CISO: Qué es, funciones y por qué es importante
En el mundo digital, la seguridad de la información es vital para proteger los activos empresariales contra amenazas cibernéticas. Exploramos el papel del Chief Information Security Officer (CISO) en esta tarea. Desde definir estrategias hasta implementar medidas de seguridad, el CISO desempeña un papel fundamental en la protección de datos y la actividad económica de las empresas. En este artículo, analizaremos las funciones, actividades y diferencias entre el CISO y el Chief Security Officer (CSO), así como la importancia de contar con ellos en las organizaciones modernas. La seguridad de la información o de los datos consiste en proteger la información digital contra el acceso no autorizado, la corrupción o el robo durante todo su ciclo de vida, según indica la IBM (International Business Machines), cuyo significado en español se traduce como Máquina de Negocios Internacionales. Actualmente, el valor empresarial de los datos es más alto que nunca, debido a que se producen una gran cantidad a diario y el análisis correcto puede llevar a las empresas a tomar decisiones estratégicas que lleven a mejorar la eficiencia operativa y la productividad, según indican desde SAP España. Cualquier pérdida o robo de secretos comerciales o de propiedad industrial puede ser fatal para la innovación de la empresa y su rentabilidad. Además de afectar a su reputación, dado que los consumidores no tienden a comprar en una empresa que no protege sus datos. Por todo ello, el CISO cada vez está siendo una figura más relevante en las empresas, no solo a la hora de proteger datos, sino también de proteger la actividad económica de la misma. ¿Qué es el CISO? El CISO es uno de los roles de seguridad dentro de las empresas. Las siglas quieren decir «Chief Information Security officer». INCIBE lo define como «el responsable de la seguridad de la información de la empresa». Uno de sus objetivos principales es alinear la gestión empresarial con la ciberseguridad. Por lo general, es una persona que cuenta con estudios técnicos como ingeniería informática, telecomunicaciones y que tiene amplios conocimientos en ciberseguridad. Podría interesarle: ¿Cómo pueden las empresas mejorar la seguridad de los datos en la nube? Pero también, al haber crecido su papel en la empresa, se requieren habilidades estratégicas como el liderazgo, confianza, tener visión empresarial, conocer las últimas tendencias tecnológicas, capacidad de oratoria y persuasión. Además, sería muy interesante que la persona que tiene este papel dentro de la empresa tuviera también una amplia experiencia en incidentes informáticos, dado que de esta forma va a poder anteponerse y saber reaccionar de forma rápida. Funciones del CISO Las funciones principales del CISO podrían dividirse en tres bloques: Así, pues, el CISO también puede coordinar el equipo de ciberseguridad, concienciar a los empleados y liderar la respuesta ante cualquier amenaza digital. Actividades del CISO Para poder llevar a cabo las funciones descritas en el apartado anterior, el CISO tiene que llevar a cabo unas concretas, las cuales, según el Libro Blanco del CISO son: Es responsable de identificar los recursos necesarios, establecer un mapa de riesgos y definir el nivel de riesgo aceptable para la organización. También debe desarrollar un plan estratégico de seguridad y un marco de control normativo. Además, es fundamental establecer comités, establecer relaciones con partes interesadas relevantes y establecer canales de reporte efectivos. CISO vs CSO El «Chief Security Officer» o CSO es el responsable de la seguridad corporativa de la empresa, según Andalucía Open Future, y su tarea principal consiste en garantizar la seguridad física y tecnológica de la compañía. Ambos perfiles deben trabajar juntos para conseguir que la empresa esté plenamente protegida, por lo que el CISO responderá ante el CSO y este ante la dirección de la empresa. El CISO se centra más en la seguridad de la información, en cambio, el CSO debería tener una visión del negocio y tomar decisiones orientadas a los objetivos de la empresa. En empresas pequeñas los roles de CISO y CSO recaen en la misma persona. ¿Por qué las empresas deberían contar con un CISO? El INCIBE detalla los beneficios que tiene el tener un CISO entre la plantilla de una empresa, los cuales son: Todas estas premisas van a permitir una ventaja competitiva frente a otras empresas, dado que proyecta una imagen de avance y de ir al día en todo lo que respecta a la seguridad de la información, lo cual hoy en día significa diferenciarse debido al valor que tienen los datos. FUENTE: Naranjo, Isabel. »CISO: Qué es, funciones y por qué es importante» Lisanews.org. 08/02/2024. (https://www.lisanews.org/ciberseguridad/ciso-que-es-funciones-por-que-es-importante/).
