El futuro del trabajo es flexible, y eso es excelente para la ciberseguridad

Una versión de este artículo apareció en TFIR. Ha sido actualizado y distribuido aquí.

Dicen que el cambio es la única constante en la vida, pero el 2020 realmente ha puesto a prueba a muchas personas en todo el mundo. La pandemia mundial de COVID-19 nos ha obligado a pensar, a un nivel profundo, sobre cómo nos conectamos. El autoaislamiento y el distanciamiento social han sido algunas de las adaptaciones que hemos hecho en el mundo físico y, a pesar de que muchos de nosotros pasamos tanto tiempo en línea, es un escenario bastante diferente no tener otra opción cuando se trata de comunicarse y, si es posible, trabajar. Es, a la vez, una tragedia y un despertar.

Como para muchas empresas tecnológicas, el trabajo flexible no es algo nuevo para nosotros y trabajar desde casa es uno de los beneficios del puesto. Incluso "tan pronto" como en 2009, yo ya trabajaba de forma remota desde Bélgica para empresas de Silicon Valley. La tecnología era mucho menos avanzada en aquel entonces, pero aun así era posible. Sin embargo, incluso para nosotros en este momento, fue un ajuste que cada miembro del equipo trabajara desde casa hasta nuevo aviso. He visto a muchas empresas tomar esta misma decisión, incluidas muchas que no estaban tan preparadas como otras para gestionar una fuerza laboral remota.

Ya sea que la incomodidad provenga de lo desconocido de una nueva forma de trabajar, de un poco de desconfianza o quizás de no "creer" en el trabajo remoto, me parece que las empresas que se resisten a él tienden a quedarse atrás en cuanto a atraer al mejor talento, mantener un alcance global y, francamente, adaptarse a los tiempos. Esta crisis actual no ha dejado a muchos otra opción que activar una fuerza laboral remota, ya que la alternativa es el cierre total del negocio en medio de un clima económico caótico.

Si hay algo positivo que podemos extraer de esta tragedia, es que la gente habrá visto el beneficio de una fuerza laboral digital y la infinidad de formas en las que un equipo puede conectarse a pesar de no estar físicamente juntos. Y la industria de la ciberseguridad es una que realmente puede prosperar con un enfoque de trabajar desde cualquier lugar y estar siempre conectado.

Los atacantes no se confinaron; están muy activos y aprovechando esta crisis, utilizando el pánico y la incertidumbre mundiales para llevar a cabo ciberataques contra instalaciones médicas. En una situación como esta, no es descabellado ver un aumento en los ciberataques, especialmente el ransomware. Después de todo, es robar para sobrevivir en tiempos económicos precarios. Esto no lo justifica, y el hecho es que todavía podemos trabajar, capacitarnos y luchar contra los ciberataques dondequiera que haya una conexión a internet.

El futuro es flexible, y así es como nosotros, y la industria de la ciberseguridad en su conjunto, podemos hacerlo funcionar ahora y en el futuro:

Los productos con acceso desde cualquier lugar son universales y valiosos

Antes de cualquier tipo de situación de cuarentena forzada, los equipos globales ya tenían que encontrar una forma de colaborar cuando era necesario. Las conferencias telefónicas asequibles hicieron su debut el mismo año que los Rolling Stones (es decir, 1964, y sin duda aquellos primeros usuarios tuvieron los mismos problemas de "¿estás ahí?", "no, adelante tú" que enfrentamos hoy, aunque podamos vernos por video).

En 2020, la tecnología de comunicaciones digitales es una parte enorme de la industria de las TIC, valorada en billones de dólares, con plataformas nativas de la nube, móviles y sociales dominando y reemplazando a la tecnología heredada. Innovaciones como Slack, Zoom y Discord nos han mantenido más conectados que nunca, especialmente en el trabajo. Y la comunicación es solo un aspecto de la historia.

Los servicios digitales accesibles desde cualquier lugar con conexión a internet, bajo demanda, que satisfacen una necesidad básica (ya sea conexión, entretenimiento o productividad), son parte de nuestro futuro flexible. Como clientes, buscamos la hiperpersonalización y, como empresa, buscamos ofrecer una experiencia digital personal que tenga la misma calidad sin concesiones, sin importar desde dónde se acceda.

En todas las industrias, todos los días, se crean aplicaciones basadas en la web para agilizar procesos, revolucionar las formas en que vivimos y trabajamos, y resolver problemas que quizás no sabíamos que teníamos. Estamos lejos de alcanzar el punto máximo de las herramientas y la capacitación en ciberseguridad a las que se puede acceder bajo demanda, de maneras que sean atractivas y útiles para el usuario, con beneficios tangibles para el negocio.

