La resiliencia cibernética abarca la capacidad de una organización para mantener sus operaciones y recuperarse de ataques, desastres naturales y otros incidentes cibernéticos. Un plan de resiliencia cibernética integra conceptos de ciberseguridad, tecnologías de la información y continuidad del negocio para proteger los sistemas de información de misión crítica y los componentes que dependen de ellos.
Mejorar la resiliencia ayuda a las organizaciones a prepararse y anticiparse a posibles ataques, como filtraciones de datos y otras interrupciones de la actividad empresarial, con el fin de garantizar que los sistemas, los procesos y la infraestructura sean sólidos y adaptables. Asimismo, incluye medidas de recuperación destinadas a mitigar las consecuencias negativas, tales como el tiempo de inactividad, el daño a la reputación y las pérdidas económicas.
Quizá se esté preguntando: ¿no se trata simplemente de una descripción de las medidas de ciberseguridad de una organización? Sí y no. En lo que respecta a la ciberseguridad, los términos que utilizamos cobran cada vez más importancia. A menudo, constituyen una forma rápida de explicar problemas complejos.
«Dos términos que a menudo se utilizan indistintamente son «ciberseguridad» y «ciberresiliencia». Sin embargo, esta distinción cobrará cada vez más importancia a lo largo del curso 2024 y en adelante.»Forbes1
Al principio de mi carrera, pasé una hora muy tensa en una reunión sobre los requisitos del proyecto. Sin embargo, una sencilla pregunta ayudó a disipar toda la tensión: «¿A qué se refiere con “X”?» Pues bien, resulta que los dos grupos tenían definiciones diferentes para la misma palabra y utilizaban palabras distintas para referirse a lo que el otro grupo tenía en mente. Esa experiencia y esa pregunta me han resultado de gran utilidad, sobre todo a la hora de abordar cuestiones relacionadas con el panorama actual de amenazas, en el que el significado de los términos cambia constantemente.
Ahora bien, hay ciertas palabras y expresiones que intento evitar en la medida de lo posible, como «» (búsqueda de amenazas) o «» (Zero Trust). Si tengo que utilizarlas, siempre empiezo por explicar qué significa la palabra para mi interlocutor, con el fin de evitar confusiones.
Se me ha ocurrido que «ciberresiliencia» se está convirtiendo en una de esas expresiones que es necesario definir. En esta entrada, explicaré en qué consiste la ciberresiliencia, cuáles son sus componentes clave y por qué es importante. Asimismo, explicaré cómo las organizaciones pueden mejorar su resiliencia cibernética planteándose cinco preguntas básicas. A continuación, concluiré esta entrada destacando que el aprovechamiento de los datos de los terminales en tiempo real, centralizados en una única plataforma, resulta esencial para coordinar a los equipos mediante una única fuente de información fiable.
Definición de ciberresiliencia
Cuando hablo de ciberresiliencia, me refiero a la capacidad de una organización para seguir cumpliendo sus objetivos a pesar de sufrir un ciberataque devastador. Francamente, la ciberresiliencia tiene más en común con la estrategia de recuperación ante desastres que con la detección de incidentes.
La resiliencia cibernética consiste en comprender sus procesos empresariales críticos y los equipos que los sustentan. Esto implica conocer qué equipos existen en su entorno y las herramientas necesarias tanto para los procesos empresariales como para su infraestructura de ciberseguridad, por ejemplo, dónde se encuentran y en qué puntos de su infraestructura de ciberseguridad faltan elementos.
«Las medidas de resiliencia están diseñadas para garantizar la continuidad de las operaciones incluso tras una intrusión que haya tenido éxito. Desarrollar la capacidad de recuperarse con agilidad, minimizando al mismo tiempo la pérdida de datos y el tiempo de inactividad, será una prioridad estratégica en 2024.»Forbes1
Analicemos los componentes clave de un plan eficaz de resiliencia cibernética. Estos elementos son fundamentales para garantizar que una organización pueda hacer frente a las amenazas cibernéticas y recuperarse rápidamente.
Componentes clave de la planificación de la resiliencia cibernética
En mi opinión, varios componentes necesarios de un plan de resiliencia cibernética no dan lugar a un sistema resiliente si se aplican por separado.
