Resumen
Como académico de renombre mundial y uno de los arquitectos de la política nacional de ciberseguridad de EE. UU., Richard J. Harknett asesora regularmente a líderes gubernamentales, tanto aquí como en el extranjero, sobre las ciberamenazas que las naciones deben priorizar más. En nuestro episodio anterior, explicó el nuevo enfoque proactivo actual en materia de ciberseguridad y cómo las empresas pueden beneficiarse de él.
Esa conversación continúa aquí con consejos específicos para los líderes empresariales sobre algunas de las ciberamenazas más apremiantes de hoy en día. Lo que sigue es una conversación franca sobre en qué deben centrarse realmente las marcas y qué problemas no son tan preocupantes como podrían pensar. Su perspectiva sobre las noticias cibernéticas que hoy son titulares podría sorprenderle.
Presentador: Mike Curran, vicepresidente de talento global, Tanium Invitado: Richard J. Harknett, director del Centro de Estrategia y Política Cibernética y codirector del Instituto de Ciberespacio de Ohio, Universidad de Cincinnati
Notas del programa
Para obtener más información sobre las políticas de ciberseguridad de EE. UU. y cómo la gestión autónoma de endpoints puede mantenerle activo y no reactivo, consulte nuestros artículos en Focal Point, la galardonada revista de noticias cibernéticas en línea de Tanium, y estos otros recursos útiles.
- Lo que las empresas necesitan saber sobre la nueva estrategia de ciberseguridad de EE. UU. | Focal Point
- Lo que muchos malinterpretan sobre el compromiso persistente y por qué es importante para las empresas | Focal Point
- Las advertencias del Cirujano General sobre las redes sociales generan controversia y una oportunidad para los líderes empresariales | Focal Point
- Cómo prepararse para la Ley de IA de la UE: comience con su nivel de riesgo | Focal Point
- Cómo la automatización y la IA defienden su cadena de suministro de software | Focal Point
- Estos consejos del Mes de la Ciberseguridad son valiosos en cualquier época del año | Tanium
- La próxima evolución de la gestión de endpoints es autónoma | Tanium
- Los beneficios de la gestión continua de endpoints (y en qué se diferencia del software antivirus) | Tanium
- Presentamos Tanium Automate: orquestación y automatización fáciles de crear a escala | Tanium
La siguiente entrevista se ha editado para mayor claridad.
"A la mayoría de los estadounidenses les parece bien que se les haga marketing, ¿verdad? Pero no nos gusta que nos manipulen ni que nos controlen. En el ciberespacio, hay una línea muy fina, Mike, entre ser objeto de marketing, ser manipulado y ser controlado."Richard J. Harknett, director del Centro de Estrategia y Política Cibernética y codirector del Instituto Ohio Cyber Range, Universidad de Cincinnati
Mike Curran: Hola, soy Mike Curran, vicepresidente de talento global aquí en Tanium, y hoy en Let's Converge, hablamos de "defender tu negocio hacia adelante".
Es la segunda parte de nuestra conversación en dos episodios con Richard Harknett, quien ayudó a diseñar la estrategia nacional de ciberseguridad de los EE. UU.
Nuestra política cibernética nacional de "defender hacia adelante" sigue la doctrina del compromiso persistente, una postura proactiva que no es exclusiva de los estados nacionales. Las empresas también pueden ser persistentes y proactivas.
En nuestro primer episodio, Richard y yo analizamos cómo las empresas pueden adoptar esta estrategia y utilizarla como carta de presentación en las negociaciones de contratos y en la toma de decisiones sobre proveedores externos. Richard es director del Centro de Estrategia y Política Cibernética y codirector del Instituto Ohio Cyber Range en la Universidad de Cincinnati. Fue el primer académico residente en el Comando Cibernético de los EE. UU. y la Agencia de Seguridad Nacional, y ha coescrito un libro que vale la pena revisar, titulado Cyber Persistence Theory: Redefining National Security in Cyberspace, de Oxford University Press.
Retomemos el tema. Cuando lo dejamos, Richard estaba explicando cómo la ciberseguridad es, bueno, muy parecida a entrenar fútbol femenino juvenil, algo que él conoce de primera mano.
