Para las mejores prácticas en ciberseguridad, mire al sector financiero

Publicado originalmente en Regulation Asia.

Con el aumento de los ciberataques, que afectan a todo tipo de organizaciones en todos los sectores, la amenaza de sufrir brechas de datos costosas, vergonzosas y perjudiciales para los resultados financieros es muy real. El problema no disminuye; crece como un tumor.

A menudo me piden ejemplos de organizaciones que están combatiendo este problema, navegando por el "salvaje oeste" de la ciberseguridad y las mejores prácticas de AppSec con especial destreza y maestría. Me doy cuenta de que vuelvo a una respuesta más a menudo que a otras: el sector financiero es el que mejor lo está haciendo.

Regulación: un factor determinante en el liderazgo del sector financiero en ciberseguridad

Una de las razones por las que el sector financiero destaca en el ámbito de AppSec es que, al menos en parte, está impulsado por la preocupación de los reguladores globales, regionales y nacionales ante los impactos universales —por no decir catastróficos— que podría provocar un ciberataque o un robo de datos exitoso.

El Comité de Supervisión Bancaria de Basilea (BCBS) publicó un informe en diciembre que detalla el rango de prácticas de ciberresiliencia observadas en bancos, organismos reguladores y supervisores en múltiples jurisdicciones. Entre sus hallazgos clave destaca el desafío de la escasez de competencias en ciberseguridad, un factor que solo unas pocas jurisdicciones han abordado mediante la implementación de certificaciones cibernéticas específicas.

"Algunas jurisdicciones cuentan con estándares específicos de TI que abordan las responsabilidades de la fuerza laboral de TI y las funciones de seguridad de la información, con especial atención a la formación y competencias del personal de ciberseguridad", señala el informe. Sin embargo, la mayoría de las jurisdicciones se encuentran en las "etapas iniciales" de implementación de prácticas de supervisión para monitorear las habilidades y recursos del personal de ciberseguridad de los bancos.

En su mayor parte, los esquemas regulatorios exigen que las entidades reguladas gestionen los riesgos, pero rara vez existe un camino claro para mitigarlos con éxito. No establecen requisitos específicos (ni puntos de referencia) para abordar las habilidades y recursos del personal de ciberseguridad. La mayoría de los reguladores evalúan al personal de ciberseguridad de las instituciones mediante inspecciones in situ, donde los cuestionarios de autoevaluación son una práctica común y los procesos de formación son objeto de un escrutinio especial, pero solo en unas pocas jurisdicciones las regulaciones abordan específicamente los roles y responsabilidades del personal de TI. En pocas palabras, el margen de error es grande y el énfasis en la formación adecuada y la posterior evaluación de las competencias es bastante escaso.

En Japón y Corea del Sur, las autoridades públicas han establecido directrices sobre la gestión adecuada del personal de ciberseguridad. En la mayoría de las demás jurisdicciones, sin embargo, los requisitos regulatorios para la gestión de este personal se limitan a expectativas de supervisión, donde a menudo no existe una evaluación por parte de los supervisores sobre las habilidades de ciberseguridad y la formación del personal en las organizaciones reguladas.

Solo Hong Kong, Singapur y el Reino Unido han emitido marcos dedicados para certificar las habilidades y competencias del personal de ciberseguridad. Aunque términos como "cumplimiento" y "certificación" suelen causar escalofríos al desarrollador creativo promedio encargado de crear excelentes funciones de software (para ellos, la seguridad suele verse como un problema de otros, concretamente del equipo de seguridad), la enorme cantidad de datos confidenciales que poseen muchas entidades reguladas es simplemente demasiado valiosa para dejarla en manos de quienes tienen habilidades "supuestas" en lugar de debidamente verificadas.

Afortunadamente, muchas instituciones bancarias y financieras lo reconocen sin depender necesariamente de una vía regulatoria evidente. Las regulaciones ciertamente ofrecen una visión general de las expectativas sobre el resultado final (es decir, software seguro), pero han identificado que lograr esto requiere sortear la escasez de habilidades en ciberseguridad mediante la formación de desarrolladores, fomentando su relación con los profesionales de AppSec existentes y construyendo una cultura de seguridad positiva que genere responsabilidad y sentido de propiedad.

¿Por qué el sector financiero tiene el "factor X" en ciberseguridad?

Existen varios elementos en juego para las empresas de los sectores bancario, servicios financieros y seguros, que se unen como pilares de fortaleza sobre los que se asienta su posición de liderazgo en el panorama de la ciberseguridad.

Naturalmente, como guardianes de las finanzas mundiales (por no mencionar millones de registros de datos altamente confidenciales), suelen ser organizaciones muy orientadas al cumplimiento y reguladas; las directrices, normativas y requisitos actualizados se esperan y planifican de manera significativa. Como resultado, se adaptaron como pez en el agua a las necesidades cambiantes de mitigación de riesgos cibernéticos, presumiendo de algunas de las políticas de mejores prácticas de ciberseguridad más estrictas, así como de procesos integrales para reducir su exposición a posibles ataques.

