Una versión de este artículo apareció en VMblog. Se ha actualizado y sindicado aquí.

‍

Parece que no importa cuántos meses de concienciación sobre la ciberseguridad pasen, cuántos profesionales de seguridad de élite se lancen en paracaídas o cuánto dinero se pierda en un agujero negro, el tema de las grandes violaciones de datos no hace más que empeorar año tras año. Son tan habituales que apenas aparecen en las noticias, a menos que sean catastróficas. En 2020, más de 36.000 millones de registros quedaron expuestos en ciberataques maliciosos, y estamos a la espera de ver cuántos se cosecharán en 2021.

Los actores de las amenazas están constantemente buscando oportunidades, y aunque no todos los ataques son un desastre, se producen de media, cada 39 segundos. No estamos ni siquiera cerca de ganar la lucha, y los malos tienen una gran ventaja sobre los defensores de nuestros datos.

Sin embargo, parece que el cambio está en el aire, ya que el gobierno de Biden ha hecho de la ciberseguridad una de las primeras prioridades de su mandato, con una financiación adicional de 10.000 millones de dólares. Se trata, sin duda, de un paso en la dirección correcta, pero ¿hará esto realmente mella en la ciberdelincuencia, que está aumentando en frecuencia y sofisticación?

Las ciberamenazas requerirán una aldea (global) para ser resueltas

La defensa eficaz contra los ciberataques, cada vez más potentes, no puede ser competencia de un puñado de países y, por desgracia, hace tiempo que no existe una estrategia cohesionada a nivel general. Sin embargo, con el aumento de las amenazas de los estados-nación, muchos gobiernos se están sentando y tomando nota. 

El ataque de SolarWinds que afectó al gobierno de Estados Unidos fue una clara advertencia de lo que es posible, y un indicador de la devastación potencial si cualquier infraestructura crítica fuera violada. Recientemente, el FBI alertó de que un sistema de agua de Florida había sido atacado, siendo el actor de la amenaza capaz de contaminar el suministro de agua de forma remota. Se les detuvo antes de que se produjeran daños graves, pero un atacante más avanzado podría haber causado una destrucción a gran escala que pondría vidas en peligro.

Poco a poco, pero con seguridad, los gobiernos de todo el mundo están invirtiendo más en ciberdefensa. El Reino Unido ha realizado inversiones récord en el sector de la ciberseguridad y ha creado un nuevo grupo de trabajo. Australia ha reforzado su estrategia de ciberseguridad (especialmente en lo que respecta a las infraestructuras), y lugares como Israel y Dinamarca están considerados como los mejores de su clase por sus programas cibernéticos. Japón ocupa el quinto lugar en ciberdefensa; un bienvenido voto de confianza tras una declaración en 2018 del entonces ministro de Ciberseguridad, Yoshitaka Sakurada, en la que afirmaba que nunca había utilizado un ordenador. Un reciente anuncio del gobierno de Singapur prometió una inversión de 50 millones de dólares en la investigación de la IA y la ciberseguridad en la futura infraestructura de comunicaciones, una medida con visión de futuro para solidificar la seguridad e integridad digital.

Una respuesta fuerte y coordinada de ciberseguridad a nivel mundial es vital a medida que avanzamos rápidamente hacia la tecnología del futuro, y todos los órganos de gobierno deberían iluminarla como un enfoque clave.

Más dinero no significa menos problemas

Si tomamos como ejemplo a Estados Unidos, Reino Unido y Australia, países que en los últimos dos años han incrementado la inversión en ciberseguridad y en conocimientos técnicos por parte del gobierno, puede parecer que la seguridad es por fin una prioridad y que los "buenos" están consiguiendo lo que necesitan para ganar la batalla. 

Sin duda ayuda, pero es sólo una parte del panorama general. Esa financiación puede comprar súper equipos de expertos (como ha sucedido con la inyección de dinero de Biden), programas integrales de recompensas por errores y una respuesta a incidentes de primera categoría y mitigación en caso de brechas desastrosas, y es este enfoque de la ciberdefensa el que asegura que seguiremos haciendo un progreso mínimo, sin importar cuánto dinero se arroje a los grupos de trabajo y a la respuesta a las amenazas.

Todos los gobiernos deben ir más allá de las medidas de seguridad reactivas y dedicar un esfuerzo serio (y financiación) a una estrategia más preventiva. Si la atención se centra en reaccionar a los ciberataques en lugar de trabajar para prevenirlos desde el principio, ninguna cantidad de dinero reducirá el riesgo creciente. Un enfoque de seguridad genuino y proactivo debería asignar el presupuesto al fortalecimiento de la infraestructura y al despliegue de una formación y una capacitación eficaces en materia de seguridad con el objetivo de reducir la superficie de ataque en la medida de lo posible desde el principio.

Puede que la brecha de competencias en ciberseguridad nunca se cierre, pero hay un potencial desperdiciado

En todo el mundo hay una gran demanda de personal de seguridad altamente capacitado y especializado, y es poco probable que veamos un exceso de esos gurús cibernéticos. Sin embargo, esta es una razón más para que los gobiernos y las organizaciones empiecen a ser creativos y más inteligentes con los recursos que tienen a su disposición.

Un enfoque verdaderamente preventivo de la ciberdefensa comienza con que cada persona que participa en el proceso de desarrollo de software e infraestructura sea lo más consciente posible de la seguridad para su función. Los desarrolladores, en particular, necesitan la formación adecuada en materia de seguridad y las herramientas apropiadas para el trabajo, de modo que la codificación segura pueda ser intrínseca a su proceso. Esto contribuye en gran medida a garantizar que las vulnerabilidades más comunes puedan abordarse antes de que vean la luz del día. Esto por sí solo es un paso poderoso -por no mencionar que es más barato- que reduce la presión y el retrabajo más adelante en el ciclo de vida del desarrollo de software. 

Tenemos que reforzar un enfoque de las mejores prácticas de ciberseguridad dirigido por el ser humano, que va a obtener mejores resultados que una fuerte dependencia de la automatización, de las herramientas y de la reacción a los problemas que ya han sido incorporados y descubiertos, una estrategia que claramente no está funcionando si observamos el número de infracciones que se producen hoy en día.