Seguridad por diseño: por qué debería ser la norma poner la ciberseguridad en primer plano

A través de historias de ransomware que acaparan los titulares de los o debido a experiencias personales de robo de identidad, la ciberseguridad está cada vez más presente dentro de la conciencia colectiva. Durante la pandemia, una escalada en los niveles de amenaza también recordó a los líderes empresariales y a los departamentos de IT lo que está en juego. Ahora que estamos entrando gradualmente a los tiempos del trabajo híbrido, es vital que los equipos vayan un paso más allá e integren la seguridad a todos los aspectos de la organización. Lamentablemente, sigue sucediendo en muchos casos que se trata a la ciberseguridad como algo secundario. También existen señales preocupantes de resistencia a cualquier cosa que impacte en la productividad, principalmente en los miembros más jóvenes de los equipos de trabajo.

La idea de poner la ciberseguridad en primer plano parece simple, pero probablemente requiera esfuerzo llevar a la práctica este enfoque. La seguridad debe incorporarse a los procesos desde el escalón más bajo y debe dejar de ser algo en lo que se piensa en la etapa final. Tampoco debe ser a expensas del crecimiento empresarial y la innovación.

Cuando los empleados se resisten

Todos sabemos lo que ocurrió durante la pandemia. Con el crecimiento del trabajo remoto y la aceleración de los procesos de transformación digital también se expandió la superficie de ataque, y los cibercriminales despiadadamente explotaron estas nuevas brechas. Por ejemplo, han apuntado a soluciones VPN desactualizadas y a servidores Exchange, han tomado el control de equipos a través del protocolo de escritorio remoto (RDP) protegidos con contraseñas débiles o utilizando contraseñas que fueron previamente robadas, atacado sistemas en la nube mal configurados, y mucho más. En este contexto, impulsar una cultura de seguridad por diseño ayudaría mucho a eliminar las fallas de seguridad tan frecuentemente explotadas por los atacantes.

Sin embargo, hay quienes se resisten. Una investigación de HP reveló que tres cuartas partes (76%) de los líderes globales de IT admiten que durante la pandemia la seguridad pasó a un segundo plano frente a la continuidad del negocio. Esto puede haber sido comprensible en algún momento, pero no ahora que el riesgo operativo está retrocediendo. No obstante, los trabajadores más jóvenes parecen ignorar las políticas, se muestran apáticos hacia la seguridad en general y cada vez más frustrados por tener su productividad “restringida”. Casi la mitad (48%) de las personas de 18 a 24 años afirmaron que las herramientas de seguridad eran un obstáculo, y casi un tercio (31%) dijo que había tratado de eludir las políticas corporativas para hacer su trabajo.

Por lo tanto, “la ciberseguridad en primer plano” requerirá tanto de una planificación como una ejecución cuidadosa para evitar una reacción negativa del usuario.

Cuando la seguridad es una idea de último momento

Es necesario que exista un progreso, ya que la seguridad como algo añadido está fallando en las organizaciones en todas partes del mundo. Un ejemplo clásico es en el ámbito de DevOps, donde los procesos están orientados a acelerar el tiempo de creación de valor, en lugar de la mitigación de riesgos. Los resultados suelen ser software que salen al mercado con vulnerabilidades que terminan siendo aprovechadas en ataques. Un estudio de 2021 afirma que los ataques en los que infectan sistemas, por ejemplo, mediante una actualización maliciosa que aprovecha una vulnerabilidad en proyectos de código abierto para servir su posterior descarga, aumentaron un 650%.

Los costos de aplicación de parches, más el daño a la reputación que conlleva un incidente grave, pueden exceder con creces los costos asociados a la construcción de una mejor seguridad en los canales de integración y distribución continuas (CI/CD). Y existen muchos otros ejemplos. Como las enormes consecuencias financieras y a la reputación que provocó la filtración de Equifax de 2017, la cual se dice que afectó a casi la mitad de todos los adultos estadounidenses. Podría haberse evitado mediante un parche rápido. O el robo a Capital One de 2019, que afectó a 100 millones de solicitantes de crédito para consumo. Mejores controles en busca de configuraciones indebidas de los sistemas en la nube podrían haber evitado el mal momento al banco.

Es necesario llevar a la ciberseguridad a un punto en el que la seguridad esté en primer lugar. Por ejemplo, como ocurre en la industria automotriz. En este sector, los equipos de seguridad están estrechamente involucrados en el diseño y despliegue de prácticamente todas las nuevas características de los vehículos. Es por eso que hoy existen sistemas de freno de alto rendimiento, parabrisas resistentes a roturas, barras antivuelco, airbags y muchas otras innovaciones tecnológicas como estándar en la mayoría de los automóviles actuales. Con la ciberseguridad debería suceder lo mismo.

Poner la seguridad en primer plano

La seguridad por diseño es un principio clave del GDPR, el cual es considerado como un estándar en la regulación global de la privacidad. Construir considerando la seguridad desde los cimientos en lugar de anexarla tiene sentido incluso desde una perspectiva de mitigación, tanto de riesgos como de costos. ¿Cómo sería en la práctica? Aquí hay algunas sugerencias:

• Minimización de datos y cifrado en todas partes puede ayudar a reducir los riesgos de seguridad de los datos y la exposición de la información
• Control y gestión continua de los activos de IT a lo largo de todo el sistema ayudará a comprender lo que se tiene y cómo protegerlo.
• Sesiones regulares de capacitación y concientización para el personal. Esto puede convertir al eslabón más débil de la cadena de la seguridad en una formidable primera línea de defensa, y ayudar a crear una cultura de seguridad en primer plano.
• Consulta estrecha con los usuarios garantizará que cuando se rediseñen las políticas para el trabajo híbrido, se realice de una manera que minimice las interrupciones al personal.
• Foco en la gestión de los accesos, siguiendo el principio de menor privilegio y con doble factor de autenticación de forma predeterminada, podría evitar el 90% de los ataques
• Gestión automatizada de parches basada en riesgo puede impulsar mejoras importantes en la higiene cibernética para reducir el tamaño de la superficie de ataque corporativa.
• Registro, monitoreo, y detección y respuesta, también son fundamentales para encontrar y mitigar cualquier ataque entrante en el sistema.
• Monitoreo continuo de la cadena de suministro contribuirá a abordar de manera proactiva una fuente importante de riesgos cibernéticos
• Una estrategia de seguridad Zero Trust. Es una forma cada vez más popular de evitar riesgos a través de la autenticación continua y otros controles.

En conclusión, el enfoque de la ciberseguridad en primer plano plantea cambiar la perspectiva sobre la seguridad de una postura reactiva a una proactiva. Y si está luchando por encontrar el presupuesto para emprender un cambio duradero, recuerde posicionarlo como un facilitador. Los frenos no están ahí solo para reducir la velocidad del vehículo, sino también para garantizar que pueda viajar más rápido de manera segura. Por eso las organizaciones que operan bajo un modelo de seguridad por diseño tienen la confianza para impulsar proyectos ambiciosos de transformación digital, ya que están construidos sobre una base segura. De esta manera logran innovar más rápido y, en última instancia, se adelantan a su competencia.