Resumen
Cada vez que un trabajador utiliza su propio servicio, solución o dispositivo de TI sin que su departamento de TI lo haya aprobado o sin que lo conozca, eso es TI en la sombra, y es un problema creciente. Los empleados generalmente tienen buenas intenciones, pero no se dan cuenta de los peligros que esto representa para la organización. Es responsabilidad del equipo de seguridad descubrir por qué recurren a estas aplicaciones externas y proporcionar formas seguras de alcanzar sus objetivos.
"Creo que lo dijiste perfectamente cuando mencionaste… que la seguridad debe estar al servicio del negocio", dice Stephanie Aceves de Tanium. "No se trata de: Haz estas 40 cosas para que podamos marcar esta casilla."
Presentadora: Stephanie Aceves, directora sénior de gestión de productos, Tanium
Invitada: Candy Alexander, CISO y líder de práctica cibernética, NeuEon Inc.
Notas del programa
Para obtener más información sobre la TI en la sombra y las mejores formas de mantenerla bajo control, explore estos artículos en Focal Point, la galardonada revista de noticias cibernéticas en línea de Tanium, y estos otros recursos útiles.
- La TI en la sombra está "fuera de control" – Así es como gestionar el riesgo | Focal Point
- 6 Razones por las que las personas en su organización están usando TI en la sombra | Tanium
- ¿Qué es el descubrimiento y el inventario de activos? | Focal Point
- Con Tanium Asset, puede combatir la TI en la sombra aprovechando datos en tiempo real | Tanium
Transcripción
La siguiente entrevista se ha editado para mayor claridad.
"No podemos asumir esa posición de ser el "departamento del no." Eso quedó en el ’90s, ¿verdad? Así que necesitamos comprender mejor lo que el negocio está tratando de lograr y cuáles son sus desafíos."Candy Alexander, CISO y líder de práctica cibernética, NeuEon Inc.
Stephanie Aceves: Lo más probable es que, si eres como la mayoría de los trabajadores, hayas infringido las reglas: tal vez hayas ignorado la política de la empresa y usado una aplicación no autorizada como Trello o Dropbox, o usado un rastreador de actividad física conectado a la red empresarial, o hayas enviado trabajo a tu correo electrónico personal.
Hola, soy Stephanie Aceves, directora sénior de gestión de productos en Tanium, y hoy en Let's Converge, hablamos sobre la TI en la sombra y su versión más reciente y preocupante, la IA en la sombra.
En los próximos tres años, 75% de los empleados habrán creado, modificado o adquirido de alguna manera tecnología que su departamento de TI no ha aprobado y que no saben que están utilizando. Eso es según una investigación de Gartner. Y la próxima revolución de la IA solo va a empeorar las cosas.
Quien me acompaña hoy para hablar sobre este tema es Candy Alexander, CISO y líder de práctica de ciberseguridad en NeuEon Inc., una destacada firma de consultoría en gestión empresarial. Además de desarrollar y gestionar programas de seguridad corporativa, Candy ha sido elegida dos veces como presidenta internacional de la Asociación de Seguridad de Sistemas de Información, o ISSA, y ha sido directora durante mucho tiempo en su junta internacional. Bienvenida al podcast, Candy.
Candy Alexander: Gracias, Stephanie. Es un placer estar aquí.
Aceves: Estamos muy emocionadas de tenerte aquí. Quiero empezar con los conceptos básicos. La TI en la sombra es un problema creciente para las empresas y adopta muchas formas diferentes. Cada vez que un trabajador utiliza un servicio, solución o dispositivo de TI que su departamento de TI no ha aprobado o del que no tiene conocimiento, eso es TI en la sombra.
Cuando comencé mi carrera, antes de estar realmente en el ámbito de la ciberseguridad, era pasante en una empresa aeroespacial, y solía ir a internet y simplemente descargar mis propias versiones de Notepad++ o cualquier herramienta que se te ocurra, sin comprender realmente el riesgo. Creo que la mayoría de las personas que escuchan tienen una idea de este problema. Pero Candy, ¿cuáles son algunas de las formas más sigilosas de TI en la sombra y los productos y prácticas que los empleados podrían ni siquiera darse cuenta de que son problemáticos?