Richard J. Harknett: Entreno un equipo de fútbol femenino de preparatoria, y hace años tuve la bendición de ayudar a facilitar un campeonato estatal. Si les diera un libro y dijera, aquí hay un libro sobre cómo jugar fútbol. Encuéntrenme en el torneo y veamos si podemos ganar un título estatal. Eso no va a pasar. ¿Verdad?
Curran: Sí.
Harknett: Se aprende el juego practicándolo, jugándolo. Y la ciberseguridad tiene que ver con la acción. Y así, si en su organización no cuenta con un protocolo de seguridad continuo que lleve a las personas a estar atentas a cómo podrían ser explotadas, van a perder en este juego frente al adversario que dedica el cien por ciento de su tiempo a pensar en la explotación.
Así que uno de mis objetivos en la vida, Mike, es eliminar el mes de la ciberseguridad. Y usted diría, siendo un experto en ciberseguridad, ¿por qué querría eliminar ese enfoque? Necesitamos la hora de la ciberseguridad. Quiero decir, si acepta mi teoría de que se trata de persistencia, no puede reservar un mes al año y pedirles a los empleados que vean un video de 20 minutos que ya vieron hace un año y decir, está bien, estamos listos.
Curran: Me imagino que con la superficie de ataque en continuo aumento, probablemente los estados-nación y los actores maliciosos están atacando a las corporaciones con la misma intensidad que hace años. ¿Cómo divide el gobierno los recursos para abordar esos dos frentes?
Harknett: Seré cuidadoso en ese punto. No trabajo para el gobierno de los EE. UU. Ayudo a asesorarlos. Ayudo cuando se activa la señal de alerta. Así que quiero ser cuidadoso. No soy uno de los chicos, no hablo en nombre de ninguna agencia del gobierno de EE. UU. Así que mira, hay un flujo y reflujo en esto. No quiero poner a nuestros adversarios en un pedestal de 10 pies. Todos tienen limitaciones en cuanto a recursos. Así que claro, aquellos que quieren influir en las elecciones se preparan alrededor de los períodos electorales y luego se retiran.
Una de las cosas que muchos, estoy seguro de que sus oyentes pensarían inicialmente desde el punto de vista de la seguridad electoral es ¿pueden entrar y cambiar el voto? ¿Pueden manipular el voto? Y podríamos tener un podcast entero sobre eso, pero la respuesta rápida es no, y no de manera sustancial. Hay toda una serie de razones por las que eso no está sucediendo. Y hemos hecho cosas realmente buenas desde 2020 y desde 2016 incluso para mejorar eso.
Nuestros adversarios lo saben. Y entonces donde están invirtiendo su tiempo es en lo que llamamos campañas de información divisiva habilitadas cibernéticamente. Hay mucho debate en los medios sobre la desinformación y la información errónea. Lo que realmente están haciendo nuestros adversarios es lo que llamamos información divisiva. Están encontrando lo que nos divide.
Desafortunadamente, en este momento, la mayoría de nosotros pasamos tiempo en las redes sociales y en los medios tradicionales solo con personas con las que estamos de acuerdo. Simplemente amplifican esa división.
Como tú y yo, si estuviéramos en la misma familia, como hermanos, podríamos estar en desacuerdo en algo realmente importante, pero si alguien viniera de afuera y comenzara a intervenir en nuestro debate, ambos lo miraríamos y diríamos: "Oye, lárgate de aquí. Puede que no estemos de acuerdo, pero somos familia. Tú no tienes nada que ver en esto."
Y entonces el argumento que he estado planteando es que tenemos que defendernos activamente contra estas campañas con ese mismo tipo de mentalidad.
Estos son actores realmente sofisticados, y hay una corriente subyacente de cosas que el usuario promedio en las redes sociales no percibe. Por eso nos preocupa TikTok. Porque sí está alineado con un actor estatal particular, China, que tiene un tipo de gobierno muy diferente y que ve a su población de manera muy distinta. No se trata del empoderamiento individual, sino de cómo el individuo sirve al estado, y realmente no están de acuerdo con nuestra forma de vida. Y entonces tener un megáfono hacia nosotros….
