En el momento de convergencia de la transformación digital, con un foco de toda la industria en SASE, y con los efectos de la continua pandemia de COVID-19, hay fuerzas clave que los profesionales de la seguridad deben conocer para actuar. Este es el segundo artículo de blog de una serie de tres en los que se detallan estas fuerzas y cómo los líderes y profesionales de la seguridad pueden adaptarse a ellas en un mundo transformándose digitalmente y habilitado para SASE. Este artículo cubre las fuerzas de la Cultura Organizativa, los Adversarios y las Amenazas.
Fuerza 3: Cultura Organizativa
La cultura organizativa puede tener un impacto significativo en el programa de seguridad. Un cambio en el liderazgo ejecutivo o en el consejo de administración a menudo cambia el apetito de riesgo de la organización y la prioridad del programa (o plan) de seguridad. La mayoría de los consejos de administración ahora requieren un informe mínimo al pleno del consejo y un informe trimestral al subcomité de auditoría del consejo.
Impacto de la pandemia
El cambio más significativo que hemos visto en el cambio de las culturas organizativas es el aumento del teletrabajo que llegó con la pandemia de COVID-19. Mientras que las organizaciones tradicionales prefieren ver a la gente en la oficina y colaborar cara a cara, el objetivo de la mayoría de los empleados es ser flexibles en su entorno de trabajo. Dejando de lado la planificación para la pandemia, la mayoría de los trabajadores elegirán a su empleador y harán preguntas en la etapa de la entrevista sobre esta flexibilidad para asegurarse de que tienen el mejor equilibrio entre el trabajo y la vida privada. Además, las plantillas de trabajadores de nueva generación exigirán este nivel de flexibilidad. Con la preocupación por la salud, el aumento de los precios de la vivienda, el incremento del costo de la vivienda asequible cerca de los lugares de trabajo y los costos de los viajes evaluados en función del salario, la mayoría de los trabajadores necesitarán esta flexibilidad. A medida que las organizaciones repiensan sus estrategias, será crítico comprender la reubicación de sus plantillas. La mentalidad de trabajar desde cualquier lugar, en cualquier momento, desde cualquier dispositivo, acceder a cualquier aplicación y compartir cualquier información, apoya este cambio cultural. Este alejamiento de la oficina tradicional es evidente en la mayoría de los sectores de hoy en día.
El apetito de riesgo de las organizaciones
Con una plantilla flexible e innovadora, también se produce un cambio en el apetito de riesgo de una organización. Entonces, ¿cómo está cambiando esto? La gestión de riesgo se usaba tradicionalmente para bloquear las actividades de alto riesgo y mantener la alineación con la política de la empresa y la seguridad. Era una estrategia binaria simple que la mayoría de los empleados entendían. Sin embargo, a medida que las organizaciones se vuelven más complejas en la oferta de sus bienes y servicios a través de la transformación digital que implica cadenas de suministro complejas, estas estrategias simples ya no escalan. Es necesario identificar nuevos riesgos en base a un comportamiento específico sobre el activo más crítico que tiene una organización: sus datos. A medida que más programas de gestión de riesgos se centran en los datos, también lo hacen sus mediciones sobre la probabilidad y el impacto de estos riesgos. Las organizaciones hoy en día se han vuelto más abiertas y dispuestas a asumir nuevos riesgos que, cuando se gestionan adecuadamente, pueden aumentar sus ingresos.
Cambios en la política financiera
Los directores financieros están estudiando detenidamente los ahorros que pueden llevar a cabo alejándose de las inversiones de capital y pasando a los contratos basados en suscripciones. La inversión en tecnología ya no es una barrera con los servicios en la nube en un modelo de “pago por evolución”. Sin embargo, algunos sectores como el de las infraestructuras nacionales críticas pueden seguir teniendo una cultura de aversión al riesgo y una estrategia de seguridad más restrictiva que sea apropiada. En general, es aquí donde los CISOs de hoy en día deben ser capaces de adaptarse a las nuevas tecnologías, a los nuevos controles, y a las políticas más abiertas que permitan que brille esta cultura más abierta y colaborativa.