Alexander: Algunas de las más sigilosas son – de hecho, incluso diría que las más riesgosas – son aquellas que tienen que ver con datos sensibles. Lo que quiero decir con eso [es que] todo el mundo sabe, espero, que los usos comunes de TI en la sombra como con Dropbox o Google Drive – [ella se ríe] incluso he encontrado personas que se han registrado en Google usando el dominio de su empresa y todo lo demás – eso obviamente es una preocupación.
Pero creo que los usos más sigilosos o peligrosos de la TI en la sombra son aquellos que, nuevamente, tienen que ver con información confidencial o sensible. ¿Y qué significa eso? Seamos honestos: cuando tenemos nuestra comunidad de usuarios y empresas, ellos solo quieren hacer su trabajo. Y la mejor manera de lograrlo es mediante el uso de herramientas. Sé que muchos usuarios encuentran que solicitar el uso de software puede ser un proceso largo y realmente difícil en las empresas corporativas o grandes de América, y a nivel global, para el caso.
Así que salen y prueban versiones gratuitas de lo que sea. Algunas de las que he visto más comúnmente utilizadas, aunque no lo crean, son aplicaciones de gestión de proyectos, como los Mondays, los Asanas. Quiero decir, incluso me he encontrado con casos de personas que usan sus propias versiones personales privadas de Microsoft de Planboard o lo que sea, y eso es lo que más preocupa a un CISO, porque ahora son datos de la empresa fuera de su control.
Así que para mí, esos son los más sigilosos, los que existen por razones legítimas, y las intenciones de uso siempre son buenas. Creo que lo importante que hay que destacar es que cuando los empleados tienen o usan TI en la sombra o se salen de los parámetros del software aprobado por la empresa, lo hacen con buenas intenciones. Y creo que nosotros, como personas de seguridad, necesitamos entender que realmente intentan hacer lo correcto. Así que, de nuevo, esos son los que más me preocupan, el uso [poco comprendido] de esas aplicaciones.
Aceves: Sí, me encanta eso. Y tocaste un poco el riesgo asociado con la pérdida de datos,... información confidencial que sale de dispositivos corporativos o activos administrados por la empresa. ¿Existe riesgo en la otra dirección, donde quizás yo, como empleado, estoy instalando alguna aplicación y podría haber la posibilidad de que un atacante ingrese desde adentro? ¿Es ese riesgo bidireccional, o ve usted que los CISOs generalmente están más preocupados por la comunicación saliente o el tráfico saliente?
Alexander: Bueno, creo que es un poco de ambas, ¿verdad? Muchos profesionales de seguridad lo ven como lo saliente, el uso de SaaS [software como servicio], y cosas de esa naturaleza. Pero creo que también es necesario entender ese problema bidireccional. Tendrá empleados que, si tienen privilegios administrativos locales en sus endpoints, van a instalar cosas, se lo prometo. Porque pierden la noción de que el dispositivo que se les proporcionó no es su dispositivo. "Es mi endpoint." Pero no es tu endpoint. Es tuyo para usar, pero no tienes el derecho de instalar cosas.
Entonces eso lleva a la pregunta que planteaste: ¿Qué pasa cuando los empleados sí instalan aplicaciones en su endpoint? Es muy peligroso porque no hay verificación de que sea una buena aplicación. Por ejemplo, al menos con Apple, tienes la App Store, e incluso Google [evalúa] hasta cierto punto con su tienda de aplicaciones, pero al menos con Apple, ellos sí la evalúan de manera significativa.
Pero incluso si vas y descargas una aplicación de la App Store de Apple que ha sido previamente evaluada por Apple, eso no significa que no sea arriesgada para el negocio de tu empresa usarla. Entonces, como grupo de seguridad, es posible que no tengas idea de qué está instalado, o si es una aplicación algo legítima, ¿cómo se está usando?
¿Dónde están los datos? Porque todo se trata de dónde está el huevo de oro definitivo. ¿Está almacenado dentro de tu entorno en el endpoint, o está en algún lugar de la nube? Si está en el endpoint, muchas empresas, se lo prometo, no hacen copias de seguridad de esos endpoints porque todos están migrando a la computación en la nube. ¿Y saben qué? Ahora tienen un problema de contingencia.