Algunos de sus oyentes mayores quizás recuerden la Voz de América durante la Guerra Fría. Enviamos radio al otro lado del Telón de Acero convenciéndolos de que, oye, la democracia es una mejor idea que lo que ustedes tienen. Y durante 70 años hicimos eso, y los rusos y soviéticos intentaron bloquear esas señales. Confiscaban radios y todo eso, lo hacían más difícil, pero seguíamos enviándoles esa información. ¿Cuándo marcó eso una diferencia? Marcó una diferencia cuando la Unión Soviética colapsó, la gente no cayó en un vacío. En realidad dijeron, oh, hay una alternativa, como esto de la democracia. ¿Por qué no lo intentamos?
Si yo fuera el presidente Xi [Jinping], si yo estuviera al frente del Partido Comunista Chino, y alguien viniera a mí y dijera, oye, presidente, estamos en 150 millones de bolsillos de estadounidenses en un dispositivo en el que pasan acumulativamente, algunos de ellos más de 10 horas al día. Sería el colmo de la irresponsabilidad como líder no usar ese dispositivo, si realmente creo que el estilo de vida americano no está en el interés chino. Así que es un dispositivo de doble vía que es capaz de captar cuánto tiempo me detengo en un video, no si hago clic en un video, sino si me detengo en un video, y un algoritmo que luego adapta lo que me envía y comienza a moldear lo que yo…veo.
La mayoría de los estadounidenses están bien con que se les haga marketing, ¿verdad? Pero no nos gusta que nos manipulen ni que nos controlen. En el ciberespacio, hay una línea muy fina, Mike, entre ser objeto de marketing, ser manipulado y ser controlado.
Curran: Nadie va a admitir que está siendo manipulado aunque lo esté. Así que supongo que nos lleva hacia el gran debate sobre si debería prohibirse, ¿debería prohibirse TikTok? Quiero decir, ¿cuál es tu opinión al respecto?
Harknett: Sí, recuerda que te dije que entreno a chicas de preparatoria. Así que esta no es una opinión muy popular entre ellas. Hay demasiada evidencia que sugiere que este es un dispositivo similar a un dispositivo de propaganda como la Voz de América, pero no tenemos la manera de simplemente interferir con eso. No vamos a confiscar los teléfonos de la gente. No vamos a hacer todo esto. No es que queramos negarles a los estadounidenses, a los que estamos en este campo que decimos, sí, sabes qué, esta cosa necesita reestructurarse. Estamos entregando demasiados datos a alguien a quien realmente no le gusta la forma en que organizamos nuestra sociedad.
Estoy seguro de que hay un emprendedor muy inteligente por ahí que podría desarrollar una aplicación que haga algo bastante similar, capturando videos cortos y comunicando tipos de cosas que serían más transparentes sobre el código que usan, [y] más transparentes sobre la protección de las libertades civiles que lo que es este dispositivo.
Entonces, lo que ha pasado por el Congreso es decir, mira, el gobierno de EE. UU. está de acuerdo si TikTok cambia ciertas cosas, como la transparencia sobre su código, dónde se almacenan estos datos, quién puede verlos, etcétera, etcétera. Así que la pelota fue lanzada de vuelta a ByteDance, la empresa matriz. Suena realmente exagerado y como un tipo de intervención súper gubernamental. Pero sí, hay algo llamado política mundial, y desafortunadamente los países van a la guerra entre sí por cosas, y tienes que proteger al público estadounidense de lo que estás viendo que sucede.
Así que sí, podría ser una transición dolorosa para algunos jóvenes de 14 años, pero creo que podríamos superar eso con espíritu emprendedor.
Curran: Entendido. Cambiando de tema, quería pensar que sería una omisión si no mencionamos la IA. Obviamente se ha vuelto muy prevalente en los últimos 18 meses. ¿Cómo ha influido eso en la estrategia, la estrategia de defensa avanzada?
Harknett: Hay algo en lo que estoy de acuerdo con el presidente Putin. Dijo que quien domine la inteligencia artificial dominará la segunda mitad del siglo XXI, y creo que tiene razón.
