Identifying Hazards to Better Prepare for Cyberattacks

Identificación de peligros para una mejor preparación ante ciberataques

Por Bob Violino

Los directores de tecnologías de la información deben explorar, si no adoptar, una estrategia de defensa de amplio espectro, una manera más efectiva de enfocar la seguridad que se centra en los peligros internos que podrían desembocar en infracciones costosas.

¿Cuánto puede suponer? Un incidente distribuido de denegación de servicio (DDoS) la recuperación le puede costar a una institución financiera 1,2 millones de dólares de media, en comparación con los 952 000 dólares que costaría a empresas de otros sectores, según un informe de 2017 de Kaspersky Lab.

Identifying Hazards to Better
Un enfoque de amplio espectro defiende contra las amenazas repentinas al obligar a las organizaciones a tener en cuenta y analizar los peligros existentes.

Algunas empresas, como el proveedor de plataformas de distribución en la nube global de Akamai Technologies, han hecho de la defensa de amplio espectro un componente clave en sus programas de ciberseguridad.

Tradicionalmente, la defensa cibernética se basaba en requisitos dictados por el cumplimiento normativo o los estándares del sector. En consecuencia, el tipo de defensa no tendría mucho que ver con las amenazas y vulnerabilidades reales de seguridad de una empresa.

Con ese enfoque, no prevé ni anticipa cambios en el panorama de seguridad", indica Andy Ellis, director de seguridad de Akamai.

Es importante señalar que es posible que la estrategia tradicional no cuente con los medios necesarios para defender contra las últimas amenazas DDoS o ransomware. Tampoco se puede paralizar una empresa si no se está preparado para defenderse.

Ampliación de las defensas

Un enfoque de amplio espectro defiende contra las amenazas repentinas al obligar a las organizaciones a tener en cuenta y analizar los peligros existentes. A menudo, estos riesgos se basan en variables que incluyen el tipo de empresa, cómo opera online, dónde se encuentra y el acceso que proporciona a los empleados, partner comerciales y clientes.

Con una defensa de amplio espectro, antes de lanzar una nueva aplicación en la web, una empresa primero haría un inventario de los posibles peligros antes de seguir adelante.

"Un ejemplo de riesgo sería una base de datos de la aplicación que esté en online", indica Ellis. "Debe dar un paso atrás y preguntarse: ¿Cuáles son las pérdidas inaceptables a las que nos enfrentamos al hacer esto?'

Si la aplicación corre el riesgo de exponer una base de datos con información personal de clientes, por ejemplo, se consideraría una pérdida inaceptable y el proyecto no avanzará a menos que se mitigue el riesgo primero.

Esta forma de tratar la seguridad también allanar el camino a los directivos de seguridad a la hora vender a los líderes empresariales por qué la seguridad es importante. En lugar de informar a los ejecutivos de la línea de negocios que un nuevo conjunto de defensas está disponible, por ejemplo, un jefe de seguridad de la información detallaría las consecuencias de una filtración.

"Puede ser difícil vender el negocio sobre un Web Application Firewall, pero es fácil venderlo basándose en el hecho de que es fundamental proteger los datos que no queremos exponer", indica Ellis. "Este enfoque le permite vincular las herramientas que desea adquirir a los peligros que intenta mitigar. La clave es centrarse en el riesgo".

El trabajo de los ejecutivos de seguridad y los CIO es asegurarse de que se han cubierto todos los peligros principales.

Al realizar un inventario completo, "es más probable que se defienda contra adversarios desconocidos", explica Ellis.

La naturaleza del recurso y su ubicación hacen que la organización sea susceptible independientemente de la amenaza, ya sea una inyección SQL u otro tipo de ataque que todavía no se conozca.

Creación de relaciones

Una estrategia de defensa de amplio espectro pueden ayudar a obtener financiación para iniciativas de seguridad. Pero la financiación puede no ser el reto.

"Lograr la participación de los socios comerciales es la parte difícil", afirmó Ellis.

Se debe informar a los partner de la línea de empresarial sobre los riesgos para el negocio. "Esto le obliga a crear una relación con los partners comerciales, que puede ser difícil de conseguir" dijo.

Depende del CIO y del directivo de seguridad abrir el camino para avanzar hacia una defensa de amplio espectro instruyendo a otros sobre cuáles son las pérdidas inaceptables.

La idea de crear una defensa de amplio espectro aún es desconocida para muchas empresas, aunque algunas del sector de servicios financieros la han usado durante algún tiempo, indica Ellis.

El concepto puede funcionar para cualquier tipo y tamaño de empresa, aunque las empresas más pequeñas que carecen de recursos internos pueden necesitar ayuda para comenzar. Esta ayuda puede provenir de un proveedor de servicios de seguridad gestionados.

Al adoptar este enfoque, explica Ellis, una organización puede crear un programa de seguridad basado en riesgos reales y alinearlo más estrechamente con la protección que necesita.

Bob Violino es un escritor independiente de empresas y tecnología con experiencia en cloud computing, ciberseguridad y big data.

Related CIO Content