- Plan de respuesta ante incidentes: Toda organización debería contar con un plan para subsanar los problemas en caso de sufrir una violación de la seguridad. Por ejemplo, a quién hay que contactar y cuándo. Si el contacto principal es una persona, ¿quién es su sustituto designado en caso de que no esté disponible? En caso de que se recurra a una entidad externa para llevar a cabo la reparación, ¿quién se pone en contacto con ella y de qué manera? ¿Qué requisitos de notificación existen en caso de una violación de la seguridad? ¿Quién es responsable de determinar si se cumple el umbral de notificación y quién se encarga de realizar la notificación propiamente dicha? Si el incidente no alcanza la categoría de violación de datos, ¿qué medidas deben adoptarse y a quién debe informarse?
- Defensa en profundidad: Contar con múltiples capas de seguridad es fundamental para su resiliencia. Si solo analiza los datos de un punto final, no podrá detectar aspectos relacionados con los datos de su red ni anomalías en el uso de su cuenta. Contar con capacidades que se complementen entre sí garantiza que, cuando un tipo de detección falle o se desactive, un adversario no pueda moverse libremente por su entorno informático.
- Listas de activos críticos: Comprender la importancia crítica de los activos de su entorno es un conocimiento fundamental para todas las personas implicadas en su protección. Si hay sistemas que requieran una conmutación por error antes de ser puestos en cuarentena, esta información es necesaria para cualquier persona que pueda intervenir en el equipo. Los defensores pueden causar daños accidentales a la empresa en el día a día si no se conoce esta circunstancia de antemano.
- Supervisión y detección continuas: Es fundamental supervisar su entorno para detectar actividades maliciosas. No se trata únicamente de una monitorizació e a través de su EDR, aunque eso forma parte de ello. Comprender qué se considera normal en su entorno y estar atento a los cambios respecto a ese nivel de referencia puede ser un método fundamental. Por ejemplo, analizar los procesos que se inician automáticamente y el estado de los servicios puede revelar actividades maliciosas que su EDR no detecta. Además, es importante saber dónde se encuentran sus datos críticos y dónde deberían estar. Cada vez es posible evitar más amenazas si se cuentan con planes de protección de datos y se garantiza que se sabe quién tiene acceso a ellos y qué hacen con sus datos.
- Gestión de riesgos: . Es fundamental que comprenda sus riesgos. Esto incluye no solo cuál es su riesgo, sino también cómo decide abordarlo. Algunos riesgos se mitigarán, pero otros deberán aceptarse o compensarse. Es aquí donde las comprobaciones de cumplimiento normativo, la gestión de parches y los análisis de vulnerabilidades resultan fundamentales para comprender su nivel de riesgo.
- Plan de copias de seguridad y recuperación: Realizar copias de seguridad de sus datos es fundamental. Sin embargo, no basta con disponer de una copia de seguridad; un plan de recuperación es igualmente importante. Este plan debe detallar cómo tiene previsto restaurar los datos y garantizar que los sistemas que dependen de ellos estén operativos y protegidos.
- Posicionamiento de la pila de seguridad: No todas las herramientas estarán presentes en todas las áreas de su empresa. Pueden existir sistemas OT en los que no sea posible implementar sus herramientas de seguridad. No se pueden implementar herramientas en los dispositivos. Es posible que los contenedores ligeros y de «corta duración», así como los dispositivos del Internet de las cosas (IoT), no puedan incorporar la pila de seguridad. Es fundamental que su equipo de seguridad identifique en qué puntos presenta carencias su infraestructura de seguridad, ya que debe subsanar la falta de herramientas en dichos dispositivos.
- Pruebas: Por supuesto, no basta con desarrollar procesos y procedimientos. Estos procedimientos deben someterse a pruebas y validarse periódicamente para garantizar que funcionen en caso de crisis y contribuyan a la ciberresiliencia de una organización.
Aunque diseñar un sistema verdaderamente resiliente frente a las amenazas cibernéticas a menudo parece una tarea casi imposible, reflexionar sobre lo que se necesita para una estrategia de resiliencia cibernética y sobre los pasos a seguir para aumentar dicha resiliencia sigue siendo valioso para mejorar la postura de seguridad general y la defensa frente a las amenazas cibernéticas.