Ciberseguridad: DevSecOps, la nueva estrategia contra los hackers en las empresas
Para avanzar en ciberseguridad y automatización, es crucial dejar atrás las técnicas tradicionales y los controles manuales que obstaculizan los procesos de desarrollo y entrega continua. Es en ese sentido que la tendencia en el mundo de la tecnología apunta a utilizar el enfoque DevSecOps, que no es más que la colaboración de tres grandes áreas dentro del proceso de construcción de aplicaciones: desarrollo, seguridad y operaciones. “El DevSecOps sigue despertando el interés en las organizaciones, ya que, al incorporar la seguridad en cada etapa del proceso de desarrollo, se garantiza la construcción de aplicaciones seguras al mismo tiempo que se reducen los costos y los impactos asociados a posibles fallas, incidencias y ataques cibernéticos”, explica Mostafa Charem Moudabbes, líder de Digitalización DevSecOps en Softtek. Lea también: Los 5 errores más comunes de ciberseguridad en las empresas Estas preocupaciones de las empresas por proteger sus operaciones guardan relación con los hallazgos de PwC en su estudio Global Digital Trust Insights 2024, que señala un aumento significativo en el porcentaje de compañías que han sufrido una vulneración de datos superior al millón de dólares, pasando del 27% en el 2022 al 36% en el 2023. “Precisamente, el DevSecOps permite a las empresas y creadores de aplicaciones automatizar, monitorear y aplicar prácticas y criterios de seguridad en todas las fases del ciclo de vida del software o aplicación. Es decir, desde las primeras etapas de planificación hasta el despliegue y operación de los productos y servicios en ambientes productivos”, agrega. Para hacer una correcta aplicación de este modelo, Softtek recomienda que cada empleado y cada equipo sea responsable de la seguridad desde el inicio del ciclo de vida del software. Es decir, que la seguridad de las aplicaciones y la infraestructura sean una responsabilidad compartida de los equipos de desarrollo, seguridad y operaciones de TI (tecnología de la información), y no sólo del equipo de seguridad de las organizaciones. Los beneficios de la automatización de DevSecOps Según Softtek, la automatización de DevSecOps aporta varios beneficios. Uno de ellos es que facilita una mayor rapidez en las tareas de desarrollo, implementación y recuperación al incluir herramientas y procesos automatizados. Asimismo, permite efectuar controles precisos de código mediante verificaciones automáticas. Otras ventajas son que elimina tareas correctivas de bajo nivel que pueden impactar los tiempos generales de entrega, y que aporta herramientas de autoservicio en términos de seguridad, los cuales ayudan a los desarrolladores a remediar vulnerabilidades sin depender de un equipo de seguridad u operaciones. Podría interesarle: «El enemigo es la desinformación»: Líderes mundiales y empresas abordan la ciberseguridad en Riad El DevSecOps mejora también la postura de seguridad, ya que se la trata como una parte integral del proceso. A esto se le conoce como Shift Left, que, en detalle, es la práctica de implementar pruebas, seguridad u otras prácticas de desarrollo temprano del ciclo de vida de desarrollo del software en lugar de implementarlas al final. “Con este enfoque, se logra un mayor porcentaje de bloqueo en los ataques cibernéticos, cada vez más comunes, reduciendo el costo de solucionar problemas de seguridad”, añade Mostafa. Debido a todas estas ventajas, la organización mejora la percepción de calidad y estabilidad de sus productos de cara al usuario final, ya que se incrementan las probabilidades de éxito de los desarrollos, y, por lo tanto, del negocio. FUENTE: Revista Economía. »Ciberseguridad: DevSecOps, la nueva estrategia contra los hackers en las empresas» 09/11/2023. (https://www.revistaeconomia.com/ciberseguridad-devsecops-la-nueva-estrategia-contra-los-hackers-en-las-empresas/).
