James Thew - Fotolia

Evaluar Conozca los pros y contras de las tecnologías, productos y proyectos que está considerando.

Domando el paisaje actual de ciberamenazas: una lista para el CIO

El paisaje de ciberamenazas se pone más peligroso cada día. Harvey Koeppel ofrece una lista de ciberseguridad para los CIOs.

Una de las pocas cosas en que los "expertos" parecen estar de acuerdo es que la ciberdelincuencia es un peligro claro y presente para la seguridad nacional. Estas cuestiones han ido mucho más allá de la provincia de revistas de TI esotéricas y novelas de ciencia ficción de culto; han invadido nuestra conciencia colectiva diaria y nuestro bienestar como individuos, como familias, como empresas, como gobiernos, como sociedad y como cultura en general. Muchos opinan largo y tendido sobre cómo el paisaje cibernético se ha convertido en el nuevo campo de batalla sobre el cual se librarán las guerras del futuro: las naciones surgirán y caerán con base en su tecno-destreza para atacar agresivamente y defenderse contra la nueva generación de cibercriminales.

En una cumbre en la Universidad de Stanford a principios de este año, el presidente Obama dijo esto sobre el paisaje cibernético: "Los primeros virus informáticos alcanzaron las computadoras personales en la década de 1980, y, esencialmente, hemos estado en una carrera de armas cibernéticas desde entonces... Diseñamos nuevas defensas, y luego los hackers y delincuentes diseñan nuevas formas de penetrar en ellas. Ya se trate de phishing o botnets, spyware o malware, y ahora ransomware, estos ataques más sofisticados cada día".

Ciegos al paisaje de ciberamenazas

"El éxito no consiste en nunca cometer errores, sino en no cometer el mismo una segunda vez. - George Bernard Shaw

Entonces, ¿cuál es el problema aquí? Si estas cosas malas han estado sucediendo desde hace más de 30 años, ¿por qué no podemos tenerlas bajo control? En su Informe de Defensa contra Ciberamenazas 2015 (América del Norte y Europa), CyberEdge Group compartió lo que consideré como un hallazgo alarmante: el 71% de los encuestados dijeron que se vieron afectados por un ciberataque exitoso en 2014; sin embargo, solo 52% de ese 71% esperaba que volvería a ser víctima en 2015.

¿Podría ser esto cierto? ¿Qué pasa con el otro 19%? Sintiéndome un poco escéptico acerca de lo que estaba leyendo, comprobé la metodología de la investigación, en particular, las características demográficas de los encuestados: 814 profesionales y responsables de decisiones de seguridad de TI, todos de organizaciones con más de 500 empleados. Los encuestados representaban siete países de América del Norte y Europa, y 19 industrias. Parece bastante amplio.

Otro estudio realizado a principios de este año por Accenture, titulado Resiliencia Empresarial frente al Ciber Riesgo, informó que: 66% de los ejecutivos experimentan ataques significativos en sus sistemas de TI diaria o semanalmente; sin embargo, solo el 9% de los ejecutivos ejecutan una penetración continua de seguridad o pruebas de continuidad del negocio/recuperación de desastres en sus sistemas.

Dios mío.

Tres duras verdades sobre el paisaje de ciberamenazas

En el contexto del actual paisaje cibernético, hay (al menos) tres lecciones importantes que podemos tomar:

  1. Cuando usted piensa que está a salvo, es natural caer en la complacencia, dejándolo más vulnerable.
  2. Cuando usted piensa que ha mitigado el riesgo con tecnología mejorada, alguien vendrá con una mejor tecnología que aumentará significativamente su riesgo.
  3. La ciberseguridad es un viaje continuo, no un destino absoluto.

