Resumen
Si hay alguien que puede beneficiarse de la automatización, son los equipos de ciberseguridad, que han estado con falta de personal y sobrecargados durante la última década. Por fin, hay alivio a la vista. Un número creciente de herramientas de automatización está aliviando la presión sobre los profesionales de la seguridad, al encargarse de tareas repetitivas, tediosas y de bajo nivel. Entonces, ¿por qué tantas organizaciones aún no las han utilizado?
PRESENTADOR: Doug Thompson, director de ingeniería de soluciones técnicas y arquitecto jefe de educación, Tanium
INVITADO: Steven Blankenship, director de TI, Universidad de Salisbury
Notas del programa
Consulta estos artículos de Focal Point, la nueva revista de noticias cibernéticas en línea de Tanium, y un video repleto de información de nuestro webcast To The Point con Renee Murphy de Forrester.
- Un manual de automatización de seguridad para 2023
- Los directores de sistemas de información del sector sanitario deben combinar la automatización con la seguridad
- El futuro de la gestión de riesgos tiene que ver con la automatización (webcast)
Transcripción
La siguiente entrevista se ha editado para mayor claridad.
Steven Blankenship: Números de seguridad social, tarjetas de crédito, licencias de conducir, pasaportes. Tenemos la obligación de proteger esos datos. Y les digo, esas son nuestras joyas de la corona. Esas son las cosas que, si las perdemos, si son robadas, si son vulneradas, eso es lo que arruina la vida de las personas.
Doug Thompson La automatización está en todas partes hoy en día. Sabes, no puedes depositar un cheque en tu cuenta bancaria sin tomarle una foto. No puedes conseguir tu hamburguesa favorita en un restaurante de comida rápida en el aeropuerto sin encontrarte con algún tipo de quiosco. Esta tecnología automatizada es tan prevalente que incluso los líderes de TI están comenzando a preocuparse de si los algoritmos pronto podrían dejarlos sin trabajo. Pero hay un grupo dentro de TI que realmente está adoptando esta nueva tendencia. Y si usted no lo está, probablemente debería.
Hola, soy Doug Thompson. Y hoy en Let's Converge, hablamos de automatización y ciberseguridad.
Si alguien puede beneficiarse de la automatización, son los equipos de seguridad que han estado con poco personal y sobrecargados durante la última década. Las filas de ciberseguridad han crecido un poco en los últimos años, pero casi 3 millones de empleos en ciberseguridad siguen sin cubrirse. El informe de fuerza laboral del año pasado de (ISC)² reveló que el número de trabajadores de ciberseguridad necesita crecer un 65% para defender adecuadamente a las empresas.
Thompson: Mientras tanto, los ataques de ciberseguridad están por las nubes. Pero hay alivio a la vista: un número creciente de herramientas de automatización de seguridad están aliviando la presión sobre estos profesionales de la seguridad al encargarse de tareas repetitivas, tediosas y de bajo nivel. Pero un número sorprendente de organizaciones aún no las ha utilizado. ¿Qué pasa? Tengo mi teoría: creo que es simplemente la naturaleza humana, la gente no quiere cambiar.
Hoy nos acompaña Stephen Blankenship, director de TI de la Universidad de Salisbury en Maryland, quien está aquí para compartir un caso de estudio sobre herramientas y transformación digital. Stephen fue ascendiendo en Salisbury, comenzando como estudiante de pregrado, obteniendo una licenciatura en ciencias de la computación, luego una maestría, y luego avanzando en los rangos a través de soporte de escritorio, redes y administración de sistemas. Steven, ¿cómo estás?
Blankenship: Bien, bien. Me alegra estar aquí.
Thompson: Parece que llegaste a Salisbury como estudiante de primer año y disfrutaste tanto de la vida universitaria que simplemente no pudiste alejarte.