Sólo 1 de cada 5 responsables de ciberseguridad considera eficaz su estrategia
El gasto anual en ciberseguridad alcanza los 35 millones de dólares a nivel mundial y el coste medio de una ciberamenaza se incrementa un 12% en 2023. Sólo 1 de cada 5 responsables de ciberseguridad considera que el enfoque de su organización es eficaz frente a las amenazas actuales y futuras, según el estudio Global Cybersecurity Leadership Insights 2023 de EY. Asimismo, el informe confirma una media de 44 incidentes al año relacionados con la ciberseguridad de las organizaciones. La encuesta realizada a 500 responsables de ciberseguridad de 25 países, entre los que se encuentra España, revela que mientras el número de ciberamenazas y los costes asociados aumentan, los responsables de la seguridad de la información (CISO) parecen tener problemas con la eficacia de la seguridad de sus entornos digitales. Los líderes de la seguridad empresarial encuestados revelan un aumento de los costes asociados a la inversión en ciberseguridad: el coste medio anual se sitúa en 35 millones de dólares, mientras que el coste medio de una brecha de seguridad para las organizaciones ha aumentado un 12% hasta los 2,5 millones de dólares en 2023. Asimismo, y a pesar de los altos niveles de gasto, los tiempos de detección y respuesta parecen lentos. El 76% de los encuestados dicen que sus organizaciones tardan un promedio de seis meses o más en detectar y responder a un incidente. La estrategia en ciberseguridad de los CISO divide a las empresas en ‘seguras’ y ‘vulnerables’ El estudio ha identificado dos tipos de organizaciones: ‘Empresas seguras’, aquellas con la ciberseguridad más desarrollada y eficiente (42%), y las ‘Empresas vulnerables’, compañías con una estrategia en ciberseguridad menos eficiente (58%). En este sentido y en comparación con las empresas vulnerables, las empresas seguras tienen menos incidentes de ciberseguridad (32 ciberataques frente a 52) y son más rápidas a la hora de detectar amenazas y responder ante ellas (5 meses frente a 11 meses). En cuanto a la estrategia de ciberseguridad, las ‘Empresas seguras’ están más satisfechas (51%) que las ‘Empresas vulnerables’ (36%) y se sienten más preparadas para las amenazas del futuro (53% frente a 41%, respectivamente). El 70% ‘Empresas seguras’ se definen a sí mismas como “pioneras” en la adopción de tecnologías emergentes de automatización con el objetivo de simplificar su entorno, tales como: la inteligencia artificial y machine learning (62%); coordinación, automatización y respuesta de seguridad -SOAR- (51%); cloud (46%) y DevSecOps (35%). Si bien una estrategia basada en la creación de un único ecosistema tecnológico integral es mucho más eficiente, también presenta un importante desafío de ciberseguridad. En total, el 53% de los líderes de ciberseguridad de las empresas seguras y el 52% de los responsables de las empresas vulnerables están de acuerdo en que no existe un perímetro seguro en la evolución del ecosistema digital actual. La dificultad para equilibrar el ritmo de la innovación y el de la seguridad se posiciona como el segundo desafío más nombrado, tanto por las empresas vulnerables (55%) como por las empresas seguras (42%). Riesgos financieros, la máxima preocupación en ciberseguridad global En cuanto a la preocupación por los riesgos relacionados con la ciberseguridad, la tipología de ambas organizaciones coincide en que su máxima preocupación son los riesgos financieros, los relacionados con la infraestructura tecnológica y los reputacionales. En este sentido, las ‘Empresas vulnerables’ se centran más en los riesgos financieros (52%), mientras que las ‘Empresas seguras’ son más propensas a reconocer la amenaza que suponen los riesgos de la infraestructura tecnológica (46%). Adicionalmente, el peligro que puede generar la cadena de suministro se posiciona como otra de las preocupaciones clave, pero existe una brecha entre la percepción de las empresas seguras y las empresas vulnerables (38% frente al 20%, respectivamente). Lea también: Expertos en ciberseguridad identifican aumento del 587% en los ataques ‘quishing’ con códigos QR Finalmente, la mitad de los encuestados también se muestran escépticos sobre la eficacia de la formación de sus trabajadores y sólo el 36% está satisfecho con los niveles de adopción de las mejores prácticas por parte de equipos ajenos al departamento de TI. En este sentido, las ‘Empresas seguras’ incorporan la formación de ciberseguridad desde la alta dirección hasta la fuerza laboral. Como resultado de ello, los CISO de estas organizaciones dicen que es más probable que su enfoque tenga un impacto positivo en su ritmo de transformación e innovación (56%), así como en su capacidad para responder rápidamente a las oportunidades del mercado (58%) y centrarse en la creación de valor (63%). FUENTE: Redacción Computing. »Sólo 1 de cada 5 responsables de ciberseguridad considera eficaz su estrategia» Computing.es. 30/10/2023. (https://www.computing.es/informes/solo-1-de-cada-5-responsables-de-ciberseguridad-considera-eficaz-su-estrategia/).
