¿Qué es la ciber-resiliencia y por qué es tan importante?

Tener una estrategia holística para asegurar (y restaurar) la confianza de las partes interesadas es la única forma segura de garantizar esto. Entonces, definamos la ciberresiliencia y exploremos las mejores prácticas para desarrollar una estrategia de ciberresiliencia.

Tanto los consumidores como los clientes comerciales aceptarán nada menos que una completa garantía de que las empresas con las que participan protegen cuidadosamente sus datos altamente sensibles en los sistemas de información hiperconectados que impulsan la economía digital.

La dependencia de las organizaciones de las tecnologías basadas en Internet continúa alcanzando nuevos niveles a medida que las organizaciones, grandes y pequeñas, adaptan sus operaciones y ofertas en torno a la economía digital.

Esta dependencia está exponiendo a las empresas a un panorama de amenazas cada vez mayor y cambiante, que va desde ataques cibernéticos, como DDOS y ransomware, hasta impactos de la regulación de la privacidad de datos, como sanciones financieras y un escrutinio de procesamiento de datos más riguroso.

¿Qué es la ciber-resiliencia?

La ciber resiliencia o resistencia cibernética se refiere a la capacidad de un sistema para recuperarse de un fallo y mantener la confiabilidad persistente del servicio cuando se enfrenta a fallos. El objetivo de la resistencia cibernética, entonces, es garantizar que las operaciones comerciales estén protegidas , de modo que una amenaza o incumplimiento no desmovilice a todo el negocio.

Se define la resistencia cibernética como el inicio continuo de varios enfoques para mantener la entrega continua de operaciones durante una interrupción. Juntos, el enfoque cubre todo el ciclo de vida de las capacidades requeridas para planificar, detectar, responder, recuperarse y mejorar después de una interrupción relacionada con el un fallo o ataque informático.

Estos enfoques incluyen:

• La seguridad cibernética
• Gestión de riesgos
• Continuidad del negocio
• Recuperación de desastres

Estas son las amenazas comunes de ciberresiliencia:

• Cibercrimen. Un crimen organizado que implica robar dinero o adquirir los medios para robar dinero.
• Ciber hacktivismo. Estos son realizados por activistas y piratas informáticos generalmente motivados por una creencia o causa para lograr un resultado, por ejemplo, la venganza.
• Ciberespionaje. Esto está motivado para obtener una ventaja económica en diplomacia, comercio o guerra.
• Gestión de continuidad del negocio. Error humano, consecuencias accidentales como el fallo del operador.

¿Por qué es tan importante la ciberresiliencia para las empresas?

Las medidas de seguridad tradicionales no son suficientes. Es por eso que, en los últimos años, se ha desarrollado la ciberresiliencia. Ahora es razonable suponer que los atacantes finalmente tendrán acceso a diferentes sistemas informáticos y que las organizaciones deberían comenzar a prepararse para trabajar en estrategias para resistir estos delitos cibernéticos.

¿Por qué es importante la resiliencia cibernética? Es esencial porque tiene numerosos beneficios para una organización antes, durante y después de los ciberataques.

Estos beneficios son los siguientes:

Mejora de la seguridad del sistema

La resistencia cibernética no solo ayuda a una organización a responder a un ataque y sobrevivir rápidamente. Al incorporar un programa de resiliencia cibernética, una organización puede desarrollar y diseñar estrategias que se pueden entregar en torno a su infraestructura de TI existente.

También ayuda a aumentar la seguridad en todo el sistema y disminuye la posibilidad de ataques cibernéticos.

Reducción de pérdidas financieras

Independientemente de cuán buena sea la seguridad de TI de una organización, el hecho es que ninguna entidad es inmune a los ataques cibernéticos. Para las pequeñas y medianas empresas, el daño financiero de la violación de datos supera los cien mil, según los informes. Para las grandes organizaciones, es más de un millón.