Blankenship: He estado aquí por aproximadamente 23 años. Somos una universidad regional de artes liberales tradicional en la costa este de Maryland, a pocas horas al este de D.C. He estado en la educación superior durante toda mi carrera. Me encanta apoyar entornos de aprendizaje educativo y crear oportunidades donde los estudiantes puedan tener éxito.
Thompson: Entonces, ¿obtuviste tu título y te metiste directamente en eso?
Blankenship: Sí, me atraparon, desde las prácticas. Fui ascendiendo por todo el departamento desde finales de ‘90s hasta hoy. Así que se quedaron sin lugares donde ponerme,
Thompson: Estábamos hablando antes de empezar a grabar: yo había estado en Microsoft antes de esto y estábamos hablando sobre la historia de lo que se ha utilizado [para la gestión de redes]. Estabas en los primeros días de poder gestionar PCs. Quiero decir, antes de eso, era una especie de pesadilla gestionar tu entorno.
Blankenship: Oh, sí. Sabes, todo el camino de regreso a los días de Novell y NetWare Application [Manager].
Thompson: Ah, sí. Novell. Para aquellos que no son fanáticos de la historia o que no lo vivieron como nosotros, Novell fue un pionero en redes corporativas allá en los 1990s. Su producto principal, NetWare, era un líder en software de redes. Luego Microsoft, mi antiguo empleador, intervino, dándose cuenta de que podían integrar las redes en su sistema operativo. Y ahí se fue Novell. SMS 2003 debe haber sido un verdadero cambio de juego para ti también. El SMS, o System Management Server, había sido tradicionalmente una herramienta de gestión de escritorio de referencia, pero esta versión se centró en la ciberseguridad de una manera completamente nueva: detectando vulnerabilidades de seguridad y entregando actualizaciones críticas.
Blankenship: Sabes, inicialmente, SMS 2003 fue nuestra primera inmersión profunda real en tratar de controlar nuestro entorno de escritorio. Hemos utilizado muchas herramientas, muchas soluciones puntuales a lo largo de los años aquí para intentar resolver problemas en nuestro entorno de escritorio.
Thompson: Y eso es lo que más o menos había que hacer. Era, OK, aquí está el problema del momento, como lo llamaría, y realmente no tenían una buena plataforma, que te diera esta especie de forma integral de poder hacer las cosas de manera holística.
Blankenship: Sí. Son soluciones; no son plataformas. Y esa es toda nuestra experiencia, toda mi carrera aquí. Y puede ser increíblemente frustrante.
Thompson: ¡Sí, lo sé! He hablado con personas que dijeron, ya sabes, esto resolvió este problema, pero trajo otros cuatro problemas. Así que es un juego de golpear topos, que es probablemente la mejor descripción para ello.
Blankenship: Oh, sí.
Thompson: Recientemente se convirtió en uno de nuestros clientes aquí. Así que cuéntenos cómo evolucionó eso. Lo cuento desde la perspectiva de la historia de que hay que conseguir personas que estén pensando fuera de los silos. Es una visión más amplia de lo que necesita suceder y una especie de visión holística de cómo podría ser la vida. Y de nuevo, es más como: llevas el tiempo suficiente allí para saber que la vida tiene que ser mejor. ¿Verdad?. Has estado viviendo este Día de la Marmota, reviviéndolo, durante demasiado tiempo.
Blankenship: Sí. Y le diré que las necesidades operativas, como administrar escritorios y resolver algunos de estos desafíos, no es algo atractivo y no es algo en lo que la administración quiera invertir. Es muy difícil presupuestarlo. Y en Salisbury, la forma en que pudimos incorporar Tanium fue que teníamos una necesidad de seguridad muy específica que debíamos abordar para cumplir con los requisitos de nuestra auditoría legislativa.
Así que un poco sobre cómo surgió eso: nuestros auditores legislativos nos dijeron que teníamos que identificar todas las fuentes de PII en todos los endpoints de nuestros servidores, es decir, recursos compartidos de archivos, almacenamiento en la nube, y todo lo demás. Y cuando digo PII, me refiero a "información de identificación personal", como números de Seguro Social, tarjetas de crédito, licencias de conducir y pasaportes. Tenemos la obligación de proteger esos datos. Y les digo, esas son nuestras joyas de la corona. Esas son las cosas que, si las perdemos, si son robadas, si son vulneradas, eso es lo que arruina la vida de las personas.
