Dado que las amenazas cibernéticas y el caos derivado de la vuelta al trabajo se intensificarán en 2022, la ventaja la tendrán aquellas organizaciones que estén perfectamente preparadas.
Un ejemplo claro es Sallie Mae, la entidad crediticia más conocida por sus préstamos para estudiantes. Los planes de vuelta a la oficina se vieron trastocados en octubre, cuando se aplazó la fecha prevista por la organización debido al repunte de la COVID-19, según afirma Steve Lodin, director sénior de operaciones de ciberseguridad. Afortunadamente, la empresa había adoptado una arquitectura distribuida hacía varios años, tras la escisión de su antigua división de servicios de crédito (Navient) en 2014. Tras la transición de su centro de datos a servicios gestionados, Sallie Mae trasladó su infraestructura de servidores a Amazon Web Services en 2018.
Para facilitar una transición fluida, Sallie Mae tuvo que garantizar a las autoridades reguladoras que estaba abordando los posibles riesgos de seguridad de la nube, afirma Lodin. «Ya desde el principio hicimos cosas que hoy en día se denominarían “cero confianza”», afirma, entre las que se incluyen tanto la creación de un perímetro definido por software (SDP) para el acceso de los usuarios como el traslado de los sistemas de protocolos de gestión de redes a la nube.
Como consecuencia, Sallie Mae llevó a cabo una transición relativamente sencilla al teletrabajo en 2020.
«Tuvimos algunas dificultades en el ámbito del centro de atención telefónica, donde recurrimos a la presencia física para hacer cumplir las restricciones sobre lo que nuestros empleados del centro de atención telefónica podían hacer con los datos confidenciales», afirma Lodin.
Por ejemplo, el equipo de seguridad utilizó endpoint security software para limitar la información que se podía imprimir desde el ordenador de un empleado del centro de atención al cliente. Se trataba de una estrategia defensiva relativamente sencilla, pero eficaz.
Gracias a su enfoque en la gestión de identidades y la microsegmentación de su red, Sallie Mae cuenta con un sólido historial a la hora de repeler amenazas, afirma el Sr. Lodin. En ocasiones, un enlace malicioso o un archivo adjunto de correo electrónico logra eludir los filtros de la empresa, por lo que es necesario reinstalar el sistema operativo en el ordenador de ese usuario. «Se dan un par de casos de este tipo al año, pero no es una cifra significativa», afirma. El año pasado, solo se registró un caso de compromiso de una cuenta.
«La mayoría de las empresas se vieron obligadas a migrar a la nube a toda prisa solo para poder seguir funcionando, y aún están pagando el precio con numerosas vulnerabilidades.»Shafayet Imam, fundador y director ejecutivo de BrillianSe Group
Lamentablemente, Sallie Mae constituye la excepción a la regla en lo que respecta a los simulacros de incendio habituales que muchas organizaciones han llevado a cabo durante la pandemia.
«La mayoría de las empresas se vieron obligadas a migrar apresuradamente a la nube simplemente para poder seguir funcionando; y, debido a su falta de experiencia —o quizá a la falta de tiempo, o a no haber reflexionado debidamente sobre cómo configurar su entorno en la nube—, siguen pagando las consecuencias con numerosas vulnerabilidades», afirma Shafayet Imam, fundador y director ejecutivo de BrillianSe Group, una consultora especializada en arquitectura de sistemas y ciberseguridad.
En 2021, las organizaciones tuvieron tiempo para evaluar la necesidad de adoptar un enfoque más sistemático, algo que deberán llevar a cabo en 2022, afirma.
Cómo protegerse de los ataques de ransomware
Ask cybersecurity leaders about 2021, and the ongoing hangover from the work-at-home explosion is inevitably part of the conversation. Y eso no parece que vaya a cambiar en 2022. Los repetidos retrasos en los planes de vuelta a la oficina han llevado a muchos directivos a pensar que el entorno laboral anterior a la pandemia ya es cosa del pasado.
«He tenido casos de hombres adultos que se han echado a llorar por teléfono porque corrían el riesgo de perder la empresa de su abuelo a causa de un ataque de ransomware.»Jeffrey Wheat, responsable de seguridad de la información (CISO), Blue Team Alpha
El año pasado también fue un año excepcional en lo que respecta a los ataques informáticos. La amenaza del ransomware se ha vuelto demasiado grave como para ignorarla, , y ha afectado profundamente a proveedores de gasolina, fabricantes, hospitales, colegios y cientos de otras organizaciones.
Este año, muchos profesionales de la ciberseguridad miran hacia el futuro y están convirtiendo las medidas «temporales» en planes a largo plazo para reforzar sus entornos sin perímetro frente a los inevitables ataques de ransomware que acompañan a un modelo de trabajo a distancia e híbrido.
«Creo que los delincuentes han cometido un error», afirma Jeffrey Wheat, director de seguridad de la información (CISO) de Blue Team Alpha, una empresa de consultoría que ofrece servicios de respuesta y recuperación ante ataques de ransomware. «Cuando atacaron las infraestructuras, eso fue como un acto de guerra». «He tenido casos de hombres adultos que se han echado a llorar por teléfono porque corrían el riesgo de perder la empresa de su abuelo a causa de un ataque de ransomware».