El rol del CISO y la protección de los activos digitales
Los CISO juegan un papel fundamental en la protección de datos de la empresa; deben de tener una estrategia de anticipación y respuesta ante incidentes. Estamos entrando a la segunda mitad de quizás unos de los años más activos para los ciberdelincuentes. De hecho, el promedio de costo de un incidente de datos en América Latina ha alcanzado su pico con 3.69 millones de dólares en 2023, según el reporte de IBM Security. En esta línea, los CISO (Chief Information Security Officer) a cargo de la estrategia de seguridad informática en las empresas, enfrentan un gran desafío debido a las vertiginosas adaptaciones que las corporaciones han sufrido los últimos años al requerir una hiperconectividad y movilidad incrementada, además de un posible tope de presupuesto para ciberseguridad. Lea también: Protección de Datos en tu currículum: ¿Cómo asegurar tu privacidad y cumplir con las normativas acctuales? Si bien la cantidad de nuevas vulnerabilidades encontradas durante el 2022 fue alarmante, las vulnerabilidades de años anteriores siguen acechando a las organizaciones. De hecho, las fallas detectadas en el año 2017 continúan impactando tanto que fueron incluidas en el top 5 de las principales vulnerabilidades en el reporte de Panorama de vulnerabilidades 2022 de Tenable. En este contexto, los CISO juegan un papel fundamental en la protección de datos de la empresa, pues su responsabilidad se ha transformado con el paso del tiempo, dando pie a un compromiso mayor al convertirse en líderes valiosos ante la urgente necesidad de incrementar la ciberseguridad en las empresas del país y llevar a la mesa de decisiones un plan sólido para contener los ataques cibernéticos. Conforme a ello, algunas de las razones para implementar este plan estratégico son: La continuidad de la operación, ya que este año diversas instituciones, gobiernos y empresas han tenido que dejar de operar para reparar el daño, consecuencia que tiene un impacto directo en las ganancias, y más si se trata de una planta industrial donde parar las máquinas tiene un alto precio por segundo. Los cambios y adaptaciones en la arquitectura de TI de las empresas han dificultado el tener una visibilidad adecuada al encontrarse con una superficie de ataque extendida. Esta falta de visibilidad pone en riesgo continuo a las corporaciones, ya que no se puede proteger lo que no se puede ver. En cuanto a la implementación de soluciones de detección y respuesta contra el ransomware, los CISO deben de tener una estrategia de anticipación y respuesta ante incidentes. Este tipo de ataques se ha incrementado de manera alarmante a todo tipo de compañías tanto públicas como privadas. Ciertamente, una habilidad valiosa del CISO será concebir la ciberseguridad como una estrategia, con el objetivo de asegurar el cumplimiento normativo vigente, al afirmar que se opera con los estándares requeridos según el sector y actividades de la empresa. Por último, una razón fundamental es la garantía que deben de ofrecer las empresas sobre la protección de datos personales, ya que, al tener datos sensibles de colaboradores y clientes, la empresa tiene la responsabilidad de salvaguardar y proteger esa información de valor, de no ser así, se puede incurrir en multas que tendrán un impacto monetario y sobre todo en la confianza de aquellos que pueden estar expuestos. FUENTE: Ortiz, Carlos. »El rol del CISO y la protección de los activos digitales» Elfinanciero.com.mx. 16/10/2023. (https://www.elfinanciero.com.mx/opinion/colaborador-invitado/2023/10/16/el-rol-del-ciso-y-la-proteccion-de-los-activos-digitales/).
