¿Su programa de seguridad se centra en la respuesta a incidentes? Lo está haciendo mal.

Una versión de este artículo apareció como un artículo para el Consejo de Tecnología de Forbes. Se ha actualizado y sindicado aquí.

‍

No hay nada como estar en el lado equivocado de una violación de datos. Al principio, puede haber negación, luego pánico. Una vez que se han emitido todos los improperios y el CISO ha tenido que hacer una teleconferencia a las 2 de la madrugada con relaciones públicas, es el momento de arremangarse y ponerse a trabajar en la seguridad de los puntos finales, los sistemas y la rápida eliminación de cualquier vector de ataque potencial. No es un picnic, por decir lo menos. 

Y sin embargo, esta es una realidad que se impondrá a muchas organizaciones en el futuro, y para la que es absolutamente necesario prepararse con un plan integral de respuesta a incidentes de ciberseguridad. El problema, sin embargo, es que esta estrategia reactiva es donde se concentra gran parte del tiempo, los recursos y el esfuerzo, en lugar de trabajar para prevenir o reducir la gravedad potencial de los ciberataques por adelantado. Es un poco como llamar a una ambulancia por una sospecha de ataque al corazón; los resultados suelen ser mucho menos positivos -por no decir más perjudiciales- que si se aplicaran medidas de salud preventivas antes de que fuera demasiado tarde. 

Para ello, ¿qué aspecto tiene un plan preventivo? Exploremos cómo los profesionales de la seguridad pueden emplear todas las herramientas a su disposición para mitigar el creciente riesgo cibernético, cada día:

Comprender el alcance del trabajo que se avecina 

Parece obvio, pero el plan "correcto" para mitigar el riesgo cibernético tiene matices entre las industrias, y es importante entender lo que se necesita por adelantado para alcanzar el resultado deseado.

¿Qué problemas de seguridad existen actualmente? ¿Qué tiempo y recursos consumen? ¿Cuántos de ellos son problemas recurrentes? Estos son factores importantes y le darán un punto de partida fundamental. Tenga en cuenta las funciones que hay que cubrir, las lagunas en las herramientas y lo que se necesita desde el punto de vista de la experiencia y de las herramientas para asegurar los puntos finales y reducir la superficie de ataque, al tiempo que se evitan otras áreas de riesgo potencial.

Un informe reciente reveló que once industrias vieron una vulnerabilidad grave, en al menos la mitad de sus aplicaciones, todos los días durante el año pasado. En particular, los sectores de los servicios públicos, la administración pública y los servicios profesionales tardaron una media de 288 días en parchear las vulnerabilidades conocidas. Esto es increíblemente lento, lo que da a un atacante tiempo más que suficiente para causar graves daños si esas vulnerabilidades se descubren antes de que se pueda aplicar un parche. Esto, unido a que la probabilidad de que las organizaciones sufran una violación de datos se aproxima al 30%, es un recordatorio aleccionador de que la reacción a los incidentes no es suficiente, y que lo que está en juego es simplemente demasiado alto como para prepararse para el impacto de un ciberataque a gran escala y esperar lo mejor.

Prepárese para conseguir la aceptación del cambio cultural

Sacudir el statu quo tiende a levantar algunas cejas, pero la verdad es que los programas de seguridad deben estar en un estado constante de mejora continua. Todos los componentes deben seguir siendo relevantes, y los nuevos desarrollos deben ser evaluados y tenidos en cuenta. 

Poner énfasis en un enfoque preventivo -en contraposición al reactivo- puede no ser ampliamente entendido fuera del equipo de seguridad, especialmente si no se ha producido un incidente de seguridad grande y grave. Puede que se vea como algo que no está roto y que no necesita ser arreglado. En este caso, es esencial conseguir la participación de los ejecutivos. Algunos de los puntos más pertinentes que deben tener en cuenta son:

• El ahorro de tiempo y costes de las medidas preventivas, como la formación basada en funciones y las herramientas relacionadas, frente al coste potencial de un incidente crítico 
• Cómo la búsqueda y la corrección de vulnerabilidades permiten ahora que las publicaciones se realicen a tiempo y que el equipo de seguridad tenga menos problemas.
• Por qué prepararse y anticiparse a los posibles riesgos de seguridad, desde el equipo de desarrollo hasta el lanzamiento, ahorra más tiempo (por no hablar de una cantidad importante de dinero) en general. Para ponerlo en perspectiva, las vulnerabilidades de última hora descubiertas en la fase de pruebas -o peor, en la de postproducción- pueden aumentar los costes hasta un 3000% de media.
  

Es fundamental que los cambios culturales propuestos estén en consonancia con los objetivos de la empresa, aunque al principio parezcan incómodos. 

La concienciación sobre la seguridad es algo, los conocimientos sobre seguridad lo son todo

Como industria, hablamos con frecuencia de la importancia de la concienciación en materia de seguridad, y ésta es un componente cada vez más crítico para todos los miembros del personal de una organización. Sin embargo, no basta con quedarse en la palabrería y la formación pasiva, especialmente para los que ocupan puestos técnicos.

En pocas palabras, cualquiera que toque el código es un riesgo potencial para la seguridad si no está equipado con las habilidades para codificar de forma segura. El conocimiento general de los parámetros básicos de seguridad es un buen comienzo, pero sin el conocimiento contextual de los patrones de codificación buenos y seguros, los malos hábitos prevalecen, y es esta falta de habilidad de desarrollo de calidad en la que los atacantes se basan para hacer su trabajo sucio. 

No desprecies a tus desarrolladores.

Aunque la actitud está cambiando, muchas organizaciones están estructuradas de tal manera que los desarrolladores rara vez son una verdadera consideración en los planes de mitigación de la seguridad. Algunos sectores, como el de la banca y las finanzas, tienen estrictos requisitos de cumplimiento y regulación que dan lugar a un aumento de las prácticas de seguridad y a la formación de todo el personal. Y aunque están ciertamente por delante de otros sectores verticales, casi todas las organizaciones del planeta podrían beneficiarse de un ejército interno de desarrolladores conscientes de la seguridad, todos con una capacidad básica para detectar los errores de seguridad comunes antes de que se cometan. La mayoría no está ni cerca de conseguir esta pieza crítica del rompecabezas del programa de seguridad, y es necesaria si alguna vez tenemos la esperanza de asegurar el diluvio de código que aumenta en volumen año tras año.

La seguridad preventiva debe comenzar en el momento en que los dedos tocan el teclado para crear el software, pero no se puede esperar que los desarrolladores salven la brecha de habilidades de seguridad por sí solos. Necesitan el conjunto de herramientas adecuado y la orientación contextual para alcanzar un nivel más alto de calidad del código, y los mejores resultados siempre se consiguen cuando forma parte de su trabajo diario, no una idea de última hora que se pone en marcha esporádicamente cada vez que aparecen los requisitos anuales de cumplimiento.