A menudo, se trata de líderes con un enfoque práctico que no tienen ningún problema en invertir un par de millones de dólares en una nueva prensa mecánica, pero que suelen tener dificultades para comprender la necesidad de destinar unos pocos miles de dólares a «algo que no pueden ver ni tocar», afirma.
Las organizaciones del sector público se enfrentan a un reto similar a la hora de obtener fondos de los contribuyentes para la ciberseguridad. Cuando las Escuelas Públicas del Condado de Broward, en Florida, rechazaron una demanda de rescate de 40 millones de dólares tras sufrir un ataque informático en March 2021, los atacantes publicaron cerca de 26,000 archivos sustraídos, muchos de ellos documentos financieros y contables confidenciales. Afortunadamente, el distrito escolar pudo utilizar copias de seguridad intactas para restablecer el funcionamiento de los sistemas, según afirma Vincent Vinueza, director de sistemas de información en funciones del distrito escolar, quien estaba a cargo de la infraestructura en el momento del ataque. «De no ser por esas estrategias de copia de seguridad y recuperación, el ataque podría haber sido mucho peor y haber provocado interrupciones más graves que hubieran afectado a la impartición de la enseñanza».
Según Vinueza, esta filtración convenció al distrito escolar de invertir en mejorar la seguridad de los dispositivos finales y en contratar a más profesionales de la seguridad digital. Sin embargo, incluso con la publicación de nuevas ofertas de empleo, a Broward le resultará difícil competir por los trabajadores con formación en ciberseguridad en el actual mercado de talento, que se caracteriza por la escasez de personal.
[Lea también: Reducir la brecha de género en la ciberseguridad nos proporcionará mayor seguridad]
Por otra parte, la formación de los técnicos de que trabajan en los distintos centros educativos sigue siendo importante, afirma Vinueza. «Queremos que nos avisen si algo no les parece bien». En definitiva, espera que la inteligencia artificial sea capaz de detectar mucho mejor las anomalías que podrían indicar un ataque informático. Tal y como él mismo reconoce: «Los seres humanos tardan mucho más en reaccionar».
Planes para el 2022 y más allá
Nadie espera que una sola herramienta les salve, pero si hay un ámbito tecnológico en el que los líderes esperan que se demuestre su eficacia, ese es el de la inteligencia artificial.
«Queremos que nos avisen si algo no les parece bien.»Vincent Vinueza, director de sistemas de información en funciones, Escuelas Públicas del Condado de Broward
«No tenemos un problema de datos, sino un problema de sobrecarga de datos», afirma Wheat, de Blue Team Alpha. «Todo el mundo va a tener que recurrir cada vez más a la inteligencia artificial, porque hay demasiada información como para que los seres humanos puedan comprenderla».
Las tecnologías de inteligencia artificial ya suponen una ayuda para los equipos de seguridad, pero siempre hay más datos que analizar. Sallie Mae genera actualmente
2.5 000 millones de entradas de registro al día procedentes de Amazon Web Services y de los sistemas de supervisión de terminales, que se incorporan a un lago de datos para su posterior análisis. «Entonces, la pregunta es: ¿qué se hace con eso?» pregunta Lodin. Las tecnologías de inteligencia artificial ayudan a identificar entradas que podrían ser motivo de preocupación, pero aquellas que se marcan como sospechosas siguen requiriendo una revisión manual con la ayuda de un equipo externo, afirma.
Según el Sr. Lodin, Sallie Mae ha obtenido buenos resultados al utilizar software de validación de seguridad para demostrar que los sistemas funcionan correctamente y recopilan los datos que se supone que deben recopilar. Como siguiente paso, desea centrarse en mejorar la priorización de las respuestas en materia de seguridad. Por ejemplo, afirma que el equipo responsable de , encargado de aplicar parches , se ve desbordado por las alertas sobre nuevas vulnerabilidades y necesita mejores herramientas analíticas para determinar cuáles deben abordarse en primer lugar. Es más fácil decirlo que hacerlo, ya que el problema está relacionado con disponer de un buen inventario de los sistemas y su conexión con los procesos empresariales importantes.
«Supone un gasto, y además se necesita personal que comprenda y facilite los datos adecuados», afirma Lodin. «¿Contienen los sistemas datos confidenciales? ¿Están en Internet? «Es difícil conseguir ese nivel de rigor por parte de los equipos». Solo así podrá saber qué debe corregir de inmediato y qué puede esperar, afirma.
Como hemos visto, la necesidad de ese tipo de visibilidad y evaluación de riesgos es urgente. Los retos en materia de ciberseguridad no van a desaparecer en 2022. De hecho, serán cada vez más grandes y complejos. Sin embargo, las organizaciones que adopten las medidas adecuadas estarán en condiciones de obtener resultados considerablemente mejores que aquellas que hagan la vista gorda.