Entonces, ¿qué están haciendo las instituciones financieras de manera diferente a las demás? Según mi experiencia, han sentado las bases para ser más conscientes de la seguridad que otras, identificando la necesidad y dedicando recursos a programas de formación holísticos no solo para los profesionales de AppSec y los evaluadores de penetración, sino también para sus equipos de desarrollo (normalmente muy grandes y dispersos globalmente).

Dado que la ciberseguridad es relativamente nueva en la mayoría de las organizaciones, resulta refrescante que las instituciones financieras sean verdaderamente abiertas e innovadoras en su búsqueda de proporcionar software seguro. Muchas han visto el beneficio de mejorar las competencias del grupo de desarrollo con formación atractiva que los saca del aula y los lleva a una experiencia de aprendizaje práctica y relevante, que les ayuda no solo a solucionar problemas, sino a comprender la importancia de la codificación segura en general.

Después de todo, la codificación segura es un ingrediente clave para forjar una relación sólida y funcional entre los desarrolladores y el equipo de AppSec, así como para mantener una cultura de seguridad robusta dentro de la empresa. Otro factor clave que impulsa un programa de seguridad exitoso es garantizar que las partes interesadas clave estén comprometidas y vean el beneficio, incluso si no son profesionales de la seguridad.

Las instituciones financieras suelen comunicarse bien con la alta dirección, asegurándose de que los responsables de la toma de decisiones comprendan que los procesos de seguridad no son medidas que se implementan y se olvidan; deben evolucionar tan rápido como la tecnología utilizada y adaptarse a los riesgos variables.

Puede costar tiempo y dinero ahora, pero dado que las vulnerabilidades son treinta veces más caras de corregir en el código ya comprometido, un programa de seguridad integral —que incluya formación desde la base— supone un ahorro a largo plazo: es mucho más barato solucionar los problemas de seguridad a medida que los escriben desarrolladores concienciados con la seguridad.

Los estándares de seguridad están empezando a seguir el ritmo del creciente riesgo

Un motor importante del cumplimiento cibernético para el sector financiero proviene del PCI Security Standards Council, que mantiene su compromiso de ayudar a las organizaciones financieras a implementar políticas de seguridad viables y a mantener las directrices en todas las áreas. Han sido una fuerza positiva para ayudar a este sector a alcanzar uno de los estándares de seguridad más altos en software de pagos.

Sin embargo, hay que decir que muchos de nuestros clientes del sector financiero han superado incluso las directrices actuales del PCI Security Standards Council. Aunque estas directrices recomiendan formación para los desarrolladores (como se mencionó anteriormente con otros ejemplos de información normativa), no especifican un tipo concreto ni un punto de referencia determinado que indique que la formación ha sido efectiva.

Dado que muchas vulnerabilidades, como la inyección SQL y el cross-site scripting (XSS), llevan más de veinte años presentes (y siguen causando problemas en 2019), está claro que no toda la formación es igual ni efectiva. Al adoptar una formación en seguridad práctica y gamificada, los bancos y otras empresas de servicios financieros están obteniendo resultados mucho mejores y una reducción real de las vulnerabilidades que pueden causar estragos si se explotan.

Un gran ejemplo es cómo la institución bancaria estadounidense Capital One ha utilizado técnicas de formación gamificadas como parte de su innovador Tech College y sistema de certificación. Según Russell Wolfe, su Director de Ciberseguridad y Educación en Computación en la Nube, en un seminario web reciente, los programas de formación voluntaria y los torneos de programación ganaron tracción muy rápidamente, con una demanda sin precedentes y una motivación orgánica por parte de los compañeros para certificarse y ayudar a mejorar las habilidades de los demás.

¿Qué pueden hacer los reguladores para garantizar que los equipos de ciberseguridad estén adecuadamente formados?

Los reguladores de todo el mundo pueden mejorar sus políticas y directrices de ciberseguridad existentes simplemente definiendo las metodologías y estándares de formación aceptados que deben cumplir quienes se encargan de proteger nuestros datos. Por el momento, parece que existe una referencia general a un requisito de formación en la mayoría de las políticas normativas, pero hay poco seguimiento para asegurar que quienes realizan la formación prescrita estén absorbiendo el contenido y las técnicas necesarias para ayudar realmente en la lucha contra las ciberamenazas.

La reciente medida de la MAS (Autoridad Monetaria de Singapur) de incluir la adopción de programas de formación en concienciación sobre seguridad y mejores prácticas de desarrollo de software seguro en la última versión de sus Directrices de Riesgo Tecnológico es, sin embargo, alentadora. Una vez que las directrices entren en vigor, exigirán a las instituciones financieras que garanticen que sus desarrolladores de software estén formados para aplicar estándares de codificación segura, revisión de código fuente y pruebas de seguridad de aplicaciones al desarrollar software, lo que debería contribuir en gran medida a minimizar errores y vulnerabilidades.

Para mí, formar al equipo de desarrollo con técnicas prácticas y reales es, con diferencia, lo más atractivo y relevante para sus puestos, a la vez que sienta las bases de la sólida cultura de seguridad que toda organización debe crear antes de que sea demasiado tarde.