Mi punto de vista es que tenemos que dejar de pensar en ello como código y herramientas y pensarlo desde un modelo de toma de decisiones. Entonces, desde un punto de vista empresarial, ¿cómo lo implemento dentro del contexto de mi organización?
¿Qué rol y responsabilidades le voy a asignar? ¿Solo va a recopilar datos para mí? ¿Va a recopilar datos y analizar esos datos para mí? ¿Va a recopilar, analizar y organizar esos datos para que yo pueda tomar una decisión, o le voy a dar la capacidad de tomar la decisión? Esas son opciones que tienes si lo entiendes desde el punto de vista de roles y responsabilidades en lugar del punto de vista del código [y] las herramientas técnicas. Así que creo que, por mucho que espero que el trabajo en el que he estado ayudando haya creado un cambio de paradigma de la disuasión a la ciberseguridad proactiva, ese es mi próximo molino de viento contra el que estoy arremetiendo, Mike, es que tenemos que dejar de pensar en la IA desde el punto de vista de una herramienta y entenderla desde el punto de vista de los roles y responsabilidades en la toma de decisiones.
Curran: Sí, estaría de acuerdo. Creo que todos podemos estar de acuerdo en que tenemos que ganar la guerra. Y siempre pienso, al verlo ahora, que no podemos sobrerregular la IA, aunque no sepamos cuáles son los posibles resultados, no podemos regular resultados posibles. Casi tenemos que dejar que la IA crezca y luego decir, está bien, quizás tenemos que frenarla aquí, frenarla aquí, en lugar de intentar regularla desde el principio.
Harknett: Sí, quiero decir, dos reflexiones rápidas al respecto, una es que vamos a tener un problema de energía bastante pronto con la adopción desenfrenada de la IA. En realidad no tenemos la red eléctrica para soportar el procesamiento. Así que ese es un problema que realmente tenemos que analizar y en el que el gobierno y las empresas tienen que ponerse al frente de esto con bastante rapidez.
Y mi preocupación sobre el argumento de "dejar correr a los caballos" es que hay algunos entornos de entrenamiento que van a ir demasiado lejos. Y una vez que han ido demasiado lejos, ¿cómo los frenas?
Ahora mismo estoy en un grupo. Se supone que debo ser una especie de elemento perturbador en la sala, algo así como a nivel de vicepresidente, empresas de redes sociales, empresas de telecomunicaciones, y sigo intentando sacarlos de esa mentalidad bifurcada de que la regulación es ipso facto una restricción. Las regulaciones son simplemente parámetros. Son las reglas del camino. En mi vieja metáfora del fútbol, quiero decir, son la forma en que se juega el juego.
Ahora bien, entiendo que el argumento es: mira, los chinos van a jugar un juego diferente bajo un conjunto diferente de reglas. Los rusos van a jugar bajo un conjunto diferente de reglas, etcétera. Digo, genial – nuestra ruptura es quien encuentre el punto óptimo de proteger las libertades civiles y maximizar la oportunidad económica, esa es la IA que necesitamos desarrollar. No necesitamos desarrollar la IA para los autoritarios. Necesitamos desarrollar la IA para los estados democráticos liberales de [todo el mundo], porque ahí es donde están las economías de mercado y esas economías de mercado que quieren serlo. ¿Y entonces por qué no obtener lo mejor? Los autoritarios no van a desarrollar eso.
Así que no compitamos con ellos en la versión equivocada de esto. Así que todos tienen las matemáticas, todos tienen el tipo de supercomputación, o la mayoría de las personas que van a ser los líderes en esto. Es la calidad de los datos y lo que quieres que los datos hagan en el entorno de entrenamiento. Su ventaja es que están absorbiendo todo, porque no tienen parámetros de libertades civiles. Pero eso les va a dar un algoritmo entrenado particular que seguirá siendo todo sobre proteger el poder del estado, no el empoderamiento individual.