Los desarrolladores aprecian la flexibilidad en sus trabajos diarios, y nuestro enfoque en la capacitación práctica y divertida sobre codificación segura, así como en la integración del flujo de trabajo, está diseñado pensando en estos usuarios finales. Las herramientas deben ser fáciles de usar para que no requieran esfuerzo, y la capacitación valiosa no debe verse como una tarea tediosa. Con la industria de la ciberseguridad como un campo de juego tan vasto, es el momento ideal para innovar en múltiples áreas de ataque y defensa, donde las metodologías de seguridad primero, como DevSecOps, pueden prosperar incluso si todos están en casa. Se trata de colaboración y de un conjunto de herramientas bien pensado para que cada miembro del equipo haga su trabajo de manera efectiva, independientemente de su ubicación física.

Capacitación cuando más la necesitas (o cuando quieres cambiar tu rutina diaria)

Una ventaja del trabajo flexible es que el viaje al trabajo desaparece los días en que realizas tus tareas desde casa. Para algunos, eso podría significar recuperar alrededor de dos horas de tiempo de calidad y concentración. En un mundo ideal, todo el personal tendría tiempo dentro de su jornada laboral normal para aprender y desarrollar sus habilidades, y esto puede gestionarse mucho más fácilmente en el entorno remoto adecuado. Es beneficioso para tus superestrellas remotas, quienes pueden sentirse desafiadas y apoyadas mediante el aprendizaje continuo.

Con el panorama de la ciberseguridad cambiando a cada segundo, la capacitación frecuente es imprescindible para seguir el ritmo de las posibles amenazas que podrían afectar a la organización. Y una capacitación integral y medible, personalizada según las necesidades del negocio, es un gran paso en la dirección correcta. Estos fueron algunos de los factores clave en el diseño de la plataforma Secure Code Warrior; queríamos una capacitación a la que se pudiera acceder desde cualquier lugar, justo cuando la necesitaras, en el lenguaje de programación y el marco de trabajo que el usuario eligiera.

Los desarrolladores tienen una relación tensa con la seguridad y, en muchos sentidos, no se les ha atendido de una manera lo suficientemente específica como para que se involucren adecuadamente con las mejores prácticas de seguridad. La capacitación gamificada bajo demanda puede ayudar a ganárselos sin importar dónde se encuentren; esto también es imperativo para garantizar que los equipos externos y los proveedores también demuestren una conciencia de seguridad adecuada, especialmente cuando participan en cualquier tipo de manipulación del software de una organización.

Mantener a tu grupo comprometido y capacitado con formación que ayude a la organización (por no mencionar su propia carrera) es un pegamento muy eficaz a la hora de retener a tu mejor y más leal talento... una necesidad absoluta mientras enfrentamos una escasez continua de habilidades en ciberseguridad.

Los equipos de trabajo remotos pueden ser productivos, seguros y estar bien capacitados

Es una postura bastante anticuada pensar que, para ser productivo, hay que estar visible en una oficina de nueve a cinco. Y, sin embargo, muchas empresas (incluso algunas de las nuevas y más interesantes) siguen operando con esta idea en mente. Existe una profunda desconfianza hacia su propia plantilla, como si la mera sugerencia de trabajar desde casa les hiciera imaginar a sus equipos jugando en ropa interior en lugar de hacer su trabajo.

O eso, o simplemente no se han atrevido a dar el paso hacia un trabajo remoto viable.

Naturalmente, los miembros del equipo deben demostrar que pueden mantener su productividad en casa mediante resultados, pero es necesario darles las mejores oportunidades para tener éxito fuera de la oficina. Pregúntese:

• ¿Tienen el hardware adecuado?
• ¿Ha implementado realmente alguna de esas fantásticas herramientas de comunicación de las que hablamos antes?
• ¿Se ha asegurado de que cada gerente esté en contacto y presente digitalmente con su equipo, mediante reuniones rápidas periódicas?
• ¿Ha pensado en herramientas de productividad para realizar un seguimiento de los proyectos y ayudar a dar a cada miembro del equipo dirección, establecimiento de objetivos y una sensación de logro a medida que completan sus tareas?

En el contexto actual, muchas empresas se enfrentaron a la decisión de operar de forma remota o cerrar por completo. Algunas empresas que optaron por pasar a una fuerza laboral remota quizás no estaban del todo preparadas, y es posible que haya algunos detalles que pulir... pero el problema evidente es que estas empresas probablemente también se estén exponiendo a ciertos riesgos de seguridad.

Cómo evitar errores de seguridad en entornos de trabajo remoto

Existen varios vectores de amenaza a considerar, ya que el personal probablemente esté en su propia red y pueda estar utilizando una variedad de dispositivos para acceder a las cuentas de la empresa, cada uno con sus propias necesidades de seguridad que pueden estar activas o no.

En situaciones de trabajo remoto, todo el mundo tiende a recibir un aumento de correos electrónicos, además de tener que gestionar diversos inicios de sesión, sistemas y configuraciones. Es muy fácil que los ataques de ingeniería social y el malware se cuelen a través de dispositivos que están fuera del alcance de la seguridad interna.Esto no es una razón para abandonar el trabajo remoto, es una oportunidad de oro para aprender sobre la marcha y hacerlo lo más robusto posible para el futuro. Y en las organizaciones centradas en la seguridad, bueno, esta es una buena oportunidad para auditar procesos y "probar nuestra propia medicina" en lo que respecta a las mejores prácticas de seguridad para todos.

