¿Su programa de seguridad se centra en la respuesta a los incidentes? Lo estás haciendo mal.

Una versión de este artículo apareció como una función para Consejo de Tecnología de Forbes. Se ha actualizado y distribuido aquí.

‍

No hay nada como estar en el lado equivocado de una violación de datos. Al principio, puede haber negación y luego pánico. Una vez que todos los insultos hayan salido a la luz y el CISO haya tenido que hacer una teleconferencia con el departamento de relaciones públicas a las 2 de la mañana, es hora de ponerse manos a la obra y ponerse manos a la obra para proteger los terminales y los sistemas y eliminar rápidamente cualquier posible vector de ataque. No es un picnic, por decir lo menos.

Sin embargo, esta es una realidad que muchas organizaciones se darán cuenta en el futuro y para la que es absolutamente necesario estar preparadas con un plan integral de respuesta a los incidentes de ciberseguridad. Sin embargo, el problema es que esta estrategia reactiva consiste en concentrar gran parte del tiempo, los recursos y los esfuerzos, en lugar de centrarse en prevenir o reducir la posible gravedad de los ciberataques desde el principio. Es un poco como llamar a una ambulancia ante la sospecha de un ataque al corazón; los resultados suelen ser mucho menos positivos (por no decir más perjudiciales) que si las medidas sanitarias preventivas estuvieran en vigor antes de que fuera demasiado tarde.

Con ese fin, ¿qué aspecto tiene un plan preventivo? Exploremos cómo los profesionales de la seguridad pueden emplear todas las herramientas a su disposición para mitigar el creciente riesgo cibernético, todos los días:

Comprenda el alcance del trabajo que queda por delante

Parece obvio, pero el plan «correcto» para mitigar el riesgo cibernético tiene matices entre las industrias, y es importante entender lo que se necesita desde el principio para alcanzar el resultado deseado.

¿Qué problemas de seguridad existen actualmente? ¿Qué tiempo y recursos están consumiendo? ¿Cuántos de ellos son problemas recurrentes? Estos son factores importantes y le darán un punto de partida fundamental. Tenga en cuenta las funciones que hay que cubrir, las carencias en las herramientas y lo que se necesita desde el punto de vista de la experiencia y las herramientas para proteger los puntos finales y reducir la superficie de ataque, al tiempo que evita otras áreas de riesgo potencial.

UN informe reciente reveló que once industrias vieron una vulnerabilidad grave, en al menos la mitad de sus aplicaciones, todos los días durante el año pasado. En particular, los sectores de los servicios públicos, la administración pública y los servicios profesionales tardaron un promedio de 288 días en corregir las vulnerabilidades conocidas. Esto es increíblemente lento, lo que da al atacante tiempo más que suficiente para causar daños graves si descubre esas vulnerabilidades antes de poder aplicar un parche. Esto, sumado a la probabilidad de que las organizaciones sufran una violación de datos acercándose al 30%, es un recordatorio aleccionador de que reaccionar ante un incidente no es suficiente y que hay demasiado en juego como para prepararse para el impacto de un ciberataque a gran escala y esperar lo mejor.

Prepárate para conseguir la aceptación del cambio cultural

Cambiar el status quo suele sorprender a algunos, pero la verdad es que los programas de seguridad deben estar en un estado constante de mejora continua. Cada componente debe seguir siendo relevante, y los nuevos desarrollos deben evaluarse y tenerse en cuenta.

Es posible que el énfasis en un enfoque preventivo, en lugar de reactivo, no se comprenda ampliamente fuera del equipo de seguridad, especialmente si no se ha producido un incidente de seguridad grave y grave. Puede verse como algo que no está roto y que no necesita ser reparado. En este caso, es esencial obtener la aceptación de los ejecutivos. Algunos de los puntos más pertinentes que deben considerar son:

• El ahorro de tiempo y costos en las medidas preventivas, como la capacitación basada en funciones y las herramientas relacionadas, en comparación con el costo potencial de un incidente crítico
• Cómo encontrar y corregir las vulnerabilidades ahora permite que las versiones lleguen a tiempo, con menos complicaciones por parte del equipo de seguridad
• Por qué prepararse para los posibles riesgos de seguridad y anticiparse a ellos, desde el equipo de desarrollo hasta el lanzamiento, ahorra más tiempo (sin mencionar una cantidad considerable de dinero) en general. Para ponerlo en perspectiva, las vulnerabilidades en fase avanzada se descubrieron en la fase de prueba (o, lo que es peor, en la posproducción) puede aumentar los costos hasta un 3000% en promedio.
  

Es vital que los cambios culturales propuestos estén alineados con los objetivos empresariales, incluso si al principio parecen incómodos.

La conciencia de seguridad es algo, las habilidades de seguridad lo son todo

Como industria, hablamos con frecuencia sobre la importancia de la conciencia de seguridad, y este es un componente cada vez más crítico de todos los miembros del personal de una organización. Sin embargo, no basta con hablar de boquilla y con una formación pasiva, especialmente para quienes ocupan puestos técnicos.

En pocas palabras, cualquier persona que toque código es un posible riesgo de seguridad si no cuenta con las habilidades necesarias para programar de forma segura. El conocimiento general de los parámetros básicos de seguridad es un buen punto de partida, pero sin un conocimiento contextual de los patrones de codificación buenos y seguros, prevalecen los malos hábitos, y es en esta falta de habilidades de desarrollo de calidad en la que los atacantes confían para hacer su trabajo sucio.

No descartes a tus desarrolladores.

Si bien la actitud está cambiando, muchas organizaciones están estructuradas de tal manera que los desarrolladores rara vez son una verdadera consideración en los planes de mitigación de la seguridad. Algunas industrias, como la banca y las finanzas, tienen requisitos normativos y de cumplimiento estrictos, lo que se traduce en un aumento de las prácticas de seguridad y en la formación general de todo el personal. Y si bien no cabe duda de que están por delante de otros mercados verticales, casi todas las organizaciones del planeta podrían beneficiarse de contar con un ejército interno de desarrolladores conscientes de la seguridad, todos ellos con una capacidad básica para detectar los errores de seguridad más comunes antes de que se cometan. La mayoría de ellos están muy lejos de conseguir esta pieza fundamental del rompecabezas de los programas de seguridad, y es necesaria si alguna vez tenemos la esperanza de garantizar la avalancha de código que aumenta en volumen año tras año.

La seguridad preventiva debe comenzar en el momento en que los dedos tocan el teclado para crear software, pero no se puede esperar que los desarrolladores cubran la brecha de habilidades de seguridad por sí solos. Necesitan el conjunto de herramientas y la orientación contextual adecuados para alcanzar un nivel más alto de calidad del código, y los mejores resultados siempre se obtienen cuando forma parte de su trabajo diario, y no cuando se les ocurre algo de último momento que se implementa de forma esporádica cada vez que llegan los requisitos de cumplimiento anuales.