La mentalidad de ciberseguridad: piense como un profesional
por el Dr. Amel Bennaceur, educador principal Operaciones de seguridad cibernética microcredencial, FutureLearn.com; académico en Computación en la Open University
A medida que aumenta nuestra dependencia de los dispositivos digitales conectados, también aumenta nuestra necesidad de seguridad. Los sistemas seguros deben proporcionar las capacidades necesarias para proteger los activos de daños. Estos sistemas se basan en una definición explícita de sus requisitos de seguridad para describir con precisión qué acciones de un sistema están permitidas y cuáles están prohibidas. Una vez que se especifican los requisitos de seguridad, es posible concentrarse en los controles de seguridad mediante los cuales se pueden satisfacer estos requisitos de seguridad.
Las herramientas, técnicas y métodos para implementar esos controles de seguridad abundan, pero en última instancia, los profesionales de la seguridad cibernética deben adoptar una mentalidad particular para proteger mejor los datos y la infraestructura de su organización. La necesidad de que el personal adapte su forma de pensar y adopte un enfoque aún más atento a la ciberseguridad es más importante que nunca. muchas organizaciones han informado de un aumento en los ataques cibernéticos en medio del brote de coronavirus. Este artículo describirá los principios que los profesionales deben adoptar durante este período de trabajo remoto, así como para el futuro.
- Piense en compensación
«El único sistema verdaderamente seguro es uno que está apagado, fundido en un bloque de concreto y sellado en una habitación revestida de plomo con guardias armados, e incluso entonces tengo mis dudas». —dijo Gene Spafford. Por supuesto, esta puede ser su ambición profesional poco realista; sin embargo, para implementar el control de seguridad, cualquier profesional debe identificar los objetivos o requisitos de su organización y lo que necesita para lograrlos primero. Sobre el microcredencial de seguridad cibernética Enseño en FutureLearn, alentamos a nuestros estudiantes profesionales a adoptar la mentalidad de ‘no es si, sino cuándo’. Queremos que nuestros alumnos comprendan que detener un ataque o encontrar al actor de la amenaza responsable a corto plazo no es suficiente, es necesario que exista un plan a más largo plazo para prepararse para lo peor. Por lo tanto, los profesionales deben definir los aspectos más Cosas de valor y los costos de protegerlos. Solo entonces, pueden implementar mecanismos para proteger esos activos.
Los profesionales de la ciberseguridad también deben pensar en optimizar los recursos necesarios para desplegar esos mecanismos pensando con la eficiencia de Pareto: 20% del esfuerzo para alcanzar el 80% de la meta. Por ejemplo, configurar un firewall es el primer 20% que mejora significativamente la seguridad (lograr el 80%), el ajuste fino de todos los parámetros mejorará la seguridad, pero el esfuerzo y la experiencia requeridos son mucho mayores. Por supuesto, algunas acciones como cambiar la contraseña predeterminada, configurar un firewall o tener un antivirus requieren un esfuerzo mínimo, pero reducen significativamente la probabilidad de incidentes de ciberseguridad, especialmente por parte de atacantes novatos. Sin embargo, algunas otras acciones, como diseñar una arquitectura tolerante a fallas, cifrar una gran cantidad de datos, pueden tener un costo significativo y no siempre se justifican o requieren.
- Piensa en ciber-físico-social
Las personas están en el corazón de todas las organizaciones, por lo que deberían estar en el corazón de sus soluciones de seguridad cibernética. En cuanto a las compensaciones, la usabilidad es un factor importante. Una encuesta reciente realizada por el gobierno del Reino Unido muestra que el comportamiento humano, como el hecho de que el personal no se adhiera a las políticas de la organización, contribuye a 42% de los incidentes de seguridad. Sin embargo, los sistemas suelen colocar demasiados obligaciones sobre sus usuarios y personal que son, en gran medida, arbitrarios y engorrosos.
