Clave de datos aislados para combatir los ataques de ransomware

La amenaza de los ciberataques es algo con lo que muchas empresas están familiarizadas. La triste verdad es que no van a desaparecer pronto y, en todo caso, se están volviendo más sofisticados y más difíciles de prevenir.
Uno de los más dañinos es el ataque de rescate, en el que los datos de una organización se ven comprometidos y solo se liberan mediante el pago de un rescate. En un caso ampliamente reportado, la red interna de Sony Pictures fue eliminada, se filtraron datos críticos para el negocio y se causó un daño incalculable a la reputación con las consecuencias de los medios de comunicación que siguieron. En los EE. UU. Hay otros casos documentados de ataques de ransomware que afectan a organizaciones como hospitales. La cantidad de rescates reportados que se pagan es probablemente solo la punta del iceberg, ya que se acepta ampliamente que muchas organizaciones que han pagado rescates no habrán revelado el hecho para proteger su reputación.
Ninguna organización quiere estar en una posición en la que sea vulnerable a un ataque de este tipo, y pronto habrá un incentivo aún mayor para tomar medidas enérgicas para proteger los datos de todo tipo de infracciones. El Parlamento Europeo adoptó recientemente su Directiva sobre seguridad de redes y sistemas de información, que presenta un marco bajo el cual los proveedores de infraestructura crítica deberán informar sobre incidentes de ransomware y los llamados ataques ‘hacktivistas’, y detallar sus respuestas. Dado el daño que podrían causar tales divulgaciones, es probable que las organizaciones busquen formas cada vez más sólidas de proteger sus datos.
Una de esas soluciones es mantener copias seguras de los datos críticos «fuera de la red», donde son completamente inaccesibles para los piratas informáticos potenciales. Esto desarrolla una protección antimalware más familiar, que se basa en el principio de «copia de seguridad y restauración», en el que los datos dañados se sobrescriben con una copia limpia. En un ataque de ransomware, tanto los datos en vivo como los de respaldo pueden verse comprometidos por técnicas de cifrado, por lo que no hay una copia limpia para restaurar, lo que hace que este método sea ineficaz. La restauración solo es posible mediante el pago del rescate, lo que genera el descifrado de los datos.
Al sacar la instancia de respaldo de datos críticos fuera de la red, las organizaciones pueden estar seguras de que los intrusos que acceden a la red con la intención maliciosa de cifrar los datos y retenerlos para pedir un rescate no pueden llegar a ella. El mecanismo para hacer esto es lo que llamamos una solución de recuperación aislada (IRS). En este escenario, la organización identifica sus datos críticos para la misión y estos datos se respaldan en un almacenamiento que solo está conectado a la red durante períodos muy limitados, simplemente con el propósito de hacer una ‘copia de oro’ de los datos clave. Durante estos breves períodos de conexión, existen estrictos sistemas de monitoreo de seguridad y la supervisión se limita a una pequeña cantidad de técnicos confiables.
De esta manera, se mantiene una copia de todos los datos de misión crítica fuera de la red habitual. Su existencia no se publicita, ni siquiera dentro de la organización. Es accesible solo por un número muy pequeño de personal altamente confiable y con acreditación de seguridad. Piense en ello como una especie de «sala de pánico»: si se rompe el perímetro de la red, hay un santuario interior secreto que está separado, seguro y confiable. Cuando se necesitan los datos almacenados en un IRS, se pueden escanear y verificar como seguros, antes de que se restauren fácilmente. Esto significa que los delincuentes que perpetran un ataque de ransomware no tendrán influencia: los datos cifrados simplemente se sobrescriben en el proceso de restauración y no hay nada por lo que la empresa víctima deba pagar.
Para aquellas organizaciones que deben cumplir con la Directiva sobre seguridad de redes y sistemas de información adoptada recientemente por el Parlamento Europeo, esta solución minimiza la probabilidad de que sufran el daño a su reputación y flujo de ventas que se deriva de informar las pérdidas de una instancia de ransomware o hacktivista. . Si hay una violación del firewall, por supuesto, será necesario informar de ello. Pero en lugar de registrar instancias masivas de datos comprometidos, la organización puede informar sobre la protección exitosa de sus datos y su reputación permanecerá intacta. Y, por supuesto, no se verán obligados a cumplir con las demandas financieras de un ataque de ransomware.