Además, si un ataque de seguridad tiene éxito, también causará daños a la reputación de la organización en el campo. También puede aumentar el daño financiero. Si una organización tiene resistencia cibernética, el efecto del ataque disminuirá y también las pérdidas financieras.

Cumplimiento de requisitos reglamentarios y legales

Cumplir con los requisitos legales también es un beneficio valioso al integrar la ciberresiliencia en una organización. El cumplimiento de las reglamentaciones legales ayudará al sistema de seguridad de la organización, como la directiva de Redes y Sistemas de Información (NIS) que requiere que cada organización “tome las medidas de seguridad apropiadas y notifique los incidentes graves a la autoridad nacional pertinente”. También existe el Reglamento General de Protección de Datos (RGPD) que promete proteger la privacidad de los datos y reestructurar la forma en que las organizaciones abordan la privacidad de los datos.

Mejora de la cultura laboral y el proceso interno

El objetivo de cada empleado de cualquier organización debe ser la seguridad de los datos y otras infraestructuras de TI.

Cuando las personas se inspiran para tomarse en serio la seguridad en su organización, es más probable que la información confidencial y los activos físicos estén en buenas manos. La organización debe reforzar el comportamiento de seguridad correcto dentro de cada departamento y reducir los errores humanos que exponen datos confidenciales.

Proteger la reputación 

Si una organización no tiene ciberresiliencia, el daño causado por los ciberdelincuentes es difícil de controlar. La resistencia cibernética impide que una organización realice un escrutinio público, multas de los reguladores y una reducción abrupta de las ventas, o peor aún, la pérdida de negocios.

Mantener la confianza de proveedores y clientes

Es esencial tener ciberresiliencia para mantener la confianza de los proveedores y el público que una organización tardó muchos años en construir. Si una organización tiene un enfoque ineficaz para la resiliencia cibernética, puede experimentar daños graves, incluida la restitución a proveedores y clientes cuya confidencialidad ha sido violada.

Mejora del equipo de TI

Uno de los beneficios de la resistencia cibernética es que mejora las operaciones del departamento de TI a diario. Una organización con resistencia cibernética desarrolla un equipo de TI práctico que es visible en todo el entorno de trabajo.

Los profesionales de TI avanzan constantemente y toman medidas a medida que los ciberdelincuentes se vuelven más evolucionados.

Ventajas de las empresa ciberresilientes

La adopción de la ciberresiliencia puede aportar múltiples beneficios a las empresas, entre ellos tenemos:

• Ventaja competitiva: al permitir que la empresa se recupere rápidamente para garantizar la entrega continua de sus servicios.
• Reducción del impacto económico de la interrupción del negocio: minimizando la magnitud del ataque; y promoviendo la implementación de estrategias de respuesta efectivas.
• Gestión de riesgos mejorada: al permitir que la organización desarrolle una mayor proactividad en el tratamiento de riesgos, vulnerabilidades y contingencias.

Características de una empresa ciber resiliente

Las siguientes son las técnicas de resiliencia que las empresas pueden implementar para madurar sus programas de seguridad y mejorar su capacidad de proporcionar servicios a los clientes durante un incidente cibernético:

• Respuesta adaptativa: Optimizar la capacidad de responder de manera oportuna y adecuada a las condiciones adversas.
• Monitorización analítica: Maximizar la capacidad de detectar posibles condiciones adversas y revelar el alcance de las condiciones adversas.
• Protección coordinada: Requiere que un adversario supere múltiples salvaguardas.
• Engaño: Engañar o confundir al adversario u ocultar activos críticos del adversario.
• Diversidad: Limitar la pérdida de funciones críticas debido al fallo de componentes comunes replicados.
• Posicionamiento dinámico: Impedir la capacidad de un adversario para localizar, eliminar o corromper la misión o los activos comerciales.
• Representación dinámica: Apoyar la conciencia situacional, revelar patrones o tendencias en el comportamiento adversario.
• No persistencia: Proporcionar un medio para reducir la intrusión de un adversario.
• Restricción de privilegios: Restringir los privilegios según los atributos de los usuarios y los elementos del sistema.
• Reordenación: Reducir la superficie de ataque de la organización defensora.
• Redundancia: Reducir las consecuencias de la pérdida de información o servicios.
• Segmentación: Limitar el conjunto de posibles objetivos a los que se puede propagar fácilmente el malware.
• Integridad comprobada: Detectar intentos de un adversario para entregar datos, software o hardware comprometidos, así como modificaciones o fabricación exitosas.
• Imprevisibilidad: Aumentar la incertidumbre de un adversario con respecto a las protecciones del sistema que pueden encontrar.

