La ciberresiliencia no se puede lograr mediante presupuestos ni soluciones técnicas. Hoy debe basarse en una medición lúcida de la madurez, enlace por enlace, para identificar las debilidades que comprometen la recuperación después de un ransomware, un limpiador o un compromiso extenso. Porque sólo una medición periódica de la madurez permite fortalecer los buenos eslabones antes de que la cadena de resiliencia ceda.
La ciberresiliencia no se puede comprar. Es una propiedad que aparece cuando una organización toma las medidas preparatorias y operativas adecuadas para resistir los ciberataques. Algunos líderes están convencidos de que, en caso de un ataque, proporcionar los recursos financieros necesarios para enfrentar el problema finalmente lo resolverá. Acostumbrados a hablar de continuidad del negocio y recuperación ante desastres en contextos más tradicionales (fallo de hardware o software, corte de energía, error de configuración, inundación, etc.), a menudo se sienten frustrados por el hecho de que los ciberexpertos no pueden dar una respuesta definitiva sobre la duración de una interrupción cuando se produce.
En incidentes cuyas causas fundamentales son relativamente fáciles de determinar, la recuperación generalmente se realiza en masa en el mismo entorno o en un sitio alternativo alejado de la causa del fallo. La orquestación consiste en conocer las interdependencias, y la velocidad de recuperación simplemente depende del ancho de banda, la velocidad del disco y la solución de respaldo. Se puede realizar un cálculo de RTO y RPO y luego probarlo periódicamente.
Durante un ciberincidente, especialmente un ciberataque a gran escala como el ransomware o el reciente ataque de doble limpiaparabrisas a las redes eléctricas en Polonia, hay muchas más variables, la mayoría de las cuales sólo pueden controlarse hasta cierto punto. Los ciberdelincuentes han implementado cientos de técnicas de ataque (clasificadas en 14 categorías según el renombrado marco MITRE ATT&CK) y están cegando los controles de seguridad de los terminales mediante el uso de controladores de dispositivos vulnerables. Convierten las vulnerabilidades en exploits que se integran en sus plataformas de ransomware como servicio mucho más rápido de lo que casi cualquier organización puede parchear. ¿Entraron y rotaron a través de una máquina o cincuenta? Ahora todos podrían tener mecanismos de persistencia que les proporcionen una cabeza de playa para relanzar el ataque, y el tiempo necesario para investigar y remediar una máquina o cincuenta es significativamente diferente.
Durante los incidentes cibernéticos, la recuperación puede implicar aplicar parches a los sistemas, revertir configuraciones individuales a versiones sin mecanismos de persistencia, agregar controles o reglas adicionales a los controles existentes para evitar un nuevo ataque, eliminar cuentas o proveedores de autenticación maliciosos, rotar claves y contraseñas, todo lo cual lleva tiempo. Esta incapacidad de los profesionales de seguridad para brindar a los ejecutivos cronogramas específicos sobre respuesta a incidentes y recuperación segura a menudo los coloca en una posición incómoda. Las organizaciones que se han comprometido con RTO muy rígidos suelen ser las menos preparadas para manejar un ciberataque, ya que a menudo se recuperan prematuramente sin remediación, para ser reinfectadas o atacadas nuevamente poco después.
Una vez que se diferencia entre continuidad del negocio, recuperación ante desastres y corrección de las vulnerabilidades que causaron el incidente, queda claro que el dinero y las personas son solo una parte de la solución. La planificación, la aceptación de toda la organización, la colaboración entre TI y la seguridad, y un enfoque pragmático para la mejora gradual son más efectivos que invertir en más recursos o soluciones técnicas. Lograr la resiliencia cibernética no se trata simplemente de implementar la última tecnología de punta, sino de aplicar esa tecnología de una manera que sea apropiada para la estructura, la cultura y las capacidades de la organización, crear los flujos de trabajo y procesos apropiados para poner en práctica esa tecnología y desarrollar las habilidades y reflejos correctos internamente para que cuando ocurra el ataque inevitable, todos sepan exactamente qué hacer.
Para superar esta incertidumbre en los tiempos de respuesta, la mejor manera de proceder es construir su ciberresiliencia como una cadena: cada aspecto técnico, proceso o recurso es un eslabón de esta cadena. “Una cadena es tan fuerte como su eslabón más débil”, y lo mismo ocurre con la resiliencia cibernética. Monitoreo de alertas, detección, gestión de vulnerabilidades, protección de respaldo, autenticación… El eslabón más débil impacta el nivel general de resiliencia.
Demasiadas organizaciones lanzan un proyecto en cascada para abordar un solo aspecto, mientras que otro componente de la cadena es casi inexistente. Esto equivale a instalar una puerta blindada en su casa dejando las ventanas abiertas. Las mejoras pequeñas e incrementales en este eslabón más débil tienen impactos mucho mayores en la resiliencia empresarial que centrarse en perfeccionar un solo proyecto.
Los informes de ataques muestran que las organizaciones con mayores presupuestos y equipos de ciberseguridad aún experimentan impactos más graves del ransomware. El objetivo no sólo debe ser aumentar el gasto, sino también garantizar que se apliquen esfuerzos en áreas que proporcionarán el mayor retorno en términos de resiliencia cibernética. Dar un paso atrás y medir la capacidad relativa de cada aspecto de la cadena de resiliencia y mejorarla continuamente es la forma más eficaz de garantizar que no se rompa.
____________________________
Par Julien Mosquetónen RSSI EMEA cohesidad
____________________________
Lea también:
Un “Índice de Resiliencia Digital” (DRI) para comprender y gestionar las dependencias tecnológicas
Cuando la transformación falla, la resiliencia se desmorona
Por qué la resiliencia cibernética debe extenderse más allá de los límites de la empresa
Soberanía y resiliencia, cuando se requiere responsabilidad corporativa (RSC) a todos los niveles
Resiliencia SaaS: el 65% de las organizaciones sufren una brecha en un año
Ley de Resiliencia Cibernética: ¿Cómo deberían prepararse los proveedores de software y hardware conectado?
Vistas de publicaciones: 549
[