Y, ya saben, incluso fuera de nuestros requisitos legislativos, estos son los datos que más nos importan y los que más queremos proteger. Por lo tanto, debemos eliminar la PII de cualquier cosa que no sea un repositorio cifrado aprobado. Y habíamos probado varias soluciones puntuales a lo largo de los años, realmente inmanejables por la cantidad de horas de trabajo y la efectividad de esas herramientas.
Thompson: Este es un problema grave y común, y uno que la mayoría de los líderes empresariales ni siquiera saben que existe.
Blankenship: Es más de lo que jamás imaginamos. Todo el mundo y su hermano quieren guardar todos los contratos desde el ‘80s en sus computadoras. Así que en realidad compramos la herramienta de seguridad que es capaz de mirar dentro de todos los archivos dentro de los archivos comprimidos y hacer coincidencia de patrones dentro de ellos para que podamos identificar y confirmar los accesos legítimos a PII. Y luego automáticamente extraerá esa PII de los endpoints, dejará un pequeño aviso que dice: Oye, tomamos tu archivo, llama al servicio de asistencia si lo necesitas, y luego lo moverá a un repositorio NAS [almacenamiento conectado a la red] central cifrado para el que tenemos ACLs [listas de control de acceso] completamente separadas y permisos y procesos separados para que las personas recuperen el acceso. Y eso cumplió con nuestros requisitos de auditoría y realmente limpió millones de registros de los endpoints de las personas, muchos más de los que jamás hubiéramos imaginado.
Thompson: Sí. La educación superior, he descubierto, es un lugar para los acaparadores de datos, como, teníamos un investigador en un puesto anterior que había guardado cada solicitud de una beca que había tenido. Y el tamaño de su buzón era como en terabytes. Quiero decir, descubrí que nadie tira nada en la educación.
Blankenship: No, nadie quiere tirar nada. Y no siempre son las personas que sospechábamos, no siempre son las personas de recursos humanos o los registradores o las personas que tienen una razón legítima para trabajar con ellos. PII. Sí. Cada uno de ellos ha descargado un informe y lo ha dejado en su escritorio. Sí. Luego han copiado su carpeta de documentos de sus últimas cuatro o cinco máquinas. Tenemos PII que se remonta al ‘80s. Pero también son todos los empleados de los departamentos que ejecutaron su TurboTax y guardaron su archivo de impuestos en su escritorio. Son los contratos, las órdenes de adquisición, las tarjetas de crédito, los PDFs escaneados que estamos encontrando. Es mucho más de lo que jamás imaginamos y más de lo que cualquiera de las herramientas anteriores que intentamos utilizar fue capaz de encontrar.
Thompson: Nadie desde la alta dirección hacia abajo reconoce la magnitud de este problema. Vaya, esto sorprende incluso a quienes trabajamos en seguridad. Hasta que no lo buscas, no tienes idea de cuántos datos personales vulnerables están almacenados en tus endpoints y servidores. E incluso si crees tener una idea de cuántos datos originales recopila tu organización, realmente no tienes idea de con qué frecuencia han sido duplicados, dónde viven esas copias dentro de tu sistema y quién tiene acceso a ellas.
Blankenship: Y el problema para nosotros era que no tenemos el personal suficiente para revisar estos. No tenemos el personal suficiente para ir y eliminar manualmente la PII.