Cómo adoptar la ciber-resiliencia para protegerse frente a las ciberamenazas

Medir la resistencia cibernética significa medir la capacidad de una empresa para limitar el impacto de los incidentes de seguridad. En este contexto, estamos cuantificando la efectividad de los preparativos que una organización ha hecho con respecto a las amenazas y vulnerabilidades, las defensas que han sido desarrollado, controles implementados y los recursos disponibles para mitigar un fallo de seguridad después de que ocurra.

En esencia, queremos enumerar todos los posibles escenarios de incumplimiento, evaluar la probabilidad de cada tipo de compromiso inicial, cómo el ataque podría propagarse a otros sistemas y la respuesta de las defensas de la empresa.

La resistencia cibernética no es una puntuación opaca que puede derivarse de una puntuación simple. Tampoco es un número al que llega respondiendo una lista de verificación de preguntas sobre tu red. Es bastante más complicado que eso, pero puede calcularse a partir de observaciones continuas del estado de tu empresa y una serie de cálculos matemáticos.

Aquí hay una serie de pasos que puedes seguir para mejorar la resistencia cibernética de tu organización y disminuir el riesgo de incumplimiento.

Consigue el 100% de visibilidad en tiempo real

Hay un adagio con el que probablemente estés familiarizado: no puedes mejorar lo que no se puede medir. El primer paso para mejorar la resiliencia cibernética de tu empresa es establecer un sistema que descubra y analice su superficie de ataque empresarial de forma continua y exhaustiva y calcule la resistencia. Según el tamaño y la complejidad de la superficie de ataque empresarial, esta tarea requiere un trabajo serio.

Para una organización con mil empleados, hay más de 10 millones de señales variables en el tiempo que deben analizarse para predecir con precisión el riesgo de incumplimiento. Para organizaciones con 100 mil empleados, necesitamos incorporar más de 100 mil millones de señales en el cálculo de riesgo.

Las técnicas heredadas cubren menos del 5% de la superficie de ataque y no calculan medidas de riesgo o resistencia matemáticamente sólidas. Tampoco puedes lanzar un ejército de personas a esta tarea: no podrán mantenerse al día. Necesitas un especialista para hacer esta escala de observación, análisis y cálculo de riesgo de incumplimiento y ciberresiliencia.

Fuerte identidad y ciber-higiene para tu perímetro

Aquí nos enfocamos en dos cosas: robustos mecanismos para identificar personas, dispositivos y aplicaciones en la empresa (identidad fuerte) y los problemas de seguridad cibernética en tus sistemas con conexión a Internet.

Identidad fuerte: el objetivo de una identidad de usuario fuerte es exactamente lo que indica el nombre: la capacidad de identificar a los usuarios que están intentando acceder a algún recurso empresarial o aplicación de manera robusta.

Esto supone hacer que el sistema de identidad sea difícil de subvertir incluso cuando un adversario ha adivinado o robado las contraseñas de usuario.

También debes tener en cuenta consideraciones prácticas como el hecho de que los usuarios puedan acceder a aplicaciones administradas y no administradas, y algunas aplicaciones / servicios no admiten mecanismos como la autenticación de doble factor.

Se puede establecer una fuerte identidad del dispositivo utilizando certificados del lado del cliente, y la identidad de la aplicación fuerte puede ser establecida mediante el uso de certificados del lado del servidor. Un buen certificado
requiere algo de trabajo y es bastante desafortunado que la mayoría de las organizaciones no lo den la atención que requiere. Deben actualizarse los certificados que caducan e identificar y educar a los usuarios que hacen clic en el certificado anterior.