Cómo encontrar el Nirvana del control de acceso a la información
Los equipos de seguridad deben adoptar el principio de acceso con menos privilegios para crear un modelo eficaz de control de datos basado en la función de cada persona, las políticas adecuadas y la necesidad de saber. La reciente detención del piloto de las Fuerzas Aéreas estadounidenses Jack Teixeira, por compartir ilegalmente información clasificada para presumir ante sus compañeros, ha puesto de relieve el debate sobre el control de acceso. En el caso de Teixeira, existían todos los ingredientes necesarios para proteger la información clasificada, pero lamentablemente parece que Teixeira y sus superiores los ignoraron y abusaron de ellos. En la mítica tierra del Nirvana, donde todo es perfecto, los CISO tendrían todos los recursos necesarios para proteger la información corporativa. La dura realidad que cada CISO experimenta a diario es que pocas entidades disponen de recursos ilimitados. De hecho, en muchas entidades cuando llega el recorte de gastos, no es raro que los programas de seguridad que no se han posicionado (hasta ahora) como un ingrediente clave en la preservación de los ingresos se queden por el camino – si alguna vez necesitó motivación para ejercer el control de acceso a la información, ahí la tiene-. Disponer de controles de acceso para proteger las numerosas categorías de datos de una entidad es primordial. Lo que necesitan los encargados de proteger los datos (como acertadamente expuso Joseph Carson, científico jefe de Seguridad y asesor CISO en Delinea, con quien charlé en la reciente RSAC 2023) es «conocer el camino y no el contenido«. Veamos algunas de las opciones de las que disponen los CISO para evaluar quién tiene acceso a qué. Control de acceso basado en funciones En un gran número de casos, tiene todo el sentido conceder a un empleado, contratista o proveedor individual un acceso basado en roles, en función de su rol, si se cumplen tres condiciones. ¿La tarea o la función requieren absolutamente que se conceda acceso a los datos en cuestión? ¿Dispone la persona de autorización suficiente para requerir este nivel de acceso? ¿Está claramente definido el nivel de acceso con barandillas (políticas)? Acceso basado en políticas A medida que las organizaciones maduran, crean políticas que sirven para formar el corpus de los controles basados en políticas. En otras palabras, si no hay nada escrito de antemano que justifique que el individuo obtenga acceso a información sensible o el individuo no cumple los requisitos de una política establecida, no obtendrá acceso hasta que satisfaga los requisitos. Individuo: A menudo se ven como ecuaciones binarias que identifican las reglas por las que se puede permitir el acceso al individuo identificado. Por ejemplo, las políticas alineadas basadas en la geografía, el puesto de trabajo, la asignación de proyectos, la investigación de antecedentes, etc., que pueden determinar los criterios que deben cumplirse antes de permitir el acceso, se reducen a una cascada de decisiones de sí/no. Información: Políticas similares en evolución que rigen los datos en cuestión. Algunas no son negociables y sirven como requisitos gubernamentales mínimos que deben cumplirse. Aunque las políticas de datos deben superar los requisitos de cumplimiento, el viejo adagio de la infoseguridad sigue siendo válido: «Cumplimiento no es igual a seguridad». La seguridad debe ser algo más que rellenar el cartón del bingo del cumplimiento. ¿A quién pertenecen estas políticas? La respuesta no es TI o infoseguridad. Las políticas cibernéticas de toda la empresa pueden pertenecer a la entidad que es responsable en última instancia de la función: finanzas, RRHH, legal, etc. El equipo de infoseguridad está ahí para ayudar, apoyar y aplicar las políticas. Y también para asesorar sobre el cumplimiento, las excepciones y las anomalías; y, a continuación, trabajar para garantizar que se están tomando medidas para mitigar cualquier riesgo identificable. Acceso basado en atributos Para los que creían haber terminado con la lógica booleana en secundaria, ha vuelto, y el control de acceso basado en atributos (ABAC) es un excelente ejemplo de la utilidad de emplear la lógica de los árboles de decisión para determinar los permisos de acceso. La adopción de ABAC permite que el acceso a la información protegida sea «hipergranular». El acceso de una persona puede estar definido inicialmente por su función y, desde luego, ajustarse a las políticas establecidas. Después, con ABAC, los ficheros, documentos y partes de documentos pueden ser accesibles o denegados en función de criterios establecidos que incluyen etiquetas de datos. Los atributos asignados a un individuo son la clave, y luego se aplican las políticas y herramientas asociadas con la aplicación del nivel correcto de acceso. Por ejemplo, en el mundo de la seguridad nacional, un atributo puede ser el nivel de la clasificación de autorización de una persona. Una persona ha sido examinada para que se le permita acceder a información hasta el nivel SECRET. ABAC mantendría encriptadas partes de un determinado archivo o documento de nivel TOP SECRET, pero permitiría a la persona acceder a la información de nivel SECRET o inferior. En resumen, los CISO o quienes tengan entre sus funciones la seguridad de la información, tanto si carecen de recursos como si tienen el armario lleno, el único concepto que deben adoptar, independientemente del tamaño de su entidad o de su sector, es el «principio del menor privilegio». FUENTE: Burgess, Christopher. »Cómo encontrar el Nirvana del control de acceso a la información» Cso.computerworld.es. 20/06/2023. (https://cso.computerworld.es/tendencias/como-encontrar-el-nirvana-del-control-de-acceso-a-la-informacion).