Thompson: No pasa un día en que no esté hablando con una empresa sobre cómo resolvieron este problema o aquel problema, y digo, Oye, tengo una herramienta para eso. Y me recuerda un poco a cuando estaba en la universidad, trabajando como mecánico nocturno, y hablaba con estos mecánicos expertos. Vi a uno que tenía un estetoscopio en su caja de herramientas y pensé, ¿qué estás haciendo con eso? Él dijo: 'Lo uso para determinar si hay un ruido o algo está fuera de sincronía en el auto.' En realidad lo ponía cerca del motor. Hoy en día, los autos tienen estos puertos en los que realmente se conecta a una computadora y te da todos los diagnósticos sobre todo lo que está sucediendo en ese motor. Lo que describes es prácticamente el mismo proceso. Necesitamos una sola herramienta que nos brinde visibilidad completa de todos los endpoints de manera regular.
Blankenship: Uno de nuestros principales requisitos era que necesitaba ser autosuficiente. Por lo tanto, no es suficiente para nosotros encontrar PII; necesitábamos eliminarlo, una vez que confirmamos la situación o el escenario. Entonces podemos entrar y ver esos resultados y decir, sí, este patrón es legítimamente PII—todo lo demás que se le parezca, adelante y elimínalo. Así que solo tenemos cierto cuidado y mantenimiento en su entrenamiento, porque nuestros formularios de requisición tienen todos el mismo aspecto, nuestros contratos tienen todos el mismo aspecto. En realidad es bastante sencillo, una vez que conoces los tipos de PII que existen en tu entorno, para que puedas cuidar, mantener y entrenar la herramienta para que lo elimine automáticamente. Y políticamente pudimos lograrlo, y nuestros usuarios han llegado a entender cómo funciona todo eso.
Thompson: ¿Cómo lo gestionaste? ¿Obteniendo la aceptación de los usuarios?
Blankenship: En el momento en que tu financiamiento estatal va a ser retirado si no cumples con los requisitos legales, los últimos vestigios de duda [desaparecen] ya que nuestro presidente no quiere aparecer en el periódico. Afortunadamente, otras personas a nuestro alrededor han tenido malas experiencias al punto de que ahora nos creen. No creo que algunas de las explicaciones políticas y culturales sean necesarias hoy en día. No es que no hayamos sabido que necesitábamos hacer esto durante la última década, sino que finalmente tenemos las herramientas, la capacidad para hacerlo, y la voluntad, el reconocimiento en el entorno de ciberseguridad actual de que tenemos que hacerlo. Así es como todo encajó.
Thompson: Es un equilibrio delicado, porque en el pasado podrías haberlo hecho, pero no habría sido una gran experiencia para el usuario. La tecnología bien implementada pasa a un segundo plano. Ni siquiera sabes lo que hay. Simplemente funciona. Es como el interruptor de luz cuando enciendes la luz. Y parece que pudiste encontrar esa solución para que fuera transparente para el usuario—si eliminas esa fricción, es mucho más probable que se sumen.
Blankenship: Exacto. Y lo más importante es que cualquier cosa que hubiéramos podido hacer en el pasado habría tenido una carga manual tan grande para TI y para los usuarios que habría sido insostenible para nosotros mantenerla y darle soporte. Así fue realmente como logramos implementarlo. Una vez que lo introdujimos y tenemos esta poderosa herramienta en todos nuestros endpoints y en todos nuestros servidores, es como ser un niño en una tienda de dulces.
Thompson: Bueno, poder automatizar esas cosas es muy poderoso porque te ayuda a escalar. Me he encontrado ocasionalmente con personas [que] piensan que estás tratando de eliminar su trabajo. Y en realidad estás tratando de liberarlos para hacer algo de mayor valor que, en esencia, hace que su trabajo sea más importante y más confiable. … Nadie fabrica neveras de hielo ya. Cuando salió el refrigerador, ya sabes, nadie…. [se interrumpe.] Cintas de VCR, ya no tienes muchas de esas. Sabes, todo es digital. Continúa.
Blankenship: Solía tener esas conversaciones con la gente todo el tiempo. Cualquier aspecto de tu trabajo que pueda automatizar con PowerShell o con un script o con una herramienta, deberías estar contento, porque tiene que ser miserable hacer eso repetitivamente. Pongámonos en algo mucho más interesante, mucho más valioso, mucho más comercializable. Sabes, no es que esté tratando de automatizarte para sacarte del trabajo y despedirte.