Para mí, se trata de modelar el entrenamiento de una manera diferente. En una economía de mercado, ¿cómo se posiciona y se empodera a los individuos dentro de la sociedad? Ese es un algoritmo diferente al que va a ser el algoritmo autoritario. Y eso va a requerir que vivamos y trabajemos dentro de ciertos parámetros. Hay ciertos niveles de datos a los que no vamos a tener acceso. Ese es simplemente un desafío técnico de entrenamiento. Y creo que simplemente debemos aceptarlo y decir: "Oye, en realidad podemos tener agentes algorítmicos realmente efectivos que protejan las libertades civiles y tracen una línea en términos de libertades civiles."
Y tenemos un ejemplo de eso. Implementamos HIPAA [la Ley de Portabilidad y Responsabilidad del Seguro Médico], la ley de atención médica, que básicamente decía que no vamos a permitir que las personas moneticen los datos médicos. Todos llegaron a un acuerdo, sí, eso no es una buena [idea], no queremos que los medicamentos que tomo para la enfermedad que tengo sean vendidos a anunciantes y cosas así. Así que establecimos—el gobierno intervino con una regulación moderada que estableció protección para las personas en el lado de los datos médicos. Y el mundo no se acabó.
Creo que podemos tenerlo todo. Creo que podemos ser extremadamente innovadores en el espacio de la IA y al mismo tiempo incorporar seguridad y protección en él.
Curran: Eso sería lo ideal, como suelen decir. Pero…
Harknett: Sí. Bueno, soy moderadamente optimista en la mayoría de esto.
Curran: Sí, me encanta eso. Me encanta eso. Oye, para cerrar las cosas hoy, Richard, has asesorado a estados nacionales, a nuestros aliados y al gobierno de los Estados Unidos en estrategia cibernética. Si fueras a hablarle a una empresa—ahora específicamente, hablemos no de las grandes empresas que tienen todos los recursos. Digamos que es un minorista regional de tamaño mediano, no alguien tan grande como Target.
¿Cuáles serían los pasos iniciales en una estrategia proactiva que podrían tomar para simplemente dar ese primer paso, avanzar uno o dos pasos?
Harknett: Yo diría que hagan que su CIO y su director de seguridad de la información sean tan importantes como su vicepresidente de marketing y desarrollo de productos. Es decir, tienen que estar en la mesa, y no pueden ser los chicos y chicas del pasillo que se supone deben ahorrarles dinero mediante la eficiencia para luego no darles los recursos para proteger todo, toda su propiedad intelectual. Así que creo que podría darles una larga lista de cosas técnicas que podrían hacer, pero desde el punto de vista de la planificación empresarial organizacional, se trata de asegurarse de que quienes están a cargo de la cartera de ciberseguridad sean parte integral de sus prácticas comerciales.
Y luego reconocer a nivel ejecutivo y gerencial que no es un problema de TI.
La ciberseguridad es un desafío económico, organizacional y conductual en un entorno técnicamente fluido. Ese es mi eslogan. No puedo ponerlo en un parachoques, es demasiado largo. Pero si lo tratas como un problema técnico, estás perdiendo el rumbo. Se trata de organización, se trata de comportamiento. Y por lo tanto tienes que reajustar tus flujos organizacionales.
Y si usted como CEO no sabe cuál es su plan de anticipación y resiliencia ante un ataque de ransomware, entonces necesita ir a averiguar qué es eso.
Curran: Vaya por largo, al menos lo suficiente. Sí. Bueno, excelente consejo, Richard. Realmente disfruté la conversación…
Harknett: Sí, yo también.
Curran: He estado hablando con Richard Harknett, director del Centro de Estrategia y Política Cibernética y codirector del Instituto de Rango Cibernético de Ohio en la Universidad de Cincinnati.
Si desea obtener más información sobre estrategias de ciberseguridad proactivas, consulte Focal Point, la galardonada revista de noticias cibernéticas en línea de Tanium. Tenemos enlaces a artículos en las notas del programa, o visite tanium.com/p para publicaciones.
Para escuchar más conversaciones con los principales líderes empresariales y expertos en seguridad de la actualidad, no olvide suscribirse a « : Let’s Converge» en su aplicación de podcasts favorita. Y si te gustó este episodio, por favor danos una calificación de cinco estrellas.
Gracias por escucharnos. Esperamos compartir más perspectivas cibernéticas en el próximo episodio de Let's Converge.
