¿Su programa de seguridad se centra en la respuesta a incidentes? Lo está haciendo mal.

Una versión de este artículo apareció como artículo destacado en el Forbes Technology Council. Se ha actualizado y distribuido aquí.

‍

No hay nada como estar en el lado equivocado de una brecha de datos. Al principio, puede haber negación, luego pánico. Una vez que se han soltado todos los improperios y el CISO ha tenido que hacer una conferencia telefónica a las 2 de la madrugada con relaciones públicas, es hora de arremangarse y ponerse a trabajar para asegurar los puntos finales, los sistemas y eliminar rápidamente cualquier posible vector de ataque. No es un camino de rosas, por decir lo menos.

Y, sin embargo, esta es una realidad que muchas organizaciones afrontarán en el futuro, y para la que es absolutamente necesario estar preparado con un plan integral de respuesta a incidentes de ciberseguridad. El problema, sin embargo, es que esta estrategia reactiva es donde se concentra la mayor parte del tiempo, los recursos y el esfuerzo, en lugar de trabajar para prevenir o reducir la gravedad potencial de los ciberataques desde el principio. Es un poco como llamar a una ambulancia por un posible ataque al corazón; los resultados suelen ser mucho menos positivos, por no hablar de más perjudiciales, que si se hubieran aplicado medidas sanitarias preventivas antes de que fuera demasiado tarde.

Con ese fin, ¿cómo es un plan preventivo? Exploremos cómo los profesionales de la seguridad pueden emplear todas las herramientas a su disposición para mitigar el riesgo cibernético, cada vez mayor, día a día:

Comprender el alcance del trabajo que queda por delante

Parece obvio, pero el plan "correcto" para mitigar el riesgo cibernético tiene matices según el sector, y es importante entender de antemano qué se necesita para alcanzar el resultado deseado.

¿Qué problemas de seguridad existen actualmente? ¿Cuánto tiempo y recursos consumen? ¿Cuántos de ellos son problemas recurrentes? Estos son factores importantes que le darán un punto de partida fundamental. Considere los roles que deben cubrirse, las carencias en las herramientas y lo que se necesita desde la perspectiva de la experiencia y las herramientas para asegurar los puntos finales y reducir la superficie de ataque, mientras se anticipa a otras áreas de riesgo potencial.

Un informe reciente reveló que once sectores experimentaron una vulnerabilidad grave en al menos la mitad de sus aplicaciones cada día durante el último año. En particular, los sectores de servicios públicos, administración pública y servicios profesionales tardaron una media de 288 días en parchear las vulnerabilidades conocidas. Esto es increíblemente lento, lo que da a un atacante tiempo más que suficiente para causar daños graves si esas vulnerabilidades se descubren antes de que se pueda aplicar un parche. Esto, sumado a la probabilidad de que las organizaciones sufran una brecha de datos cercana al 30%, es un recordatorio aleccionador de que la reacción ante incidentes no es suficiente, y que hay demasiado en juego como para prepararse para el impacto de un ciberataque a gran escala y esperar lo mejor.

Prepárese para conseguir apoyo para un cambio cultural

Sacudir el statu quo suele hacer levantar algunas cejas, pero la verdad es que los programas de seguridad deberían estar en un estado constante de mejora continua. Cada componente debe seguir siendo relevante, y los nuevos desarrollos deben evaluarse y tenerse en cuenta.

Dar prioridad a un enfoque preventivo, en lugar de uno reactivo, puede no entenderse bien fuera del equipo de seguridad, especialmente si no ha ocurrido ningún incidente de seguridad grave. Podría verse como algo que no está roto y no necesita reparación. En este caso, es esencial conseguir el apoyo de la dirección. Algunos de los puntos más pertinentes para que los consideren son:

• El ahorro de tiempo y costes en medidas preventivas, como la formación basada en roles y las herramientas relacionadas, frente al coste potencial de un incidente crítico
• Cómo encontrar y solucionar vulnerabilidades ahora mantiene los lanzamientos a tiempo, con menos obstáculos por parte del equipo de seguridad
• Por qué prepararse y anticiparse a los posibles riesgos de seguridad, desde el equipo de desarrollo hasta el lanzamiento, ahorra más tiempo (por no mencionar una cantidad significativa de dinero) en general. Para ponerlo en perspectiva, las vulnerabilidades detectadas en las últimas etapas de la fase de pruebas, o peor aún, tras la producción, pueden aumentar los costes hasta un 3000% de media.
  

Es vital que los cambios culturales propuestos estén alineados con los objetivos empresariales, incluso si parecen incómodos al principio.

La concienciación sobre seguridad es algo, las habilidades de seguridad lo son todo

Como sector, hablamos a menudo de la importancia de la concienciación sobre seguridad, y este es un componente cada vez más crítico para cada miembro del personal de una organización. Sin embargo, no basta con quedarse en las palabras y la formación pasiva, especialmente para quienes ocupan puestos técnicos.

En pocas palabras, cualquiera que toque código es un riesgo de seguridad potencial si no está equipado con las habilidades para programar de forma segura. La concienciación general sobre los parámetros básicos de seguridad es un buen comienzo, pero sin un conocimiento contextual de los patrones de codificación buenos y seguros, prevalecen los malos hábitos, y es esta falta de habilidad de desarrollo de calidad en la que confían los atacantes para hacer su trabajo sucio.

No subestime a sus desarrolladores.

Aunque la actitud está cambiando, muchas organizaciones están estructuradas de tal manera que los desarrolladores rara vez se tienen realmente en cuenta en los planes de mitigación de seguridad. Algunos sectores, como la banca y las finanzas, tienen requisitos normativos y de cumplimiento estrictos que dan lugar a prácticas de seguridad y formación reforzadas en todos los ámbitos, para todo el personal. Y aunque sin duda están por delante de otros sectores, casi todas las organizaciones del planeta podrían beneficiarse de un ejército interno de desarrolladores conscientes de la seguridad, todos ellos con una capacidad básica para detectar errores de seguridad comunes antes de que se cometan. La mayoría está lejos de lograr esta pieza crítica del rompecabezas del programa de seguridad, y es necesario si queremos tener alguna esperanza de asegurar el diluvio de código que aumenta en volumen año tras año.

La seguridad preventiva debe comenzar en el momento en que los desarrolladores empiezan a escribir código, pero no se les puede pedir que cierren la brecha de habilidades de seguridad por sí solos. Necesitan las herramientas adecuadas y orientación contextual para alcanzar un mayor estándar de calidad, y los mejores resultados se obtienen cuando esto forma parte de su trabajo diario, no como una ocurrencia tardía que se implementa esporádicamente ante los requisitos de cumplimiento anuales.