Thompson: Correcto.
Blankenship: Especialmente en este estado, somos muy estables. La antigüedad promedio de las personas en mi departamento oscila entre 10 y 30 años. No tenemos mucho cambio de trabajo. Estamos bastante aislados aquí en la costa este de Maryland. Aunque tenemos playas. Ese es el principal atractivo. Pero son las personas el verdadero valor en nuestro departamento, y cuanto más pueda dirigirlas hacia proyectos mucho más valiosos en lugar de tareas repetitivas y rutinarias, automaticemos todo eso, quitémoslo del camino.
Thompson: Y también reduce errores y demás. Porque a veces haces esto una y otra y otra vez. Es fácil pasar algo por alto, o aparece un caso atípico que, bueno, esto siempre funcionó antes. Había una cosa que era diferente. Al automatizar todo eso, puedes establecer controles para hacerlo más confiable, y luego liberar al ser humano para hacer las cosas más delicadas y de mayor valor.
Blankenship: La automatización también tiene una tendencia natural a autodocumentar los procesos. Entonces, si puedes automatizar un proceso, has documentado exhaustivamente ese proceso de negocio. Así que es fácil para cualquier otra persona que venga después y lo mantenga, lo actualice, entienda lo que está ocurriendo. Mientras que cuando las cosas son procesos manuales, eso está en la cabeza de una persona y puede que esa persona se haya jubilado.
Thompson: Ese es un factor importante del que hablo con mucha gente. Tienen a esa única persona [en la que confían], pero se vuelve mucho más difícil cuando se va. O Dios no lo quiera, que ocurra algo trágico para lo que no pudiste planificar en absoluto. Sé que soy horrible documentando cosas porque simplemente lo hago y sigo adelante, para gran disgusto de mi esposa. Ella me regaña de vez en cuando. "¿Pero por qué no lo anotaste?" "Simplemente, eh, así es." Pero eso solo me afecta a mí y a mi familia. No afecta a toda una organización.
Blankenship: Entonces, una vez que obtuvimos la visibilidad y comenzamos a ver el poder de la herramienta, cuando la incorporamos aquí, la gente comenzó a darse cuenta de que podíamos hacer preguntas en tiempo real y obtener respuestas sobre nuestra situación. Así que, por ejemplo, nos preguntaron sobre un software, si deberíamos seguir pagando por ese software—estamos pagando $60,000 por una licencia de sitio. ¿Por qué estamos haciendo esto? Y puedo simplemente hacer una pregunta sobre nuestro entorno y preguntar dónde está, [o] qué computadoras tienen esto. Y luego puedo saber dónde están esas computadoras y quién las está usando. Puedo conocer las versiones. Obtengo esas respuestas de vuelta, y es mucho más rápido y en un único panel de control.
Luego puedo tomar esa misma respuesta que obtuve y enviarla directamente a una implementación. Entonces, convirtiéndolo en un ejemplo de seguridad: Tenemos una vulnerabilidad que ha sido publicada para un producto de Adobe o como quiera llamarlo, [y] ni siquiera sé cuántas computadoras tienen esa versión. Antes, obtener esa respuesta era increíblemente difícil.
Ahora es una oración que me ayuda a completar automáticamente el resto de la oración para decirme exactamente cuántas están en esa situación y luego tomar esa lista exacta de computadoras, introducirla directamente en una implementación, para seguir adelante y actualizarlas.
Thompson: Entonces eso claramente le ahorra una gran cantidad de tiempo.
Blankenship: Por supuesto. Y una de las grandes cosas en las que también nos presionan es en la aplicación de parches y el cumplimiento de parches. Tenemos muchas métricas de cumplimiento que debemos cumplir: básicamente configuraciones de referencia que deben mantenerse, así como el tiempo medio de mitigación de parches para vulnerabilidades, así como la aplicación de parches dentro de un período determinado desde el momento de lanzamiento del fabricante. Tenemos que hacer que se apliquen. Y les digo que es algo exasperante de armar.