La lista de ciberseguridad para el CIO

Dado el estado de la situación cibernética descrito anteriormente (la punta del iceberg), aquí hay algunas maneras críticas y medios para que los CIOs y los ejecutivos de TI gestionen su paisaje de ciberamenazas:

1. Asegúrese de que todos en su organización entienden que la ciberseguridad no es solo un problema de TI; es un problema de todos. Todas las avanzadas tecnologías, firewalls, contraseñas, tokens, SDN y así sucesivamente, proporcionarán ningún valor si alguien responde inadvertidamente a un ataque de phishing, smishing, suplantación o alguno similar de baja tecnología o sin tecnología. Comunique, capacite, supervise, mejore y comunique.

2. Contrate, capacite y retenga a los mejores cibertalentos posibles que pueda pagar. Los expertos cibernéticos están en alta demanda, la competencia es grande y la compensación es mayor. Recuerde que por ahorrarse unos centavos, puede perder mucho más.

3. Los ejecutivos se han convertido en un grupo objetivo muy popular para los ciberataques de baja tecnología o ingeniería social. Ellos tienden a ser los menos conocedores de la tecnología y tienen acceso a los activos empresariales más valiosos. Los ataques exitosos y las violaciones en este grupo tienden a ser los más visibles (y vergonzosos), tanto interna como externamente. Comunique, capacite, supervise, mejore y comunique.

4. La mayoría de las empresas comúnmente aceptan el hecho de que convertirse en el blanco de un ataque cibernético es un "cuando" y no un "si". No hay tal cosa como demasiada comunicación, preparación y ensayo. Comunique, capacite, supervise, mejore y comunique.

5. Asegúrese de que usted y su equipo están completamente versados ​​en la última serie de regulaciones externas y políticas y procedimientos internos de gestión de ciberriesgo. Las violaciones de cumplimiento no solo son vergonzosas; las multas y sanciones típicamente son significativos artículos no presupuestados. Comunique, capacite, supervise, mejore y comunique.

6. Asegúrese de que su proceso de respuesta a incidentes incluye procedimientos bien documentados y probados de escalamiento para asegurar que todos los grupos adecuados de interés internos y externos son notificados de manera oportuna. Comunique, capacite, supervise, mejore y comunique.

7. La mayoría de los expertos en seguridad coinciden en que no hay defensa perfecta para evitar completamente las intrusiones, y la mejor defensa incluye la detección temprana de los intrusos y la mitigación oportuna de los efectos negativos del malware después de que haya entrado en su entorno. Adquiera e instale las mejores herramientas que le permita su presupuesto.

8. El gasto en seguridad cibernética debe ser administrado por caso de negocio, de forma similar a otras inversiones en TI. Todos los activos de la empresa no son creados iguales y algunos deben ser más plenamente protegidos que otros. Identifique, localice y clasifique los activos basados ​​en el impacto en el negocio si las clases de activos son dañados, perdidos o robados, y presupueste en consecuencia para su protección individual.

9. El gasto de TI en los firewalls de nueva generación, inteligencia contra ciberamenazas y analítica están entre las áreas más populares de la inversión en seguridad de red.

10. Asegúrese de que cualquier herramienta de inspección de red existente o recién adquirida que  está ejecutando o implementando tiene la capacidad de inspeccionar el tráfico encriptado con SSL, a medida que más y más sitios web se están moviendo de HTTP a HTTPS.

11. Las tecnologías de contenerización/microvirtualization se consideran soluciones de "mejores prácticas" para la seguridad del punto final.

12. Cuando usted piensa que ha terminado con todo lo que tiene que hacer, vuelva al número 1 y empiece de nuevo.

Próximos pasos

Quizás también quiera revisar:

Ciberamenazas son un riesgo importante para los mercados financieros

Por qué la colaboración es la única manera de combatir las ciberamenazas

La falta de conciencia de ciberseguridad está vinculada a los CIO

Investigue más sobre Seguridad de la información

Inicie la conversación

Envíenme notificaciones cuando otros miembros comenten sobre este artículo.

Por favor cree un Nombre de usuario para poder comentar.

- ANUNCIOS POR GOOGLE

Close