Y quiero decir, estoy seguro de que todos tenemos esas historias de guerra donde los usuarios [dicen], "Oh, descargué tal o cual cosa, y tengo todos estos datos en mi disco duro y mi dispositivo se averió, y ahora se han perdido." Y ahí vienen las lágrimas y el dolor de cabeza porque ese trabajo se perdió. Y esperemos que no sea crítico para el negocio. Así que hay un montón de peligros desde ese aspecto, sin importar dónde estén los datos, siempre que no estén gestionados – recuerden la regla de los datos no gestionados – es muy peligroso.
Aceves: Y me encanta que haya comenzado a hablar sobre dónde radica el riesgo y la falta de visibilidad sobre ello. ¿Puede hablarme sobre cómo asesora? Sé que muchos ejecutivos escuchan este podcast, así que ¿cómo les aconsejaría que empiecen a tener una idea de cuál es su exposición al riesgo actual y por dónde empezar? Es posible que tengan cierta visibilidad sobre lo que está pasando, pero si soy un nuevo CISO y he heredado quizás una empresa propensa a fusiones y adquisiciones y simplemente no tengo idea de lo que está pasando, ¿por dónde empiezo?
Alexander: Sin importar a dónde vaya para comenzar a trabajar, ya sea un proyecto con un cliente o un nuevo empleo o lo que sea, hay un par de preguntas con las que comienzo, con el propósito de delimitar el riesgo y el entorno. Mis primeras preguntas son: ¿Puedo tener un mapa de topología? ¿Cuáles son los dispositivos utilizados? Y luego, aunque no lo crean, una estructura organizacional, para saber a quién culpar. [Ella se ríe] No debería decir culpar, eso está mal. [Ella y Stephanie se ríen.] Pero, ¿con quién voy a hablar? Porque la estructura de gobernanza debe reflejar la estructura organizacional. Por eso pido el organigrama. Pero sin saber cuáles son los parámetros – y eso es un poco del viejo estilo de la informática local, en las instalaciones – o entender cuál es el entorno SaaS, ¿verdad? Todo el mundo está migrando a la nube de forma nativa ahora, pero hay que empezar en algún punto para entender el entorno, porque si no comprendes el panorama, no puedes protegerlo.
Entonces el primer paso es hacerse una idea, a alto nivel, de cómo se ve desde una perspectiva de alcance. ¿Estamos hablando de servidores locales? Desde una perspectiva de endpoints, ¿estamos hablando de Windows y Macs, o iOS? ¿Es solo Windows desde un entorno SaaS? ¿Dónde están esas instancias autorizadas? ¿Estás usando Microsoft? ¿Estás usando Paylocity? ¿Cuál es el ámbito de ese negocio? Así que ahí es donde necesitas comenzar, y de esa manera puedes empezar a entender y desarrollar cuál es ese perfil de riesgo.
Aceves: Sí, absolutamente. Ahora bien, mientras hablamos de cómo los ejecutivos pueden comenzar a tener control sobre esto, ¿puede compartir un poco sobre lo que está empezando a ver, digamos, en la práctica o con las organizaciones con las que trabaja?
Alexander: Muchas veces una organización puede no tener oficialmente, o el grupo de TI puede no tener el conjunto de habilidades para, por ejemplo, dar soporte a dispositivos Apple. Pero la organización también reconoce, por ejemplo, que su grupo de marketing o de ventas necesita iPads. Así que eso sigue siendo un reconocimiento de que ese es un dispositivo corporativo. Eso es lo que quiero decir con propiedad y soporte. Entonces hay diferencias, pero ambos están sancionados, todos están dentro del ámbito. Cualquier cosa fuera de eso es lo que llamaríamos TI en la sombra.
Entonces, ¿cómo empiezas a descubrir qué se usa en esa TI en la sombra? Son un par de enfoques: es el enfoque del viejo, diría yo, proverbial "personas, procesos y tecnología." Y así es como se entienden esos diferentes sectores. ¿Qué tiene ahí para los endpoints? ¿Qué tiene para los servidores? Tener un inventario de activos para identificarlos es clave. Y eso incluso incluye la nube, que es por supuesto la más desafiante.
Aceves: Sí, me encanta eso. Algo que dijo al principio me ha quedado grabado – que los empleados quieren hacer lo correcto. ¿Correcto?
Alexander: Mm-hmm.