Mejores prácticas para proteger los entornos OT
El informe “Estado de la ciberseguridad y Tecnología Operativa 2023” confirma que el 75% de las organizaciones con entornos OT sufrieron en el último año al menos una intrusión, principalmente de malware (56%), y phishing (49%). El documento, que firma Fortinet, pone de relieve una mejora de la postura de ciberseguridad, reflejada en que, aunque los ciberdelincuentes siguen atacando las redes OT a buen ritmo, que el número de organizaciones que no sufrieron incidentes ha aumentado significativamente. Aún así, hay margen de mejora y «los profesionales de la ciberseguridad sobrestiman su madurez en seguridad OT». En este sentido, en 2023, el número de encuestados que consideran que la postura de seguridad OT de su organización es «muy madura» descendió hasta el 13% desde el 21% del año anterior, lo que sugiere una mayor concienciación entre los profesionales OT y el uso de herramientas más eficaces para autoevaluar las capacidades de ciberseguridad de sus organizaciones. Casi un tercio (32%) indicaron que tanto los sistemas informáticos como los de telecomunicaciones se habían visto afectados, frente al 21% del año pasado. Otra de las conclusiones del estudio es que, cuantos más dispositivos conectados hay, aumenta la complejidad de protegerlos para los equipos de seguridad. Los resultados de la encuesta revelaron que las soluciones de ciberseguridad siguen contribuyendo al éxito de la mayoría (76%) de los profesionales de OT, en particular mejorando la eficiencia (67%) y la flexibilidad (68%). Sin embargo, la proliferación de soluciones hace más difícil incorporar, emplear y aplicar políticas de forma coherente en un entorno de IT/OT cada vez más convergente, y el problema se agrava con el envejecimiento de los sistemas, ya que la mayoría (74%) de las organizaciones informan de que la edad media de los sistemas ICS de su organización oscila entre seis y diez años. Nueva responsabilidad para el CISO Como subraya este informe, aunque casi todas las compañías se enfrentan a una ardua batalla a la hora de encontrar profesionales de seguridad cualificados debido a la creciente escasez de competencias en ciberseguridad, las organizaciones de OT siguen dando prioridad a la ciberseguridad. Un indicador clave es que casi todas las organizaciones (95%) tienen previsto asignar la responsabilidad de la ciberseguridad de los sistemas OT a un director de seguridad de la información (CISO) en los próximos doce meses, en lugar de a un responsable o equipo de operaciones. Los resultados también revelan que los profesionales de la ciberseguridad de los sistemas OT proceden ahora de la dirección de seguridad de IT, en lugar de la gestión de productos, y que la influencia en las decisiones de ciberseguridad se está desplazando de las operaciones a otros líderes, especialmente a las funciones de CISO/CSO. Claves para hacer frente a los retos de la seguridad en entornos OT FUENTE: »Mejores prácticas para proteger los entornos de OT» Ituser.es. 05/06/2023. (https://www.ituser.es/seguridad/2023/06/mejores-practicas-para-proteger-los-entornos-de-ot).
