Para hacer frente a las amenazas de ciberseguridad en constante evolución de la actualidad, muchos responsables empresariales se centrarán en la tecnología, acumulando herramienta tras herramienta y enfoque tras enfoque en las distintas áreas aisladas de la empresa.
Por ejemplo, las empresas de suministro eléctrico que prestan servicio a un total de 56 millones de clientes han instalado herramientas para detectar mejor los ciberataques o se han comprometido a hacerlo. De hecho, el 60 % de los altos directivos de TI y empresariales encuestados por tiene previsto aumentar el gasto en TI, siendo la seguridad su máxima prioridad, según Enterprise Strategy Group (ESG).
Una respuesta firme es un excelente comienzo. Sin embargo, las herramientas tecnológicas por sí solas no bastan para evitar las filtraciones. Los piratas informáticos más sofisticados de hoy en día son demasiado inteligentes para caer en eso.
Tras una grave brecha de seguridad, lo que suele faltar en las iniciativas federales y en las estrategias adoptadas a toda prisa por los directores generales de las empresas es un esfuerzo por reforzar dos de las armas más eficaces del arsenal de una empresa: su personal de primera línea y sus procesos.
Para reforzar la ciberdefensa, conviene ir más allá de enseñar a los empleados cómo elaborar un plan de respuesta ante incidentes o advertirles de que no respondan a correos electrónicos de phishing de . Esas son las medidas más fáciles de llevar a cabo entre las numerosas acciones que deberían emprender los líderes.
Para gestionar adecuadamente al personal y los procesos, es necesario reflexionar en profundidad sobre las barreras que merman la eficacia de los profesionales de la seguridad en los que las empresas confían para su defensa. Si alguien se ve constantemente abrumado por las alertas de seguridad, carece de las competencias adecuadas o se ve impedido por la inercia de la organización para hacer lo que debe, la empresa no tendrá ninguna posibilidad de defenderse.
Para empezar a estabilizar los dos primeros elementos del «taburete de tres patas» que conforman «las personas, los procesos y la tecnología», las empresas deberían centrarse en tomar medidas en las tres áreas siguientes.
Trabaje de forma inteligente
Tras más de un año de esfuerzos heroicos por garantizar la seguridad de sus empresas tras el mayor experimento de teletrabajo de la historia, los profesionales de la seguridad están alcanzando niveles récord de agotamiento. «El coste humano del último año ha sido enorme», declaró recientemente Martin Fisher, director de seguridad de la información y responsable jefe de seguridad de la información del Northside Hospital de Atlanta, a Endpoint. «Estamos nerviosos. Cada alerta da lugar a una investigación de respuesta ante incidentes de menor gravedad. «Ese nivel de esfuerzo resulta agotador».
Una encuesta de llegó a la conclusión de que una empresa media recibe más de 10,000 alertas de seguridad al día, y que casi el 30 % de las empresas registran más de un millón de alertas. En comparación con el trabajador estadounidense medio, los profesionales de la seguridad tienen más del doble de probabilidades de declarar un desequilibrio entre la vida laboral y la personal, y más del triple de probabilidades de no disfrutar de todas sus vacaciones.
[Lea también: Construir el futuro del trabajo]
Un proceso de flujo de trabajo ágil denominado « » (kanban), adoptado por todas las plantas de Toyota en 1963, puede ayudar a los profesionales de la seguridad a priorizar tareas cuando la situación cambia de un momento a otro. Funciona visualizando el flujo de trabajo de un equipo, de modo que todos puedan ver tanto las prioridades del equipo como en qué están trabajando el resto de miembros del equipo.
Trabajen juntos
Con demasiada frecuencia, en muchas organizaciones, los programadores creen que su talento basta. Se limitan a programar los productos hasta que funcionan, y el resto es «problema de algún profesional de la seguridad». Por el contrario, una práctica emergente denominada « » (DevSecOps) tiene como objetivo tender puentes entre estos y otros ámbitos enfrentados para detectar vulnerabilidades de forma precoz, mediante la integración de los miembros y los procesos del equipo de seguridad en el ciclo de vida del desarrollo de software.
