Cómo el Gobierno australiano puede fortalecer la resiliencia nacional en ciberseguridad y hacer frente a las amenazas

Dado que 2020 supuso un enorme aumento del teletrabajo, sumado a la continuidad de las brechas de datos a gran escala y a un interés creciente por las consecuencias de la vulneración de la privacidad en línea, la ciberseguridad nunca ha estado tan presente en el debate público. Como resultado, los gobiernos de todo el mundo han intervenido para rediseñar y actualizar sus planes e infraestructuras de ciberseguridad, incluyendo estrategias y normativas que las empresas deben seguir al gestionar nuestros recursos digitales más valiosos.

Las directrices de protección estratégica para la ciberseguridad no son un concepto nuevo, y organizaciones como el NIST llevan muchos años orientando las políticas de los departamentos gubernamentales de todo el mundo. A medida que hemos avanzado en la digitalización a un ritmo vertiginoso, a muchos les ha resultado difícil seguir el ritmo de la cantidad de amenazas, los posibles vectores de ataque y los requisitos de cumplimiento que forman parte de un panorama en constante cambio.

Una reciente brecha de 54 000 licencias de conducir de Nueva Gales del Sur como resultado de un bucket S3 mal configurado y de fácil acceso en un servidor de terceros ha comprometido a miles de personas, y el investigador de seguridad que lo denunció admite que es posible que los datos ya se hayan vendido en la web oscura. Lo triste es que se trata de un problema fácil de solucionar y que probablemente no habría ocurrido si la seguridad hubiera sido una prioridad para quienes configuraron el caché.

El Gobierno australiano publicó recientemente la Estrategia de Ciberseguridad Australiana 2020, destacando nuevas iniciativas y un aumento de la financiación de 1670 millones de dólares para la próxima década, con el fin de lograr su "visión de crear un mundo en línea más seguro para los australianos, sus empresas y los servicios esenciales de los que todos dependemos". Se trata, sin duda, de una revisión y un plan de actualización muy bienvenidos, sobre todo porque uno de sus principales objetivos es:

"Acción por parte de las empresas para asegurar sus productos y servicios y proteger a sus clientes de las vulnerabilidades cibernéticas conocidas".

Aunque los organismos gubernamentales tienden a centrarse (como debe ser) en las medidas de seguridad relativas a las infraestructuras críticas de un país —áreas propensas a un ataque organizado catastrófico—, lo que faltaba en el pasado eran directrices para las empresas que recopilan y utilizan nuestros datos a diario.

Ahora bien, cuando se trata de una estrategia oficial como esta, no todo es un camino de rosas. Puede resultar difícil de interpretar y vaga en los detalles, dejando que el equipo de seguridad de cada organización tenga que elaborar un plan basado en directrices poco específicas. Este problema no es exclusivo del gobierno de Australia, pero analicemos su reciente publicación.

Un enfoque en la reacción, no en la prevención.

La Estrategia de Ciberseguridad Australiana actualizada es una mejora más relevante respecto a la última versión de 2016, con planes bastante completos para las empresas, especialmente para las pymes. La estrategia describe:

"El gobierno y las grandes empresas ayudarán a las pequeñas y medianas empresas (pymes) a crecer y a aumentar su concienciación y capacidad en materia de ciberseguridad. El Gobierno australiano trabajará con las grandes empresas y los proveedores de servicios para ofrecer a las pymes información y herramientas de ciberseguridad como parte de "paquetes" de servicios seguros (como el bloqueo de amenazas, antivirus y formación en concienciación sobre ciberseguridad)."

Esto proporcionará a las pymes una base sólida para proteger sus negocios de las ciberamenazas, pero es un enfoque mayoritariamente reactivo, y el foco está puesto en las herramientas de detección, una parte relativamente pequeña del panorama de la ciberseguridad.

También hay sorprendentemente poca información sobre cómo las grandes empresas pueden protegerse y reducir sus vectores de ataque. Aunque muchas pueden formar parte de los planes para proteger infraestructuras críticas (como las telecomunicaciones o el transporte), los servicios financieros, el comercio minorista y muchos otros sectores tienen mucho que perder ante un ciberataque exitoso. Quizás esto forme parte de la futura legislación, pero aun así, destacar la importancia de las mejores prácticas de ciberseguridad meticulosas a nivel empresarial es fundamental para lograr un cambio significativo y una reducción de los datos comprometidos y la ciberdelincuencia.

En general, al considerar la estrategia en su conjunto, se basa en un enfoque reactivo. Contrarrestar los ciberataques, desarticular a los ciberdelincuentes activos y garantizar su procesamiento, así como compartir información con aliados internacionales, son factores importantes, pero imaginemos si el estándar de protección a nivel nacional se centrara en la prevención. Junto con las medidas de protección para las infraestructuras críticas, si la seguridad fuera una prioridad en cada empresa y cada persona que toca el código que crea nuestro mundo digital estuviera debidamente equipada para bloquear los ataques antes de que ocurran, el ahorro en tiempo, dinero y sufrimiento para las víctimas sería incalculable.

La resiliencia es posible, pero debe planificarse.