El 86% de los expertos en ciberseguridad busca migrar a la nube
Lumu Technologies, compañía de ciberseguridad creadora del modelo Continuous Compromise Assessment, que permite a las organizaciones identificar con precisión amenazas en la red y responder automáticamente ante incidentes, da algunas recomendaciones para las organizaciones que requieren actualizar o fortalecer su arquitectura de ciberdefensa. El reciente informe de Perspectivas de Ciberseguridad reveló que, durante los primeros seis meses de 2022, los ataques globales de ransomware alcanzaron los 384.000, de los cuales el 14% fueron dirigidos a organizaciones en Latinoamérica. Muchas organizaciones todavía utilizan sistemas obsoletos de protección que no pueden responder oportunamente ante el aumento y sofisticación de amenazas digitales, haciendo necesario actualizar sus sistemas de ciberseguridad y protegerse contra futuros ataques con herramientas de última generación. Germán Patiño, VP de Ventas para Latinoamérica de Lumu Technologies, explica: ‘Los cibercriminales están dando pasos agigantados, superando la capacidad de sistemas de ciberseguridad que funcionaban en años anteriores, pero que hoy en día son prácticamente obsoletos. Según nuestro estudio de CISOs Priorities, el 86% de los líderes de ciberseguridad encuestados indicaron que migrar de plataformas de ciberseguridad legacy (obsoletas) a plataformas basadas en la nube es una de sus principales prioridades, y que a pesar de las condiciones económicas globales buscarán invertir en automatización para aumentar su adaptabilidad y competitividad’. Podría interesarle: Cómo y dónde estudiar ciberseguridad desde cero Las organizaciones están en constante evolución, buscando las últimas innovaciones y soluciones que les permita mejorar su desempeño, y esto mismo deben hacerlo con sus herramientas de protección y respuesta contra ciberataques. Algunos de los beneficios de dejar atrás sistemas legacy (obsoletos) y adoptar las estrategias de ciberseguridad a la vanguardia son: Contar con una evaluación continua de compromisos: Eficiencia y efectividad: ‘Confiar en modelos o tecnologías antiguas expone a las organizaciones a vulnerabilidades y dificulta la evaluación de compromisos y ejecución de pruebas de penetración debido a la obsolescencia de los sistemas. Es vital invertir en tecnología para protegerse de las amenazas cibernéticas en constante evolución. Se necesitan estrategias innovadoras sólidas e integrales para evitar respuestas fragmentadas de sistemas no actualizados frente a las ciberamenazas, permitiendo a las empresas mantenerse seguras en un mundo digital en constante cambio’, señala el experto. FUENTE: »El 86% de los expertos en ciberseguridad busca migrar a la nube» Prensariotila.com. 01/06/2023. (https://prensariotila.com/el-86-de-los-expertos-en-ciberseguridad-busca-migrar-a-la-nube/).
Mejores prácticas de Seguridad de datos que todo CISO debería conocer
Ser el responsable de la información y la Seguridad de los datos de una organización – CISO – es una tarea ardua, sobre todo sabiendo que la cuestión no es si se producirá un ciberataque, sino si se producirá cuando usted esté a cargo. Ya sea una filtración masiva de datos que llegue a los titulares de los periódicos o un simple error humano que ponga en jaque todas sus operaciones, sus finanzas y su reputación se verán afectadas durante años. Según un estudio de IBM, el coste medio de una filtración de datos se estima en 3,92 millones de dólares. Las empresas hacen malabares para integrar las iniciativas en materia de Seguridad de datos con sus propias estrategias organizativas. Como CISO, entender mejor el Negocio permitirá tomar decisiones estratégicas acerca de los procesos de protección de los datos. A continuación, proponemos algunas buenas prácticas que los CISOs y otros profesionales de Seguridad pueden implementar en sus organizaciones. 1. Piense qué necesita proteger y por qué Todas las decisiones en materia de Seguridad de datos deben someterse a la siguiente pregunta: ¿qué necesita proteger y por qué? Si no conoce la respuesta a estas dos preguntas tan genéricas, no vaya más allá. Disponer de las respuestas le permitirá empezar a desarrollar su estrategia, a la par que se mantiene enfocado en la misión organizacional de su empresa. 