Confía en mi

¿Cuál es su apetito por el riesgo y cuáles son sus sistemas críticos, como si no supiera que necesita trabajar en un modelo de confianza cero?
Hablando con Raimund Genes, CTO de Trend Micro, quien había hablado en un panel en una conferencia en Londres sobre el concepto de usuarios y acciones, recomendó que las empresas inviertan en soluciones como la biometría y la autenticación de dos factores (2FA), pero hubo un El problema es que para iniciar sesión en una empresa de forma externa, debe pasar por niveles de seguridad, pero ¿por qué a menudo no existía para la seguridad interna?
«Tenemos ciertos sistemas en su lugar y nuestra propia detección de infracciones, pero diseñaría teniendo en cuenta la confianza cero», dijo. «Usaría la misma seguridad en la intranet que en los externos, y usaría rastreadores de red, ya que habrá brechas en su interior».
Relató una situación en una universidad en Malasia donde habían terminado una prueba, y le mostró a Genes los resultados de que tenía malware y estaba tan sorprendido de que no tuviera un ambiente limpio, y Genes dijo que nadie tiene un ambiente limpio. , especialmente con los estudiantes que traen cosas.
Dijo: “No se puede esperar un medio ambiente limpio y se mencionó que se trata de la gestión de riesgos y ¿cómo se hace correctamente? Puede identificar los sistemas de misión crítica en los que debe saber qué se ejecuta en ellos, entonces, ¿por qué incluye antimalware y listas negras en estos sistemas? Debe saber qué se está ejecutando en él antes de realizar la administración de parches y el control de calidad, entonces, ¿por qué no pasa de la lista negra a la lista blanca y permite que todo lo que sabe, y todo lo demás se bloquee? ¿Resuelve muchos problemas? «
Explicó que este es un proceso para una empresa internamente, ya que necesitan tener un proceso de gestión de cambios adecuado. “Tienen un mejor rendimiento ya que el anti-malware necesita más memoria para buscar todas las cosas malas, y con la lista blanca solo se comparan unos pocos miles de aplicaciones en lugar de todo”, dijo.
“Por eso digo ‘¿cuál es su apetito por el riesgo y cuáles son sus sistemas críticos?’ Para esto, haría un escudo de vulnerabilidad adecuado contra vulnerabilidades conocidas y desconocidas. Si se revela una nueva vulnerabilidad y hay un parche disponible, la empresa promedio necesita seis meses hasta que todos los sistemas estén parcheados y esa es una ventana de oportunidad para el atacante. Pon un caparazón a su alrededor con un escudo de vulnerabilidad, puede protegerte «.
Dijo que en los sistemas críticos, puede decir «informar cada cambio», y si su equipo de administración puede preguntar quién autorizó el cambio y decir «¿esperábamos que ocurriera este cambio», al menos lo notó.
Le pregunté si el modelo de confianza cero puede extenderse a la cadena de suministro y a terceros, y dijo que deberían ser tan poco confiables como todo lo demás, ya que es posible que deba monitorear el tráfico proveniente de socios externos, y es posible que deba hacerlo. imponga la autenticación en ellos también para que sepa quién se está conectando.
“Pero aún no se puede confiar en que su medio ambiente esté limpio”, dijo. “¿Cómo lo harías cumplir? Eso es un problema ya que muy a menudo hacemos algo para firmar algunos papeles desde un punto de vista legal, su proveedor hace todo lo posible para protegerse contra el malware, entonces, ¿cómo puede confiar en él? ¿Confías en el proveedor con tus joyas de la corona porque firmaron un papel? Desafortunadamente, algunas empresas lo hacen porque desde un punto de vista legal están bien «.
A menudo es parte de la naturaleza humana ayudar a las personas, y Genes dijo que esa es la razón por la que Kevin Mitnick tuvo tanto éxito: era un ingeniero social perfecto y, en última instancia, la gente confía y quiere ayudar, por lo que decirle a la gente “ya no confíes en tus compañeros de trabajo porque estamos en un entorno de confianza cero ”no funciona.
Dijo: “No estoy diciendo que no confíes en la gente para hablar con ellos, pero para la seguridad informática tienes que diseñarlo como si estuvieras en un entorno de confianza cero. Se podría decir que no le importa la seguridad de la computadora de la secretaria, pero si algo se filtra, podría ser crítico para esa empresa «.
Le pregunté si esto era algo que había visto en otros lugares, y dijo que es algo que las empresas lo están probando para ciertos departamentos y particularmente para los departamentos de investigación, es un replanteamiento.
Dijo: “¿Es bueno para la motivación de los empleados? Tal vez no, pero necesitas encontrar el equilibrio porque TI es un departamento de sí y lo diseña y lo vende «.
Concluyó elogiando a Salesforce por emplear a un director de confianza solo para asegurarse de que todos los datos de la empresa estén seguros, que tiene un equipo de 30 personas solo para garantizar que Salesforce sea confiable y esté bien protegido.
“Quedé impresionado porque saben lo que es crítico y su trabajo no es cuidar de que las computadoras hagan lo correcto o estén infectadas, pero conocen los datos de misión crítica”, dijo. «Comenzará a ver más directores de confianza».
Raimund Genes, director de tecnología de Trend Micro, estaba hablando con Dan Raywood