Por ejemplo, la mayoría de las empresas requieren que el personal tenga diferentes contraseñas para cuentas alternativas, que use una combinación de caracteres en sus contraseñas, que las confirme antes de cada acción crítica y las cambie cada 90 días, lo que a menudo conduce a contraseñas más débiles. Por lo tanto, las políticas de seguridad pueden causar fricciones en la forma en que los usuarios desean interactuar con los sistemas. Sin embargo, la usabilidad de los sistemas es fundamental para su aceptación por parte de los usuarios y, en última instancia, su eficacia.
En otras palabras, para muchas disciplinas técnicas, la atención se centra principalmente en la infraestructura técnica, pero la seguridad requiere tener en perspectiva a las personas, los procesos y la gobernanza. Esto significa que proteger la infraestructura de la organización no es únicamente la tarea de los profesionales de la seguridad cibernética, sino que todo el personal debe comprender los principios, desafíos, amenazas y oportunidades de las operaciones de seguridad y cómo se debe manejar un ataque o un posible ciberincidente. Educar a los miembros del personal sobre la seguridad es fundamental, así como establecer el procesamiento para informar y manejar incidentes.
Finalmente, con la prevalencia de BYOD e Internet de las cosas, los profesionales de la ciberseguridad también deben considerar la interacción entre aspectos cibernéticos y físicos. Los atacantes pueden explotar una red digital para obtener acceso a los dispositivos físicos conectados a la red (por ejemplo, el ataque alemán Still Mill) y viceversa, explotar el acceso físico para controlar y orquestar ataques contra servicios y sistemas cibernéticos de terceros (por ejemplo, el ataque Mirai ).
- Piensa como un atacante
La seguridad no es un juego de suma cero, lo que significa que la ganancia del atacante no es igual a la pérdida del defensor. Por lo tanto, comprender las metas, los activos y los riesgos de la organización no es suficiente. Es importante comprender los objetivos de los atacantes potenciales y la ganancia que pueden lograr al tener acceso a los activos de la organización. Por lo tanto, los profesionales de la ciberseguridad deben definir lo que se denomina marcos anti-requisitos o de abuso que hacen explícito el potencial comportamiento adversario de los atacantes y diseñar mecanismos para prevenirlos.
- Piense en la resiliencia
Si bien un sistema de seguridad bien diseñado es primordial, un atacante bien motivado y con recursos suficientes aún puede comprometer y manipular un sistema seguro. Las organizaciones a menudo son juzgadas por cómo se recuperan de los ataques y restauran sus servicios más que por su capacidad para prevenirlos por completo. En este contexto, la adaptación y la resiliencia son fundamentales. Los sistemas de seguridad adaptables monitorean, analizan e implementan continuamente los controles de seguridad adecuados. En el corazón de esos procesos está adquirir un mayor conocimiento. Ese conocimiento ayuda a tomar decisiones más informadas sobre las compensaciones y los controles de seguridad que funcionan (o no), así como a comprender mejor a los atacantes.
Se está convirtiendo en un cliché decir que el fracaso ayuda a fortalecer los sistemas de seguridad, pero encontrar fallas y ataques, ya sean reales o simulados, ayuda a generar conocimiento, lo que a su vez genera resiliencia. Por ejemplo, Netflix ha implementado The Simian Army, un conjunto de herramientas destinadas a generar conocimiento inyectando fallas y evaluando cómo el sistema se recupera de ellas.
Sin embargo, la ciberseguridad no se trata solo de herramientas y técnicas, también se trata de una mentalidad. Comprender los objetivos y activos de su organización, comprender los riesgos y el impacto de los ataques en esos activos ayuda a priorizar y asignar los recursos adecuados para maximizar la protección. Comprender el comportamiento de confrontación también puede dar una idea de dónde poner el esfuerzo. Por último, comprender el papel que juegan los procesos humanos en la seguridad ayuda a crear sistemas seguros más sostenibles que cuentan con la aceptación de sus usuarios.