Atrás 
En el momento de convergencia de la transformación digital, con un foco de toda la industria en SASE, y con los efectos de la continua pandemia de COVID-19, hay fuerzas clave que los profesionales de la seguridad deben conocer para actuar. Este es el segundo artículo de blog de una serie de tres en los que se detallan estas fuerzas y cómo los líderes y profesionales de la seguridad pueden adaptarse a ellas en un mundo transformándose digitalmente y habilitado para SASE. Este artículo cubre las fuerzas de la Cultura Organizativa, los Adversarios y las Amenazas.
Fuerza 3: Cultura Organizativa
La cultura organizativa puede tener un impacto significativo en el programa de seguridad. Un cambio en el liderazgo ejecutivo o en el consejo de administración a menudo cambia el apetito de riesgo de la organización y la prioridad del programa (o plan) de seguridad. La mayoría de los consejos de administración ahora requieren un informe mínimo al pleno del consejo y un informe trimestral al subcomité de auditoría del consejo.
Impacto de la pandemia
El cambio más significativo que hemos visto en el cambio de las culturas organizativas es el aumento del teletrabajo que llegó con la pandemia de COVID-19. Mientras que las organizaciones tradicionales prefieren ver a la gente en la oficina y colaborar cara a cara, el objetivo de la mayoría de los empleados es ser flexibles en su entorno de trabajo. Dejando de lado la planificación para la pandemia, la mayoría de los trabajadores elegirán a su empleador y harán preguntas en la etapa de la entrevista sobre esta flexibilidad para asegurarse de que tienen el mejor equilibrio entre el trabajo y la vida privada. Además, las plantillas de trabajadores de nueva generación exigirán este nivel de flexibilidad. Con la preocupación por la salud, el aumento de los precios de la vivienda, el incremento del costo de la vivienda asequible cerca de los lugares de trabajo y los costos de los viajes evaluados en función del salario, la mayoría de los trabajadores necesitarán esta flexibilidad. A medida que las organizaciones repiensan sus estrategias, será crítico comprender la reubicación de sus plantillas. La mentalidad de trabajar desde cualquier lugar, en cualquier momento, desde cualquier dispositivo, acceder a cualquier aplicación y compartir cualquier información, apoya este cambio cultural. Este alejamiento de la oficina tradicional es evidente en la mayoría de los sectores de hoy en día.
El apetito de riesgo de las organizaciones
Con una plantilla flexible e innovadora, también se produce un cambio en el apetito de riesgo de una organización. Entonces, ¿cómo está cambiando esto? La gestión de riesgo se usaba tradicionalmente para bloquear las actividades de alto riesgo y mantener la alineación con la política de la empresa y la seguridad. Era una estrategia binaria simple que la mayoría de los empleados entendían. Sin embargo, a medida que las organizaciones se vuelven más complejas en la oferta de sus bienes y servicios a través de la transformación digital que implica cadenas de suministro complejas, estas estrategias simples ya no escalan. Es necesario identificar nuevos riesgos en base a un comportamiento específico sobre el activo más crítico que tiene una organización: sus datos. A medida que más programas de gestión de riesgos se centran en los datos, también lo hacen sus mediciones sobre la probabilidad y el impacto de estos riesgos. Las organizaciones hoy en día se han vuelto más abiertas y dispuestas a asumir nuevos riesgos que, cuando se gestionan adecuadamente, pueden aumentar sus ingresos.
Cambios en la política financiera
Los directores financieros están estudiando detenidamente los ahorros que pueden llevar a cabo alejándose de las inversiones de capital y pasando a los contratos basados en suscripciones. La inversión en tecnología ya no es una barrera con los servicios en la nube en un modelo de “pago por evolución”. Sin embargo, algunos sectores como el de las infraestructuras nacionales críticas pueden seguir teniendo una cultura de aversión al riesgo y una estrategia de seguridad más restrictiva que sea apropiada. En general, es aquí donde los CISOs de hoy en día deben ser capaces de adaptarse a las nuevas tecnologías, a los nuevos controles, y a las políticas más abiertas que permitan que brille esta cultura más abierta y colaborativa.
Fuerza 4: Adversarios y amenazas
El panorama de amenazas es una medida de referencia de las amenazas actuales observadas por la mayoría de las organizaciones. Sin embargo, el panorama de amenazas sólo es preciso si identificamos y medimos todas las amenazas. Un ejemplo de ello es que el phishing sigue siendo considerado en todas las organizaciones como una de sus principales preocupaciones. Esto es obvio ya que el phishing produce un identificador visual en forma de un correo electrónico de phishing que se puede rastrear hasta el inicio de un incidente.
Ahora, hablemos de otras amenazas comunes que no siempre son visibles. Tanto los ataques en la nube como los basados en la web siguen creciendo en número y, según ENISA (la Agencia Europea para la Ciberseguridad), son una de las tres principales amenazas, aunque muchas organizaciones pueden no tener una verdadera visibilidad de esta amenaza. Para muchos, el tráfico cifrado hacia y desde la organización no siempre se analiza en busca de amenazas. Peor aún, el tráfico hacia y desde las aplicaciones en la nube a menudo se pasa por alto. Más del 50% del tráfico de Internet relacionado con SaaS y las aplicaciones en la nube contiene información esencial para el negocio, por lo que debemos asumir que este tráfico debe ser analizado en busca de amenazas no sólo desde la perspectiva de un actor externo de la amenaza, sino también desde la perspectiva de una amenaza interna o accidental.
A medida que ampliamos nuestra visibilidad en este tráfico también debemos asegurarnos de que entendemos que los datos ya no están en el ordenador que poseemos o controlamos. El cambio de la