«El impacto en las personas durante el último año ha sido tremendo: la gente está agotada.»Martin Fisher, director de seguridad de la información y responsable de seguridad de la información del Northside Hospital
Una forma de salvar la brecha interna consiste en integrar la seguridad de manera más completa en el proceso de desarrollo de las tecnologías de la información. Según un estudio de EY, casi dos tercios de las empresas actuales no cuentan con la participación de los equipos de seguridad en las primeras fases de los proyectos de TI. Otra forma de subsanar esa deficiencia consiste en adoptar el enfoque de pruebas de software denominado «» (shift left), que consiste en dar prioridad a las pruebas de seguridad en una fase mucho más temprana del ciclo de desarrollo, en lugar de incorporarlas a posteriori. Este enfoque fomenta, si no exige, una mayor colaboración entre los equipos de seguridad y los desarrolladores.
Reforzar la cantera de talentos tecnológicos
Según la Oficina de Estadísticas Laborales, se prevé que el empleo de analistas e ingenieros de seguridad de la información en EE. UU. crezca un 31 % , pasando de 2019 a 2029. Sin embargo, el Grupo de Ciberseguridad del Instituto Aspen estima que este año quedarán sin cubrir 500,000 puestos relacionados con la ciberseguridad solo en Estados Unidos. Un informe de California ha revelado que, aunque todos los estudiantes de un programa universitario especializado en tecnologías de la información se dedicaran a la ciberseguridad, no bastaría para cubrir todas las vacantes disponibles en el estado.
Para subsanar la escasez de talento, las empresas deben mirar más allá de los titulados en carreras de ingeniería e informática de cuatro años. Los responsables de ciberseguridad y de tecnologías de la información instan a las empresas a apostar por «new collar» trabajadores, personas que quizá no cuenten con costosos títulos universitarios de cuatro años, pero que poseen las habilidades básicas y la aptitud natural para los puestos de trabajo tecnológicos más demandados en la actualidad. Por ejemplo, Mastercard contribuyó a la creación de la Iniciativa de Talento en Ciberseguridad, una alianza público-privada que incorpora a los participantes —la mayoría de los cuales son mujeres, personas pertenecientes a minorías o personas que han decidido cambiar de profesión— a puestos de ciberseguridad de nivel inicial. Al cabo de dos años, podrán solicitar un puesto de trabajo en una de las empresas colaboradoras del programa y recibir 75,000 dólares en concepto de ayuda para el pago de su préstamo estudiantil.
Tanium cuenta con dos programas de desarrollo profesional destinados a fomentar el talento y la diversidad en el lugar de trabajo. Cada año, la empresa acoge a un grupo de la Sociedad de Mujeres Ingenieras (SWE), una organización educativa y de servicios sin ánimo de lucro de , de la Universidad de California en Berkeley. El programa, que se lleva a cabo desde la sede central de Tanium, ofrece a los estudiantes la oportunidad de acompañar a los ingenieros de Tanium, recibir orientación práctica y participar en simulacros de entrevistas de programación. Además de la experiencia práctica y los contactos que ofrece a los estudiantes, el programa aporta a Tanium perspectivas nuevas y diversas —por no hablar del entusiasmo— en torno al sector tecnológico.
En colaboración con el Departamento de Defensa, Tanium gestiona el programa de prácticas « » SkillBridge , que ofrece a los miembros de las Fuerzas Armadas de EE. UU. experiencia laboral durante sus últimos meses de servicio activo. Los nuevos empleados reciben formación en la plataforma de Tanium y colaboran con los equipos y los clientes de Tanium, lo que les permite conocer de primera mano cómo se resuelven los problemas de forma creativa y con un enfoque innovador. Puede participar cualquier miembro del ejército, ya sea suboficial o oficial.
Se están produciendo cambios en los ámbitos de la diversidad, las colaboraciones público-privadas y la contratación de «nuevos perfiles». Al hacerlo, las empresas mejorarán sus defensas de formas mucho más eficaces de lo que podría ofrecer una herramienta tecnológica por sí sola.