¿Por qué es importante la resiliencia cibernética?
Cuanto más resistente sea un sistema, menor será, de media, el tiempo de inactividad que se producirá a raíz de un ataque. Sin embargo, el hecho de que un sistema deba ser desconectado no significa que carezca de resiliencia.
Aunque no pueda mantener en funcionamiento los sistemas críticos durante un incidente, aún así puede reducir su tiempo de inactividad si conoce los pasos que conlleva el proceso y lo que se necesita para completarlo. De este modo, podrá establecer prioridades en sus medidas de defensa e identificar dónde pueden existir brechas.
Es posible aumentar la resiliencia de su sistema de diversas maneras; entre los ejemplos se incluyen la reducción de su vulnerabilidad ante los ataques, la superficie de ataque, la capacidad de un atacante para desplazarse lateralmente, el tiempo necesario para detectar una intrusión y el tiempo necesario para responder a una intrusión.
[Lea también: Por qué la ciberresiliencia puede beneficiarse de una estrategia «left-of-bang»]
Para que un plan de resiliencia cibernética resulte eficaz, es necesario que conozca a fondo su entorno, cómo afecta este a sus procesos y la capacidad de la organización para garantizar la continuidad del negocio.
¿Cómo puede una organización mejorar su resiliencia cibernética?
Teniendo en cuenta estos objetivos, ¿por dónde se empieza? Puede empezar por plantearse y abordar estas cinco preguntas básicas para mejorar su estrategia de ciberresiliencia:
- ¿Cuáles son sus procesos empresariales fundamentales? En general, estos son los procesos que generan ingresos, y cualquier interrupción, aunque sea breve, perturbará las operaciones de la empresa y provocará pérdidas económicas. ¿Qué infraestructuras y sistemas críticos permiten el funcionamiento de estos procesos? ¿Qué procesos empresariales críticos se verían afectados si desactiváramos estos sistemas?
- ¿Utiliza servicios externos que proporcionan funcionalidades esenciales, como la autenticación o un sistema de gestión de identidades y accesos (IAM) de ? Por ejemplo, si su sistema IAM forma parte de un servicio alojado externamente, ¿qué ocurriría si dejara de estar accesible? Aunque es posible que sus procesos puedan seguir funcionando sin un sistema IAM o un servidor de enlace, es posible que su acceso a dichos sistemas y la elaboración de informes sobre ellos lo requieran.
- ¿Qué sistemas carecen de resiliencia por naturaleza? No se considera resiliente un sistema en el que los procesos críticos se ejecutan en hardware de hace 40 años que no se puede sustituir.
- ¿Quiénes son sus usuarios críticos? Si fuera necesario desactivar una cuenta de usuario o de servicio crítica, ¿qué repercusiones tendría?
- Si es necesario migrar un proceso empresarial a un nuevo entorno, ¿qué hay que hacer para llevarlo a cabo? Esto implica comprender qué procesos, programas informáticos y cuentas son necesarios, así como determinar cómo se mide el éxito.
«: el 80 % de las empresas se muestran entre moderadamente y muy seguras de su capacidad para mantener la resiliencia en este panorama de ciberseguridad en constante evolución». Aunque esta cifra es inferior a la del año pasado, pone de manifiesto una brecha que sugiere que las empresas podrían haber depositado una confianza errónea en su capacidad para hacer frente al panorama de amenazas y que no están evaluando adecuadamente la verdadera magnitud de los retos a los que se enfrentan.»Índice de preparación en materia de ciberseguridad 2024 de Cisco
Fomentar la resiliencia en los procesos cibernéticos puede resultar abrumador, pero las ventajas de identificar sus sistemas y procesos críticos son enormes. Esto puede influir en qué aspectos supervisa y cómo lo hace, incluido su plan de respuesta ante incidentes, y mejorar su capacidad para defenderse de forma proactiva frente a incidentes cibernéticos.
Por qué las organizaciones resilientes necesitan visibilidad en tiempo real de los terminales
Al igual que la mayoría de las iniciativas en materia de seguridad de la información, la mejora de su ciberresiliencia comienza por comprender mejor todo su ecosistema. ¿Por qué? Tomar medidas para mejorar su comprensión del sistema y, a continuación, analizar detenidamente el marco de ciberresiliencia de su organización antes de que se produzca un incidente le permitirá poner en marcha planes de mitigación y recuperación con el fin de reducir el tiempo de inactividad, la incertidumbre y el pánico que suelen surgir durante un incidente.
