta caro y aumenta la complejidad, sobre todo cuando sus herramientas presentan un solapamiento considerable en cuanto a características y funcionalidades. La complejidad aumenta el riesgo al ampliar la superficie de ataque, supone una carga para su personal, incrementa los costes de asistencia técnica y genera silos de datos que requieren integración.
Cómo utilizan nuestros clientes Tanium para cumplir con los marcos de ciberseguridad y mejorar las prácticas de seguridad
Nuestros clientes utilizan Tanium para cumplir muchos de los requisitos establecidos en los marcos de referencia más importantes, incluso más allá de las actividades que suelen considerarse parte de las prácticas básicas de seguridad. En general, Tanium cubre las capacidades necesarias en las cinco funciones identificadas en el Marco del NIST ( ) , el NIST Framework Core, el y la norma ISO 27001. Tanium puede ayudar a las organizaciones a ajustarse a los principales componentes de los marcos de ciberseguridad más destacados, tal y como ilustran los siguientes ejemplos:
- Una importante entidad financiera utilizó , , Tanium Discover,y para aumentar considerablemente la precisión de su inventario de activos y software.
- Una empresa del sector del entretenimiento utilizó , , Tanium Complyy para mejorar la seguridad de los terminales mediante la identificación y corrección de vulnerabilidades y desviaciones respecto a las normas definidas de configuración de seguridad de referencia.
- Una importante aseguradora sanitaria utilizó Tanium Core para identificar cuentas del dominio con privilegios inadecuados en estaciones de trabajo y servidores, reduciendo así el riesgo de movimiento lateral por parte de los atacantes.
- Una importante cadena minorista de utilizó Tanium Detect y Tanium Trace para agilizar la capacidad de investigar y resolver incidentes, lo que permitió a los responsables pasar de la detección a la resolución de un incidente en menos de una hora.
- Una agencia gubernamental utilizó , , Tanium Patchy para identificar y corregir rápidamente decenas de miles de vulnerabilidades en una red global.
Para crear un programa de ciberseguridad sostenible y consolidado es necesario ajustarse a un marco de referencia líder en el sector. Tanium, con una cartera de productos en constante expansión, ayuda a los clientes a abordar muchas de las actividades definidas por los marcos de ciberseguridad, al tiempo que reduce la complejidad y el coste que supone gestionar múltiples soluciones.
Esperamos que ya haya iniciado su proceso siguiendo los pasos descritos en , primera parte de esta serie, y que esté valorando las recomendaciones sobre cómo alinear las inversiones con un marco de ciberseguridad para abordar la higiene de seguridad. En mi próxima publicación, « » (), «» ( ), analizaré cómo supervisar de forma continua la eficacia de las actividades de higiene en curso, utilizando indicadores de rendimiento significativos y cuantificables.
Acerca del autor,: Como director de seguridad, David Damato se encarga de la dirección estratégica del desarrollo de módulos para la plataforma Tanium y gestiona el programa de seguridad interno de la empresa. David aporta a Tanium una amplia experiencia en materia de seguridad, que abarca la respuesta ante incidentes y el análisis forense, las evaluaciones de vulnerabilidades, el desarrollo de programas de seguridad, las operaciones de seguridad y la arquitectura de redes y seguridad. Antes de incorporarse a Tanium, David ocupó el cargo de director general en Mandiant, una empresa de FireEye, donde su equipo dirigió las labores de respuesta ante incidentes y de recuperación tras las brechas de seguridad en más de 100 empresas de la lista Fortune 500 . En Mandiant, David también desempeñó un papel fundamental en el desarrollo de nuevas capacidades en los servicios de respuesta ante incidentes y en la creación de oficinas de consultoría tanto a nivel nacional como internacional. Antes de incorporarse a Mandiant, David dirigió equipos de consultoría en materia de seguridad en PwC, dentro de su área de práctica federal de Washington, y ocupó puestos en el ámbito de las tecnologías de la información en Raytheon, centrados en la gestión de redes internas y gubernamentales. David suele compartir sus conocimientos y opiniones en eventos del sector y con los medios de comunicación.