Thompson: Hacer todo eso manualmente, parche por parche, imagino que volvería loco a cualquiera. Así que tener la herramienta automatizada correcta no solo le ahorra tiempo, sino que también le salva la cordura. Es como tener tu propio agente especial montado en cada endpoint, dándote datos reales sobre el endpoint en tiempo real. Ya no hay que depender de herramientas de terceros, escaneos remotos o una llave inglesa para esto y un conector para aquello.
Blankenship: Y sé que el agente que está ahí, cuando le indique la actualización, va a obtener esas actualizaciones y me proporcionará retroalimentación sobre cómo fue ese proceso.
Thompson: Y tiene que hacerte dormir mejor sabiendo que puedes responder esas preguntas. No hay nada peor que tu jefe entre y sepas que te va a hacer una de esas preguntas. Puedo darte esa respuesta, pero puede que tarde una semana.
Blankenship: Exacto. Y solo eres tan seguro como tus eslabones más débiles en esto. Y sí, tenemos muchas otras capas de seguridad, tenemos cortafuegos y tenemos otras piezas en este rompecabezas. Pero durante mucho tiempo, nuestros endpoints han sido nuestra mayor preocupación y los puntos de compromiso.
Porque nuestros servidores están bloqueados. Están muy, muy optimizados. Nuestra red, ya sabes, tenemos muchas restricciones y controles dentro de ella. Pero esos endpoints y esos molestos usuarios son el principal problema en un entorno. Entonces, al asegurarse de que puedan causar el menor daño posible —daño reputacional, pérdida de datos— ¿teniendo esos endpoints sin PII en ellos? Ahí mismo, ya he ganado la mitad del juego. Entonces, incluso si ese endpoint es robado, si ese endpoint está comprometido, no obtendrás nada localmente de nuestra parte. Luego tengo esas otras capas en su lugar entre ese endpoint y los puntos adicionales donde vas a causarme más daño.
Pero sí, duermo mejor por las noches sabiendo que tengo el AV funcionando correctamente, sabiendo que tengo el firewall habilitado localmente. Sabiendo que no tienes derechos de administrador localmente en esa máquina, sabiendo que todas nuestras pequeñas configuraciones y políticas de grupo, y todos los ajustes y capas que ponemos en esos endpoints siguen habilitados, siguen funcionando. Y estás parcheado. Lo otro es que, operativamente, si tu entorno se parece a lo que acabo de decir, recibes muchas menos llamadas.
Thompson: Sí.
Blankenship.: Tienes muchos menos problemas. Tus usuarios están realmente más contentos en ese entorno porque su escritorio funciona.
Thompson: Vuelve a ese punto donde la tecnología se desvanece en el fondo y vas a poder hacer lo que necesitas hacer.
Blankenship: Todo simplemente funciona.
Thompson: Entonces parece que has logrado algunas mejoras, estás durmiendo mejor por las noches y tienes clientes satisfechos. Realmente aprecio que hayas dedicado algo de tiempo con nosotros y contado tu historia sobre cómo transformó la forma en que haces negocios.
Blankenship: Por supuesto. Sí. Te agradezco que me hayas invitado.
Thompson: He estado hablando con Steven Blankenship, director de TI en la Universidad de Salisbury.
Si deseas leer más sobre seguridad y automatización, consulta la nueva revista de noticias cibernéticas en línea de Tanium en Tanium.com. Para escuchar más conversaciones con los principales líderes empresariales y expertos en seguridad de hoy, asegúrate de suscribirte a Let's Converge en tu aplicación de podcast favorita, como Apple Podcast y Spotify. Y si te gustó este episodio, que sé que así fue, por favor danos una calificación de cinco estrellas.
Gracias por escucharnos. Esperamos compartir más perspectivas cibernéticas en el próximo episodio de Let's Converge.