2. Conozca qué tipos de datos tiene y dónde se encuentran Antes de tomar ninguna decisión para proteger su información confidencial, es fundamental saber dónde se alojan estos datos. ¿On-premise, en la nube, en entornos de terceros? Audite dónde se encuentran sus datos y documéntelo. En un estudio reciente llevado a cabo por Fortra, los CISOs coincidieron en que la visibilidad de los datos constituye la mayor vulnerabilidad para la ciberseguridad. Después de todo, ¿cómo pueden las empresas controlar y administrar sus datos de forma eficiente si no saben qué tipos de datos tienen, dónde se alojan, cómo se comparten y quién tiene acceso a ellos? Lea también: Las 8 Mejores Prácticas Para La Formación En Protección De Datos Conocer estos aspectos en detalle empodera a las empresas a la hora de gestionar y controlar su información, y permite adoptar una solución tecnológica más centralizada y efectiva. 3. Clasifique su información Para empezar con buen pie, es necesario identificar y clasificar qué tipo de datos se deben proteger, incluida la información crítica no estructurada, como la propiedad intelectual. Con estas medidas, también asegura los parámetros básicos de control y administración necesarios para ayudar a garantizar el Cumplimiento normativo. Contenido relacionado: El primer error de la ciberseguridad y cómo solventarlo a través de la estrategia CSaaS Las organizaciones deben adherirse a un número cada vez mayor de requisitos (normativas, leyes y estándares de Cumplimiento) sin disponer de un contexto sobre qué información necesita administrarse y protegerse. Tanto si necesita proteger información pública, financiera, de identificación personal (PII) como de otro tipo, clasificar la información sienta las bases para poder añadir las capas de Seguridad extra necesarias para seguir protegiendo la información en todas sus operaciones. La clasificación de datos básicamente sirve a modo de señal de advertencia durante el tránsito de la información, por ejemplo, aplicando etiquetas de metadatos a la información confidencial. 4. Conozca el flujo de sus datos Una vez sepa qué tipo de datos administra, necesitará saber de dónde vienen, y también a dónde se dirigen en términos geográficos. Hay que tener en cuenta las normativas nacionales e internacionales que deben cumplirse a la hora de gestionar los datos en reposo y en tránsito, sobre todo si se realizan transferencias internacionales. Cumplir y adherirse a los estándares de cumplimiento gubernamentales o de la industria resulta mucho más sencillo si se cuenta con una serie de soluciones de Seguridad de datos que trabajan de forma coordinada. 5. Por defecto, otorgue derechos mínimos: acceso escalado hacia arriba y no hacia abajo Las soluciones de software efectivas pueden personalizarse a fin de controlar el acceso y los derechos que se otorgan a los usuarios que pueden disponer de la información confidencial. En lugar de dar carta blanca al acceso interno o externo a la información que requiere protección, puede empezar concediendo los mínimos derechos posibles, y ampliándolos a medida que la empresa lo necesite, transferencia a transferencia, o durante un plazo limitado. 6. Acceso basado en roles y autenticación multifactor Otro buen ejemplo a la hora de proteger la información confidencial es implementar un acceso basado en roles con el objetivo de limitar los puntos de acceso en una organización. Instaurar la autorización multifactor protege aún más el acceso a sus datos durante los intercambios. Contar con herramientas de colaboración y transferencia segura de archivos es una buena estrategia, ya que es una forma fácil, automática y segura de garantizar que dicha restricción se aplica en todas las transferencias de archivos. 7. Simplifique la protección de sus datos con una suite de soluciones confiables Los CISOs harán bien en implementar una suite de soluciones en lugar de varias soluciones independientes. Pasándose a una suite de soluciones de Seguridad de datos, disfrutará de todas las ventajas que le proporciona un software flexible diseñado para trabajar con otro, con retorno de la inversión rápido y facilidad de integración. Para garantizar la máxima protección, deberá optar por soluciones que den respuesta a las siguientes medidas de Seguridad: Además, dichas soluciones deberán ser intuitivas y fáciles de integrar, poner en marcha y adoptar, a fin de reducir la carga de trabajo del personal y el impacto en la productividad. Otros artículos: Consejos de ciberseguridad para trabajadores independientes Simplificar la gestión de las distintas soluciones o proveedores podría compararse con una ronda de Jenga (el juego de bloques de madera). Si quita un bloque para encontrar una solución que está reemplazando, podría descubrir que la nueva solución no presenta la granularidad que necesita. Los proveedores que proporcionan soluciones bien diseñadas le dan equilibrio y sencillez. 8. La Seguridad por capas es una buena práctica para proteger los datos La Seguridad de los datos es tan sólida como los distintos elementos que la componen. Una estrategia proactiva consiste en implementar capas