Aceves: Y muchas veces solo están tratando de hacer su trabajo y están tratando de ser más eficientes. Y eso realmente se centra en algo: Cómo sabemos, si tienen privilegios administrativos locales, cómo los van a usar. Y el objetivo es prohibirles exponer a la empresa a riesgos adicionales, pero no impedirles hacer su trabajo. Y esta es la antigua tensión de siempre que manejamos en TI, que es cómo te aseguras de tener políticas implementadas, ya sean políticas de personal o la tecnología real, que refuercen los sistemas y limiten el riesgo pero que no obstaculicen al negocio para que funcione como tal y haga las cosas que necesita hacer para operar?
¿Puedes compartir un poco sobre cómo podemos realmente ayudar a los usuarios finales a entender cuál es el riesgo o incluso hacer cumplir políticas en torno a la TI en la sombra que no sean obstructivas para su día a día? ¿Cómo los mantenemos avanzando a la velocidad que desean y los apoyamos al mismo tiempo?
Alexander: Se remonta a dos cosas, y la primera es: Para toda regla de oro, hay una excepción. Creo que debemos recordar que los controles de seguridad y los requisitos que tenemos, y las políticas, están de hecho ahí por una razón. Sin embargo, nada es absoluto. Y no podemos asumir esa posición de ser el "departamento del no." Eso quedó en el ’90s, ¿verdad?
Aceves: Sí.
Alexander: Entonces necesitamos comprender mejor lo que el negocio está tratando de lograr y cuáles son sus desafíos. Entonces, cuando tenemos usuarios que van a instalar o usar una TI en la sombra, como aplicaciones de gestión de proyectos,... si van a usar Monday, Asana, o Riker o lo que sea, la primera pregunta que sale de mi boca es, bueno, ¿por qué? ¿Qué tiene esa aplicación?
Entonces, de nuevo, creo que simplemente necesitamos dar un paso atrás y entender que como profesionales de la seguridad, estamos ahí para apoyar al negocio. No estamos ahí para ser un guardián o (de nuevo) el departamento del no. Estamos ahí para apoyar al negocio. ¿Y cómo puedes apoyar al negocio si no hablas con el negocio?
Así que puedo prometerte que los clientes con los que trabajo… Aquí hay una pequeña historia: trabajé para esta cuenta y reportábamos al CFO. Y entonces, en primer lugar, me acostumbré a explicar las cosas realmente en términos de negocio. Así que fue un buen ejercicio. Pero luego él entró y dijo: "Escucha, sé que tienes que ir a hablar con fulano en I&D, y avísame si tienes algún problema. Fue como, "Bueno, esa es una forma un poco extraña de decir las cosas, pero claro, te avisaré." Así que fui a hablar con el vicepresidente de I&D. Y lo enfoqué como, "OK, ayúdame a entender tu negocio. ¿Cuáles son los desafíos que estás enfrentando?"
Así que de inmediato, al comenzar la conversación de esa manera, quedó claro que estaba ahí para ayudarlo a hacer su negocio, no para detenerlo. Déjame entender cuál es tu negocio, cuáles son tus desafíos, y déjame ayudarte a identificar una solución que sea segura y protegida. Porque de nuevo, la gente quiere hacer lo correcto. No tienen las habilidades necesarias, ni deberían tenerlas, ¿verdad? Para eso estamos nosotros. Entonces, cuando otros profesionales de seguridad dicen, bueno, estoy tratando de enseñarles a los ejecutivos sobre seguridad, es como, ¿por qué diablos harías eso? ¿Tu CFO viene a ti y te dice que necesitas aprender a hacer lo que sea? En absoluto. ¿Entonces por qué les estamos haciendo eso a ellos? Los estamos poniendo en una posición para fracasar.
Así que voy y digo, escucha, traigo estas habilidades a la mesa. Déjame trabajar contigo para descubrir cómo hacer que ese negocio funcione de manera segura y protegida. Cada conversación que tengo con el negocio es en ese sentido, y eso inmediatamente establece una asociación y una manera colaborativa de avanzar.
