Aprendiendo a vivir a la izquierda de la brecha

Escrito por Harlan Carvey, Director de Integración de Inteligencia, Nuix.

La industria de la ciberseguridad tiende a centrar su atención en qué hacer después de que se produzca una infracción o un ataque. Después de todo, este es el tema de discusión de los medios de comunicación o de los socios y clientes de una organización. «¿Qué hace la víctima ahora?» Pero, ¿no deberíamos al menos estar tan interesados, si no más, en lo que la organización debería estar haciendo antes de que ocurra una infracción? Así es como se nos ocurrió el término, quedarnos a la izquierda de la brecha, es decir, antes de que ocurra.

Es muy común que la industria acuerde que las filtraciones de datos son inevitables. No pasará mucho tiempo antes de que los medios de comunicación nos den otro Equifax, Three, Deloitte o Wonga (por nombrar solo algunos), y demuestren el daño potencial irreversible que la violación puede tener en dicha organización.

A medida que surgen las historias de estas infracciones, seguimos viendo que las organizaciones se mantienen a salvo durante demasiado tiempo; es decir, en modo reactivo puro. Entrando en pánico y luchando por recopilar información que puede que ya no exista, a menudo días, semanas o incluso meses después de que ocurrió la infracción. Entonces, ¿cómo se ve esto exactamente en la práctica?

Viviendo el derecho de incumplimiento

El primer paso para comprender la diferencia es saber qué esperar si elige mantener el derecho a la infracción …

Una sensación de pánico y pavor

Es natural que al enterarse de que su organización ha sido violada, una sensación de pavor comenzará a caer sobre cualquier líder empresarial. Hay una forma correcta de reaccionar, pero debido a que estás viviendo «en el derecho de infracción», comienzas a entrar en pánico y a luchar por respuestas. ¿Qué recursos o activos se han visto comprometidos? Y, muy a menudo, no puede encontrar los datos que necesita para informar a los asesores legales y las decisiones de los altos ejecutivos debido a una preparación inadecuada para incidentes. Combine la falta de planificación con la falta de experiencia y el abrumador requisito de informar a los organismos reguladores y de cumplimiento, y el resultado es un caos.

El resultado final es que una infracción se vuelve tremendamente costosa para cualquier organización, no solo en términos de litigio, sino también en términos de reputación de marca, en la que puede tener un efecto devastador incluso para el mayor de los conglomerados.

Normativas y notificaciones

Dependiendo de la ubicación de su organización, será responsable ante cualquier número de requisitos de cumplimiento y organismos reguladores. Una de esas regulaciones que se centra en la notificación de infracciones es el Reglamento general de protección de datos (GDPR) de la UE. Las organizaciones cuyas operaciones comerciales se basan predominantemente en la Unión Europea (UE) no han tenido más remedio que prestar atención a la regulación una vez que entre en vigencia en mayo de 2018. Después de todo, si optan por ignorarla, podrían enfrentar multas significativas. por incumplimiento. Estas multas son la mayor entre 20 millones de euros o el 4% de los ingresos brutos globales de la organización. El tiempo y el dinero invertido en cumplir es sin duda la opción preferible para las organizaciones que operan dentro de la UE.

A la izquierda a la izquierda

Ahora que entendemos un poco más sobre los costos de ser violados, dirijamos nuestra atención a los beneficios de permanecer en esa postura ideal a la izquierda de la violación, y algunas formas de permanecer allí.

Planifica para lo peor, espera lo mejor

Si planifica que ocurran incidentes, si dirige su organización «a la izquierda de la brecha», puede presupuestar los costos de planificación e implementación de su estrategia de seguridad. Sí, hay costos iniciales únicos y costos anuales de mantenimiento o mantenimiento, pero todos estos se convertirán en parte de la planificación presupuestaria y, por lo tanto, del proceso de planificación financiera anual.

Al adoptar este enfoque, puede detectar infracciones mucho antes en el ciclo de vida de la amenaza, lo que elimina una gran parte de los costos resultantes de una infracción. A través de la detección temprana y la remediación, evita los costos de notificación y los honorarios legales por demandas posteriores.

Más importante aún, si solo está respondiendo a una infracción muchos meses después del hecho, puede ser muy difícil decir definitivamente qué datos se vieron comprometidos. Detectar y detener la violación antes de que el atacante pueda acceder a datos confidenciales significa que no tendrá que lidiar con los costos de notificación.

Por qué la detección temprana es el camino a seguir

Cuando construye su infraestructura teniendo en cuenta la visibilidad, naturalmente aprende bastante sobre lo que sucede dentro de sus muros virtuales. Empieza a ver gran parte de la actividad que está ocurriendo en sus sistemas, tanto en procesos de larga duración como de corta duración. Cuando comience a monitorear sus sistemas, incluso los filtros más básicos para la actividad del proceso ilustrarán la actividad sospechosa.

Este tipo de visibilidad, especialmente cuando se combina con el fortalecimiento del sistema y la configuración de auditoría, lo lleva inherentemente a comprender y detectar actividades sospechosas, así como brechas directas, mucho antes en el ciclo de vida de la amenaza. En lugar de saber de un tercero externo que ha sido violado, detecta la violación antes de que el atacante pueda acceder a datos confidenciales. Como tal, puede afirmar definitivamente que no se accedió a los datos confidenciales en su informe a su organismo de supervisión de cumplimiento.

Las herramientas de monitoreo y visibilidad de endpoints permiten a las organizaciones detectar la presencia de actores maliciosos mucho antes dentro del ciclo de violación. Esto permite que los equipos de seguridad identifiquen su punto de entrada y respondan con un enfoque planificado antes de establecer un punto de apoyo dentro de la infraestructura de TI.

Llegar a la izquierda de la brecha

Salir de la brecha significa configurar sus sistemas de manera adecuada para su infraestructura y luego utilizarlos para obtener visibilidad.

Cuando digo configurar sus sistemas, hágase preguntas como:

• ¿Por qué nuestro servidor DNS o DHCP ejecuta un servidor web y Terminal Services?
• ¿Debería poder accederse a ambos desde Internet?
• ¿Están nuestros sistemas configurados para proporcionar solo los servicios necesarios y definidos, y esos sistemas y servicios están debidamente parcheados?

El propósito de la configuración del sistema es reducir su superficie de ataque potencial, lo que dificulta que los ciberdelincuentes accedan a los sistemas al obligarlos a cambiar los métodos que utilizan para atacar su organización.

Habilitar la visibilidad del punto final y el monitoreo de la información recopilada permite a sus organizaciones capturar un registro completo del acceso de un adversario a su red. La aplicación adecuada de inteligencia de amenazas le permite filtrar la gran cantidad de actividad «normal» dentro de su infraestructura que es indicativa del negocio diario y alertar sobre la actividad asociada con adversarios dedicados. Luego, este proceso le brinda la capacidad de filtrar rápidamente cantidades masivas de datos para enfocarse solo en aquellas actividades relevantes. Lo mismo ocurre con las amenazas internas, así como con una amplia gama de problemas de seguridad.

Todo se reduce al dicho «Una onza de prevención vale una libra de cura». Por supuesto, puede justificar el gasto de grandes sumas de dinero y tiempo esperando a que se produzca una infracción. Una vez que eso suceda, ¿qué opción tienes? ¿No es mejor tomarse el tiempo, el dinero y la energía para concentrarse en permanecer “a la izquierda del incumplimiento”, en lugar de sufrir los enormes costos (financieros, legales, de marca) asociados con el “derecho al incumplimiento”? Lo más probable es que sus partes interesadas e inversores se lo agradezcan a largo plazo cuando se vulnere su organización.