Al obtener una visibilidad más completa y detallada de todos sus terminales en tiempo real, las organizaciones pueden determinar rápidamente:
- ¿Qué herramientas se han implementado en sus terminales y para qué sirven?
- ¿Qué componentes de su infraestructura de seguridad se encuentran en cada dispositivo y dónde están ubicados dentro de su entorno?
- ¿Existen en su entorno algún área en la que carezca de visibilidad y control, lo que podría afectar a su capacidad para actualizar y proteger los dispositivos finales?
No es posible dotar de resiliencia a un sistema ni dar prioridad a su recuperación tras un incidente cibernético si no se dispone de visibilidad sobre el mismo. Sin visibilidad, no es posible controlar ni influir en el cambio. Por lo tanto, es fundamental saber en qué ámbitos su visibilidad es elevada y en cuáles es insuficiente.
Cómo contribuye Tanium a mejorar la resiliencia cibernética
La resiliencia no es una cuestión de «todo o nada». Nunca he visto un sistema totalmente resiliente frente a las amenazas cibernéticas que pueda mantener su funcionalidad completa mientras está siendo objeto de un ataque. En cambio, resulta útil considerar la resiliencia cibernética como un objetivo al que aspirar, y su valor reside en que las organizaciones adopten medidas para intentar alcanzarlo.
La plataforma Tanium de ofrece las capacidades necesarias para llevar a cabo una estrategia de ciberresiliencia en prácticamente todos sus niveles. Comprender su entorno es el punto de partida de cualquier estrategia de ciberresiliencia. Es posible obtener en cuestión de segundos la respuesta a preguntas como, por ejemplo, cuántos dispositivos tienen instalado actualmente un software concreto. Igualmente sencillo resulta modificar el estado de su entorno. Por ejemplo, configurar el valor de una clave del Registro en todos los equipos en los que esté instalado el software se convierte en una tarea sencilla. Además, resulta mucho más sencillo identificar los equipos que no cuentan con su infraestructura de seguridad, incluido Tanium.
Existen recursos que permiten reducir rápidamente el tiempo necesario para solucionar un incidente y, a continuación, utilizar los hallazgos de la investigación para desarrollar e implementar nuevas medidas de detección con el fin de evitar que el problema se repita. Esto aprovecha las capacidades de Tanium para recopilar datos rápidamente, lo que permite analizar los datos del sistema en tiempo real con el fin de conocer el contenido de su entorno y la distribución de la información sobre amenazas ( ), tanto en formatos específicos de Tanium como en formatos estándar de inteligencia sobre amenazas, tales como reglas YARA e IOC. Además, la modificación del estado de sus terminales permite aislar y solucionar rápidamente los problemas de los terminales afectados.
Existen otras capacidades fundamentales que mejoran su situación en materia de riesgos, entre ellas las relacionadas con la aplicación de parches y la implementación de software, que garantizan que su software esté lo más actualizado posible. Las funciones de detección de vulnerabilidades y de cumplimiento normativo también son fundamentales para comprender cuáles son los mayores riesgos a los que se enfrenta su entorno. Estos datos se combinan con otros de los que dispone Tanium para ofrecer puntuaciones de riesgo críticas de para los terminales, lo que permite priorizar los problemas en función del estado actual del entorno y realizar comparaciones con los valores de referencia de su sector para evaluar cómo se sitúa su entorno.
Quizás lo más importante es que todo esto se puede automatizar e integrar con el resto de sus herramientas, incluida la automatización de sistemas directamente desde Tanium, y acceder tanto a estas como a otras funcionalidades a través de API robustas. Además, puede exportar datos desde Tanium a su SIEM, como , Microsoft Sentinel o , Splunk, y a sistemas de registro como o ServiceNow , para garantizar que sus datos no queden bloqueados en Tanium, sino que estén disponibles allí donde resulten más útiles.
Solicite una demostración personalizada y gratuita en para descubrir cómo Tanium puede ayudarle a abordar sus retos actuales en materia de resiliencia cibernética.