Higiene cibernética de perímetro extendido: tus activos de conexión a Internet son “zona cero” donde comienzan los ataques cibernéticos. Los ejemplos típicos incluyen sistemas sin parchear, contraseñas débiles o predeterminadas, exposición de puertos, problemas de configuración de seguridad, usuarios fáciles de phishing, certificados rotos, usuarios privilegiados o usuarios de alto valor que tienen mala higiene cibernética, etc.

Deberás solucionar todos estos problemas usando mitigaciones apropiadas, incluyendo reconfiguración, parches, controles desplegables para protección de punto final y antiphishing, capacitación del usuario para phishing, etc. También debe pensar en cómo se mantendrán sus soluciones de ciberseguridad para tu perímetro extendido a medida que pasa el tiempo.

Mejorar los sistemas centrales de ciber-higiene e implementar operaciones de seguridad conscientes del riesgo

Ciberhigiene de los sistemas centrales: la premisa para mejorar la ciberhigiene de los sistemas centrales es doble. Primero, aunque estos sistemas están detrás del firewall, es muy probable que algunos dispositivos en el perímetro extendido se verán comprometido en algún momento. El hecho de que un sistema esté detrás de un firewall no significa que podamos ser descuidados al asegurarlo.

La ciber-higiene central se puede mejorar utilizando mecanismos similares a los usados para mejorar el perímetro de ciberseguridad.

Gestión de vulnerabilidades basada en el riesgo: el panorama de amenazas cambia continuamente con nuevas vulnerabilidades descubiertas, exploits que se crean, y un cambio constante en la empresa en términos de dispositivos, aplicaciones, usuarios, configuración y comportamiento que da como resultado nuevas vulnerabilidades.

La gestión de vulnerabilidades basada en el riesgo es el proceso de descubrir y mitigar continuamente
vulnerabilidades en todos tus activos y todos los vectores de ataque en orden de prioridad basado en el riesgo. Se tendrán en cuenta amenazas, exposición, controles compensatorios y criticidad comercial para priorizar vulnerabilidades.

Segmentación dinámica de la red

La teoría detrás de la segmentación de red es que un atacante no puede (prácticamente) atacar un sistema que no puede enrutar paquetes, incluso si ese sistema tiene algunas vulnerabilidades. La segmentación de red es equivalente a introducir un espacio de aire virtual entre sus sistemas perimetrales más expuestos y los sistemas críticos de alto valor.

Por ejemplo, puedes configurar tu DHCP para que los ordenadores portátiles y de escritorio de los usuarios privilegiados reciban direcciones IP en una cierta VLAN, mientras que todos los demás puntos finales del cliente obtienen direcciones DHCP en otras VLAN. También puedes configurar tus servidores para estar en una VLAN diferente y organizar las reglas de firewall / reenvío en tu infraestructura de red para que los puertos administrativos de tus servidores, como RDP y SSH, solo se pueden enrutar desde la VLAN de los usuarios privilegiados. Todas las demás VLAN no pueden enviar paquetes a estos puertos de ningún dispositivo en el segmento del servidor.

En la práctica, la segmentación de la red es bastante difícil de implementar debido a la sobrecarga de mantenerse al día con los cambios.

Retos de las organizaciones para ser ciber-resilientes

Para los CISO, la creación de resiliencia empresarial es un requisito a nivel de la Junta. Sin embargo, poner la resiliencia en acción ha planteado desafíos importantes.

Un tercio de los profesionales de seguridad carecen de un plan de respuesta para las infracciones de seguridad, lo que significa que cuando estas organizaciones sean atacadas, tardarán en recuperarse. Esto es en un entorno donde más de las tres cuartas partes de las organizaciones creen que experimentarán una violación de seguridad en los próximos tres años.

