El trabajo híbrido ha pasado rápidamente de ser una medida provisional a convertirse en una práctica generalizada. Más de la mitad (58 %) de los estadounidenses afirman ahora que tienen la oportunidad de trabajar desde casa al menos un día a la semana, según un estudio de McKinsey titulado « » (se abre en una nueva pestaña). Sin embargo, existen dificultades. Resulta más complicado realizar un seguimiento de los dispositivos en redes muy distribuidas y entornos en la nube. Muchos de ellos no se actualizan o están mal configurados, lo que aumenta la superficie de ataque.
Recientemente me reuní con Barbara Call, de la revista CIO, para analizar los retos a los que se enfrentan los directores de sistemas de información y por qué la ciberhigiene es una disciplina fundamental.
En la oscuridad
Son tiempos difíciles para los directores de sistemas de información, tanto si gestionan redes del sector público como del privado. Es posible que, en la actualidad, los trabajadores a distancia deseen iniciar sesión desde cualquier lugar y con cualquier dispositivo. ¿Cómo puede saber si ese usuario es quien dice ser? ¿O si están utilizando un dispositivo terminal debidamente actualizado y configurado? A medida que el entorno informático se amplía de esta manera, resulta más importante que nunca disponer de una visibilidad completa de estos terminales. Y, a medida que las políticas y los procedimientos evolucionan en consecuencia, resulta fundamental poner en orden el gobierno corporativo.
Lo que está en juego no podría ser mayor. El ransomware, las filtraciones de datos y una avalancha de riesgos financieros y de reputación amenazan con abrumar a los responsables de TI. Sin embargo, en muchos casos, las organizaciones tienen dificultades para encontrar el personal especializado en ciberseguridad que necesitan para ayudarles. Este reto se ve agravado por el uso de herramientas inconexas y aisladas, lo que agrava las carencias en materia de visibilidad y hace que la ciberhigiene no sea más que una quimera. Los conjuntos de herramientas deben estar estandarizados y consolidados, y deben estar diseñados para poner de manifiesto estas lagunas de visibilidad mediante datos en tiempo real que permitan tomar medidas. De lo contrario, los equipos de operaciones de TI, seguridad y respuesta a incidentes se quedarán desinformados.
Ponerlo en práctica
Tras haber pasado tres décadas como directivo de alto nivel en el ámbito de las tecnologías de la información en el sector público, he trabajado de primera mano para resolver estos retos. Como director de sistemas de información (CIO) del condado de San Joaquín, en California, elaboré un plan de transformación de tres años para toda la organización. Todo comenzó con la visibilidad y la gestión de activos, y se centró en el análisis continuo de vulnerabilidades y su corrección, así como en la gestión de incidentes de seguridad, con el fin de gestionar el riesgo de forma continua. Asimismo, fue fundamental establecer una estrategia de seguridad común para facilitar una mejor comunicación entre los altos directivos.
Parte de esta estandarización consistió en consolidar nuestras herramientas informáticas y de seguridad, reduciendo su número de 20 a unas seis. Las mejoras resultantes en materia de visibilidad y control no solo potenciaron las iniciativas de gestión de riesgos cibernéticos, sino que también permitieron ahorrar costes al poner de manifiesto las licencias de software no utilizadas de las que se podía prescindir.
Todo comienza con la higiene cibernética
Entonces, ¿por dónde deberían empezar los directores de sistemas de información? Una buena gobernanza empresarial es realmente fundamental: establecer ese marco para tomar decisiones eficaces en materia de ciberseguridad. Una solución de «panel único» para gestionar la seguridad en toda la organización facilitará enormemente esta tarea, además de ofrecer una supervisión en tiempo real que permita una visibilidad completa de los terminales y el control necesario para solucionar cualquier problema que surja.
Una vez implantada esta infraestructura, los directores de sistemas de información (CIO) pueden por fin empezar a mejorar su ciberhigiene (se abre en una nueva pestaña), centrándose en:
- Detección de activos para mejorar la concienciación en materia de seguridad y la recuperación de software
- Identificación de vulnerabilidades para minimizar la superficie de ataque
- Coherencia en la configuración para reducir las anomalías y el riesgo cibernético
- Garantizar la eficacia de las actualizaciones en todas las plataformas para no dejar ningún resquicio que los delincuentes puedan aprovechar
- Gestión del uso de las licencias para que solo los usuarios autenticados tengan acceso
- Detectar y resolver incidentes con rapidez para mitigar el riesgo
- Medición y gestión continuas del riesgo para cumplir con los requisitos de los seguros
La ciberhigiene constituye, sin duda, la base de una seguridad y una gestión de sistemas eficaces. Si toman esto como su guía, los directores de sistemas de información podrán trazar un rumbo para convertir a su organización en una entidad de bajo riesgo.
Puede obtener más información sobre cómo sentar esas bases en nuestro libro electrónico « : La guía definitiva sobre ciberhigiene» (se abre en una nueva pestaña).