La determinación del Gobierno australiano por tomarse en serio la ciberseguridad deja claro que se ha identificado como un área de riesgo clave a nivel nacional. Al igual que cualquier otro ataque malintencionado capaz de alterar nuestro modo de vida, la resiliencia es absolutamente crucial, no solo para resistir un intento de este tipo, sino para actuar como elemento disuasorio. Al fin y al cabo, incluso los actores de amenazas pueden ser perezosos, y buscarán un objetivo más fácil para lograr su objetivo si se les ponen demasiadas barreras en el camino.

En este momento, nos enfrentamos a una escasez mundial de competencias en ciberseguridad, algo que quita el sueño a los CISO de todo el mundo. Miles de millones de líneas de código, constantes brechas de datos a gran escala y un mayor riesgo de sanciones (solo Marriott recibió una multa de 123 millones de dólares por el RGPD por su brecha de datos de 2018... y han sufrido otra brecha este año) que nunca han creado un abismo de demanda de especialistas en seguridad que, siendo realistas, es poco probable que se cierre. Sencillamente, hay demasiado código y muy pocos recursos para garantizar que esté fortificado desde todos los ángulos.

Entonces, ¿deberíamos renunciar a la idea de que alguna vez podremos hacer frente a las ciberamenazas? Ni mucho menos. La resiliencia requiere utilizar todos los recursos disponibles y pensar un paso por delante. Y para muchas empresas, sus desarrolladores pueden desbloquear un potente método de fortificación justo cuando se escribe el código. Cuando se combina con una cultura de seguridad visible y positiva en toda la empresa, esto proporciona una base segura que es difícil de romper para muchos atacantes. Sin embargo, este método requiere tomar las sugerencias de la Estrategia de Ciberseguridad Australiana, por ejemplo, y profundizar en cómo pueden personalizarse para apoyar un cambio eficaz que sea relevante para el negocio.

Para ello, es importante desglosar un par de consejos:

• Formación en concienciación sobre seguridad: Se menciona específicamente para las pymes y, en el contexto del informe completo, se dirige principalmente a enseñar al personal las normas básicas de higiene de seguridad (por ejemplo, detectar correos electrónicos de phishing, no hacer clic en enlaces desconocidos, etc.). En la práctica, debe ir mucho más allá y adaptarse a cada puesto, especialmente para quienes trabajan con código, como los desarrolladores. Es imperativo que la formación en concienciación sobre seguridad sea un componente de las medidas preventivas y de la creación de resiliencia.
• Educación: Como cambio refrescante, existe un plan detallado para abordar la escasez de competencias en ciberseguridad durante la próxima década, mediante el énfasis en la formación en ciberseguridad desde la educación primaria y secundaria hasta la terciaria. Esto es muy necesario si queremos formar a las superestrellas de la seguridad del futuro, pero desde la perspectiva de abordar las necesidades empresariales actuales, la formación práctica en codificación segura para el grupo de desarrollo es una necesidad absoluta para empezar a reducir las vulnerabilidades comunes, y debe formar parte de un programa de seguridad funcional.

Como expertos en seguridad, debemos hacer más para ayudar a las empresas de todo el mundo a comprender la importancia de crear un programa de seguridad interno que vaya más allá de las simples medidas fundamentales de concienciación. Dedicar tiempo a mejorar las competencias de los desarrolladores alivia la presión sobre los especialistas en seguridad de aplicaciones (AppSec) y garantizar que toda la organización sea lo más consciente posible de la seguridad en el contexto de su función es vital para reducir la superficie de ataque en el software.

La mejora de las competencias de los desarrolladores es una inversión de tiempo valiosa, así que ¿por qué tantas empresas la ignoran?

Una encuesta reciente de DDLS concluyó que existe muy poca sensación de prioridad en lo que respecta a la formación en ciberseguridad en las organizaciones australianas. De hecho, ni siquiera llegó a estar entre las tres principales prioridades de formación, a pesar de que el 77% de los encuestados calificó la concienciación sobre ciberseguridad como "extremadamente" o "muy importante" para su negocio.

No es de extrañar, pues, que Australia tenga dificultades para cerrar la creciente brecha de competencias y que tenga trabajo por hacer para crear una infraestructura más resiliente, desde los servicios esenciales hasta el comercio minorista, y todo lo que hay entre medias.

Existe una enorme oportunidad para que los gobiernos creen una certificación o regulación de base sobre competencias de seguridad, y la estrategia alude a esto como una forma de trabajar con recursos limitados. Sin embargo, una vez más, esto parece ser una propuesta de futuro, y tenemos las herramientas para empezar mucho antes si nos centramos primero en las áreas de mayor impacto. Para mí, el rayo de esperanza reside en los equipos de desarrollo de cada organización; si se les proporcionan las herramientas y los conocimientos necesarios para tener éxito, pueden detener las vulnerabilidades comunes a tiempo y reducir significativamente el riesgo de una filtración de datos en su organización.

En 2019, el 24% de todas las filtraciones de datos fueron causadas por errores humanos —concretamente por errores de configuración de seguridad—, que suelen ser correcciones relativamente sencillas a nivel de código. Si se da prioridad a la formación en este ámbito, junto con la creación de una concienciación sobre seguridad en toda la empresa, apuesto a que habría menos CISO firmando notificaciones de brechas a miles de clientes afectados.