Esto representa una brecha de alto riesgo entre la planificación de resiliencia y la preparación de un CISO para cumplir con el plan.

Por ello, los principales retos a los que se enfrentan las empresas a la hora de ser ciber-resilientes son:

Escasez de habilidades frente a una complejidad creciente

Contar con personal bien informado y con una fuerte experiencia en seguridad continúa presentando desafíos con el 56% de las organizaciones que informan una incapacidad para contratar y retener personal calificado.

Se prevé que habrá 3.5 millones de puestos de seguridad cibernética no cubiertos para 2021. Con amenazas en constante evolución, la escasez generalizada de recursos y habilidades de seguridad cibernética presenta un desafío diario para los CISO que necesitan constantemente capacitar al personal para mantenerse al día.

Falta de inventario de datos y sistemas clave

La resistencia cibernética requiere preparación identificando y priorizando por la empresa datos, puntos finales y sistemas más críticos que son esenciales para continuar las operaciones cuando se produce un incidente.

Sin embargo, los profesionales de seguridad afirman que su resistencia cibernética es impedida por la falta de visibilidad en las aplicaciones y activos de datos. Las empresas no pueden inventariar lo que no pueden ver.

Con los CISO enfrentando una superficie de ataque expandida a través de la nube y adopción de dispositivos, cada vez es más difícil inventariar qué y dónde están todos los datos de la organización. Por ello las empresas no pueden garantizar que todos los sistemas están adecuadamente protegidos o aplican rigor a sus metodologías de respuesta a incidentes.

Avances y desafíos tecnológicos

Los avances de las tecnologías en la facilitación de negocios han creado un cambio constante en el entorno digital para gestionar y proteger la seguridad.

Las empresas han adoptado plataformas de colaboración de vídeo, se unen a las redes sociales, se inscribien para cualquier cosa como servicio y equipan a sus empleados con teléfonos inteligentes, solo por nombrar algunas de las interminables tendencias empresariales habilitadas por TI.

Paralelamente, las tecnologías de seguridad han cambiado y se han ampliado con nuevos controles a la vez que aparecen innovadores métodos de ataque.

Cómo medir la resiliencia de las redes de información

Las empresas y los gobiernos dependen de redes seguras, pero ¿cómo se mide la resistencia de estas redes?

La Agencia Europea de Seguridad de la Red y de la Información (ENISA) ha publicado el informe “Principales desafíos y recomendaciones sobre las métricas de resiliencia de redes y servicios”.

Las métricas y un marco de medición son esenciales para la evaluación de prácticas y políticas para mejorar la resistencia de la red y los servicios. La investigación realizada por ENISA muestra que:

• existen muy pocos marcos existentes y ninguno es globalmente aceptable;
• no hay prácticas estándar, ya que las organizaciones utilizan diferentes conjuntos de métricas y marcos de referencia; y
• es difícil combinar o agregar diversos marcos en una evaluación de alto nivel.

Los principales desafíos de las métricas de resiliencia incluyen:

• Falta de prácticas estándar en la industria y los sectores públicos
• Organizaciones que utilizan enfoques y medios específicos para medir la resiliencia, si es que lo hacen
• Las métricas de resiliencia son difíciles de implementar debido a la falta de conocimiento y conciencia
• Falta de análisis, cooperación larga y activa hacia una comprensión y enfoque comunes
• La utilidad y el valor de las métricas de resiliencia disminuyen cuando aumenta la complejidad
• Falta de herramientas y soluciones

Las recomendaciones establecidas son:

• Crear una comprensión común y buenas prácticas o estándares de métricas de resiliencia (taxonomía, descripción y conjunto de métricas de referencia, factores de impacto);
• Emprender más investigaciones sobre temas abiertos en las métricas de resiliencia (Agregación, Composición, Umbrales, Análisis de datos);
• Desarrollar herramientas y software para automatizar el despliegue de mediciones de resiliencia y para recopilar y analizar datos;
• Promover las buenas prácticas y el intercambio de información
• Implementar un enfoque conservador para introducir métricas