Fuerza 4: Adversarios y amenazas
El panorama de amenazas es una medida de referencia de las amenazas actuales observadas por la mayoría de las organizaciones. Sin embargo, el panorama de amenazas sólo es preciso si identificamos y medimos todas las amenazas. Un ejemplo de ello es que el phishing sigue siendo considerado en todas las organizaciones como una de sus principales preocupaciones. Esto es obvio ya que el phishing produce un identificador visual en forma de un correo electrónico de phishing que se puede rastrear hasta el inicio de un incidente.
Ahora, hablemos de otras amenazas comunes que no siempre son visibles. Tanto los ataques en la nube como los basados en la web siguen creciendo en número y, según ENISA (la Agencia Europea para la Ciberseguridad), son una de las tres principales amenazas, aunque muchas organizaciones pueden no tener una verdadera visibilidad de esta amenaza. Para muchos, el tráfico cifrado hacia y desde la organización no siempre se analiza en busca de amenazas. Peor aún, el tráfico hacia y desde las aplicaciones en la nube a menudo se pasa por alto. Más del 50% del tráfico de Internet relacionado con SaaS y las aplicaciones en la nube contiene información esencial para el negocio, por lo que debemos asumir que este tráfico debe ser analizado en busca de amenazas no sólo desde la perspectiva de un actor externo de la amenaza, sino también desde la perspectiva de una amenaza interna o accidental.
A medida que ampliamos nuestra visibilidad en este tráfico también debemos asegurarnos de que entendemos que los datos ya no están en el ordenador que poseemos o controlamos. El cambio de las aplicaciones locales hacia aplicaciones desarrolladas por terceros da lugar a nuevas fases en la cadena de ataque que hay que tener en cuenta. Los nuevos modelos y actualizaciones de las fases de las cadenas de ataque existentes también deben ser reconocidos y considerados para los trabajadores remotos cuando la superficie de ataque se multiplica. Del mismo modo, también deberían abordar la forma en que se exige a los CISOs de gestionar y aplicar controles de seguridad tanto al personal remoto como a terceros que los atacantes puedan utilizar para obtener un acceso de confianza al objetivo real.
Desde la perspectiva del adversario y de la amenaza, una estrategia, control y medición importantes deberían consistir siempre en reducir la superficie de ataque y el tiempo de permanencia. El tiempo de permanencia puede medirse como la duración del acceso no detectado de un actor de la amenaza a una red, sistema, aplicación, dispositivo, etc. hasta que se identifica y elimina el acceso. Las mediciones del tiempo de permanencia DEBEN extenderse a las aplicaciones en la nube y a los servicios web para proteger aún más estos entornos desde una perspectiva de confidencialidad e integridad de los datos. No identificar un actor de amenaza con acceso a la plataforma IaaS o al lago de datos de una organización causará un impacto significativo en la misma.
Amenazas internas
La "amenaza interna" ha sido una de las mayores amenazas desde el comienzo de la informática y, a lo largo de los años, la amenaza interna sigue siendo dominante. Algunas de las mayores violaciones de seguridad se deben a que un infiltrado se centra en un proceso de negocio y no ha dado lugar a una divulgación pública de datos regulados. Estos tipos de violaciones no se denuncian en gran medida debido al daño que causan a la marca de la empresa y, sin una demanda, los equipos directivos a menudo deciden no llevar el caso a juicio. Las estadísticas de notificación de violaciones de seguridad reconocen que el número es sólo una pequeña parte de las violaciones reales que se producen.
Los complejos sistemas de negocio y los requisitos de acceso han creado a un infiltrado diferente. Uno que busca simplemente no hacer su trabajo de la manera que se pretendía. Estos infiltrados, usuarios expertos y usuarios sin práctica, usarán técnicas de ataque para saltarse los espacios dejados por las defensas en nuestros sistemas y procesos para ser más eficientes. Lo hacen en nombre del cliente y del negocio, muchas veces en el calor del momento. A menudo haciendo todo lo incorrecto por todas las razones correctas. Este infiltrado, aunque bien definido, está evolucionando. A medida que los usuarios se mueven a la nube, SaaS y aplicaciones web tienen más acceso a más y más datos y sistemas. Las tendencias sugieren que los objetivos de ataques comunes, como el phishing, el whaling, el spear phishing y comprometer los sistemas de negocio, van a intensificarse utilizando aplicaciones SaaS como vector de amenaza, siendo el correo electrónico el principal medio para que los atacantes se dirijan a sus presas.