Así que llega al punto en que, a través de ese enfoque, existe una confianza. Ahora soy verdaderamente el cliché: soy su asesor de confianza en materia de seguridad. Y eso es lo que se supone que debemos ser. Entonces, una vez que entienden los riesgos, al trabajar con ellos para comprender cuál es su caso de uso, el proceso es mucho más sencillo. Entonces, una vez que entiendo que necesitan usar este software de gestión de proyectos, ¿saben qué? Vamos a establecer los parámetros en torno al uso y aprobarlo.
Aceves: Sí, y es curioso, tengo una visión algo polarizadora sobre algo que creo que incomoda a mucha gente, pero personalmente no creo en la disciplina, y lo explicaré. Creo que la disciplina eventualmente va a fallar en algún momento. Y entonces, hasta que no conviertas la decisión correcta en la más fácil – uno de mis colegas me dijo esto, y desde entonces ha sido una especie de filosofía de vida. Hasta que no conviertas la decisión correcta en la más fácil, es decir, el camino de menor resistencia. Piensa en el agua fluyendo cuesta abajo. Así es como se logra un cambio duradero. Pedirle a la gente que suba la cuesta todos los días, un día se va a cansar y no lo va a hacer. Un día, va a haber otras cosas, va a haber demasiado que intentarán gestionar, y el sistema se vendrá abajo.
Y si sabemos algo sobre psicología humana es que si ocurre una vez y no pasa nada malo, está bien, voy a seguir haciéndolo. Y entonces comenzamos la pendiente cuesta abajo en la dirección equivocada.
Así que creo que lo dijiste perfectamente cuando dijiste que estamos casi al servicio. Somos asesores de confianza, la seguridad debe estar al servicio del negocio. No se trata de: Haz estas 40 cosas para que podamos marcar esta casilla. Se trata de: ¿Cómo necesitas gestionar tu parte del negocio? Déjame pensar cómo poner los rieles de protección en el camino para que puedas hacerlo de forma segura. He hecho mucha formación y capacitación en el ámbito de la ciberseguridad e incluso a mis familiares o desconocidos que conozco en los aviones, y están fascinados por estas cosas que en TI consideramos normales. [Ella se ríe.]
Lo vemos porque estamos en este mundo todos los días. Siempre me hacen la pregunta, ¿cómo me aseguro de que mi información no sea hackeada? Bueno, empieza por lo básico, ¿verdad? Realmente empieza con la gestión de contraseñas y todo eso. Pero, ¿cómo llegamos a un punto donde – tengo a mis padres usando gestores de contraseñas? Todavía tienen, que Dios los bendiga, como tres contraseñas que reutilizan. Y entonces hay algo que debe hacerse en el espacio tecnológico para realmente atraer y tentar a los usuarios de modo que obtengan valor de ello, donde eso se convierta en el camino de menor resistencia. Creo que la disciplina inevitablemente fallará en algún momento, y se corre el riesgo de que falle a largo plazo.
Alexander: ¿Alguna vez has intentado entrenar a un animal?
Aceves: Oh, sí.
Alexander: ¿Como un caballo o un perro?
Aceves: No un caballo. Un perro, sí.
Alexander: Entonces el estímulo positivo funciona mejor y la disciplina es un fracaso porque se volverán contra ti. Y no puedes permitir eso en un negocio. No puedes permitir que el negocio se vuelva contra ti. Y al establecer esa relación, vendrán a ti de manera proactiva. Y me ha pasado: "Vaya, Candy, queremos ir a hacer esto. ¿Qué piensas?" Eso es cuando sabes que has tenido éxito.
Aceves: Sí, absolutamente. Bueno, Candy, muchas gracias. Esta ha sido una de mis conversaciones favoritas hasta la fecha.
He estado hablando con Candy Alexander, CISO y líder de práctica cibernética en NeuEon Inc.
Si desea obtener más información sobre la TI en la sombra y la IA en la sombra, consulte Focal Point, la revista de noticias cibernéticas en línea de Tanium. Tenemos enlaces a artículos relevantes en las notas del programa, y puede consultarlos visitando tanium.com/p.
Para escuchar más conversaciones con los principales líderes empresariales y expertos en seguridad de hoy, asegúrese de suscribirse a Let's Converge en su aplicación de podcast favorita, y si le gustó este episodio, por favor denos una calificación de cinco estrellas.
Gracias a todos por escuchar. Esperamos compartir más perspectivas cibernéticas en el próximo episodio de Let's Converge.