Hablando de errores, también es importante evaluar su espacio de trabajo remoto en busca de posibles amenazas... principalmente para su orgullo, como esta pobre pareja. Moraleja de la historia: asegúrese de que todos lleven pantalones si está en una videollamada.

Los ciberataques no se detienen solo porque estemos en crisis

Es profundamente perturbador ver los efectos del COVID-19 en todo el mundo, y ahora más que nunca es momento de unirnos y pensar en los demás en esta crisis sanitaria mundial. La cuestión es que los atacantes están aprovechando activamente este miedo y caos generalizados, quizás por la desesperación de llevar comida a la mesa. Como sociedad, somos increíblemente vulnerables en este momento.

Las instituciones sanitarias, incluido un centro de pruebas de vacunas, han sido atacadas con ransomware y ataques DDoS, por no mencionar a aquellos que intentan aprovecharse de organizaciones financieras y gubernamentales distraídas y sobrecargadas lanzando campañas de phishing y malware contra ellas. Otra amenaza inminente rodea a la propia vacuna; se ha informado que la administración Trump había ofrecido a una empresa alemana grandes sumas de dinero para desarrollar una vacuna contra el COVID-19 para uso exclusivo de los Estados Unidos. Los datos de la vacuna son posiblemente la información más valiosa de la Tierra en la actualidad, lo que sería un botín muy atractivo para un atacante.

Este es un recordatorio muy oportuno de que, mientras nos aislamos de la amenaza muy real de un virus físico, nuestro pulso digital también está bajo ataque. La concienciación sobre la seguridad es de suma importancia en toda organización, y se debe proporcionar una formación adecuada en todos los niveles; incluso medidas como hacer cumplir el uso de herramientas de gestión de contraseñas y aprender a detectar un correo electrónico de phishing son útiles.

Y en cuanto a los desarrolladores, ellos son la primera línea de defensa para asegurar el código producido activamente dentro de la empresa, y pueden ser un activo valioso para su equipo de AppSec al evitar mayores daños por un ciberataque al cerrar las puertas traseras creadas por vulnerabilidades comunes.

Las empresas que son digitalmente innovadoras pueden capear tormentas más grandes

Un subproducto extremadamente desafortunado del confinamiento masivo ha sido la recesión económica, que ha obligado a muchas personas a dejar sus trabajos en los sectores más afectados. Todo esto se ha agravado de forma bastante repentina, y es una experiencia que muchos de nosotros probablemente no hemos vivido en nuestras vidas.

Si bien no todas las empresas nativas digitales son inmunes a la recesión (ni mucho menos), por su propia naturaleza, las empresas que operan en el ámbito digital son mucho más ágiles, adaptables y sostenibles cuando ocurren incluso las circunstancias más inesperadas.

Nuestra empresa puede funcionar de manera eficiente y eficaz con una fuerza laboral remota, y esto es una capa adicional de protección para nuestro valioso equipo y también para los clientes a los que apoyan. Consideramos que la formación en código seguro es una parte esencial de las empresas modernas y, si nos eligen, podemos cumplir y adaptarnos según sea necesario. Muchas empresas, por la naturaleza de los productos o servicios que venden, no tienen el mismo lujo, pero puede ser una sorpresa positiva para ellas investigar dónde se pueden digitalizar los procesos, prepararlos para el futuro y hacerlos lo más bajo demanda posible, incluso en los espacios más tradicionales.

Encontrar nuevas formas de conectar es un desafío positivo, no un obstáculo

Puede sonar un poco dramático, pero me recuerda a la famosa frase de Jurassic Park: "la vida se abre camino". Es totalmente cierto, y ha quedado patente con nuestra transición al trabajo remoto. Equipos que apenas interactuaban están descubriendo intereses comunes en charlas informales, juegos de oficina en línea y una lista de reproducción compartida en Spotify. Siempre hay forma de forjar relaciones significativas; mi consejo es dejar que los equipos exploren y crezcan de manera orgánica.

Para nuestros clientes, ha sido increíble ver cómo su compromiso por perfeccionar las habilidades de programación segura ha superado cualquier obstáculo del trabajo remoto. Han estado utilizando nuestra función de torneos y, aunque suelen realizarse en persona con gran despliegue, sus versiones virtuales han fomentado una participación saludable, una competencia amistosa y una excelente distracción productiva de las tareas diarias, que suelen ser solitarias. Al igual que los videojuegos son ahora mucho más sociales, este tipo de formación impulsa la conexión no solo con el material, sino entre compañeros. Y está disponible para cualquiera, en cualquier lugar. Como fanático de la seguridad, tengo mis preferencias, pero es el momento ideal para fomentar el amor por la programación segura. Todos son superhéroes de la seguridad en potencia; es hora de reforzar sus líneas de defensa de la forma más divertida posible.