La evolución de las amenazas internas
Previsiblemente hasta 2025, las amenazas internas van a continuar y sólo aumentarán en frecuencia y dificultad de detección debido a la reubicación de las plantillas. El cambio de los sistemas de aplicaciones locales a aplicaciones en la nube dificulta la detección de un infiltrado u otro elemento interno sospechoso que se hace pasar por un infiltrado. Los datos no se encuentran en las aplicaciones u organizaciones alojadas, no viajan en las redes que construimos y ya no residen en los sistemas que poseemos o controlamos.
Un infiltrado puede estar ahora en nuestra empresa o en la empresa de los proveedores de aplicaciones. Con el cambio de paradigma en el consumo y entrega de sistemas y datos de negocio, uno pensaría que los programas de seguridad necesitarían tener también un cambio rápido. Mientras que hay un cambio rápido en la tecnología, no se necesita un cambio rápido en el programa y la estrategia.
Los infiltrados son en gran parte desencadenados por eventos emocionales. Mientras que estos eventos no son los que una empresa puede apoyar fácilmente, la identificación, educación y los sistemas para dar soporte a programa de amenazas internas no puede ser más fácil de desplegar. En primer lugar, la verificación de antecedentes, la concienciación general y la educación dirigida a empleados de alto valor es clave para convertir a un infiltrado malicioso en uno benigno. Los sistemas que la mayoría de nosotros tenemos pueden hacer saber a los usuarios que, aunque no siempre los podamos ver, nuestros sistemas, procesos y cultura si lo hacen. Las alertas, los informes de acción diaria y los avisos a los usuarios sobre su comportamiento les harán pensar dos veces sobre sus acciones. También se puede aprovechar para entrenar a un usuario sin conocimientos o no entrenado para que realice la acción correcta, como aprovechar un sistema seguro de transferencia de archivos provisto por la compañía a través del correo electrónico u otros sistemas. Esta conciencia también ayudará a los usuarios a identificar si han sido blanco de ataques, ya que conocen sus acciones mejor que nosotros.
Análisis de las amenazas internas
Otro control que todos podemos aprovechar, y que históricamente no hemos podido usar, es la analítica de datos. Los sistemas que usan un potente análisis estadístico suponen un cambio radical. Estos sistemas sólo se están volviendo más inteligentes ya que están potenciados con analíticas y motores de IA y aprendizaje automático que pueden aprender lo que es y lo que no es normal. Mientras estas tecnologías y estrategias están a nuestro alcance, el truco consiste en dar un giro a nuestro programa para obtener la visibilidad, el control y la capacidad de notificar a los usuarios de sus acciones. Empiece por echar un vistazo a sus sistemas y ajuste su estrategia para la gestión de amenazas internas para incluir la creciente evolución de las amenazas desde las estrategias de TI "Cloud First" o "Cloud Only" y cómo esto afecta a su estrategia de seguridad. A continuación, evalúe su capacidad para hacer un análisis profundo sobre el tráfico entendiendo el usuario, los datos, las acciones, la fuente y el destino. Estos datos son su contexto de referencia en sus sistemas analíticos, pero también el punto de referencia para la educación y la sensibilización. Por último, asegúrese de que tiene soporte en línea para detener y, en algunos casos, obtener la justificación de las acciones de los usuarios. Muchas veces este simple paso detendrá al usuario de proceder, pero también romperá muchos scripts automatizados que están tratando de fugar datos hacia servicios en la nube.
¿Quiere saber más sobre las fuerzas restantes? Puede leer la parte 1 aquí y la parte 3 aquí.
Si bien es cierto que el año 2020 ha cambiado el panorama de la seguridad en la nube, Netskope fue creado expresamente para SASE. ¡Déjenos mostrarle por qué durante nuestra semana SASE! ¡Haga clic aquí para más información!
