La seguridad informática es ‘la ropa nueva del emperador’ una vez más
Gavin Millard, director técnico de EMEA, Tenable Network Security comparte las predicciones de 2016 con IT Security Guru
Internet nunca se diseñó para satisfacer las necesidades de la empresa moderna. Es demasiado inseguro y siempre se pretendió que fuera así. Sir Tim Berners-Lee, inventor de la World Wide Web, diseñó Internet para que las computadoras se comunicaran entre sí y compartieran información. Sir Tim ha dicho que, en el momento en que inventó la World Wide Web hace 25 años, quería crear una plataforma que los desarrolladores encontraran familiar y fácil de usar y que hornear la seguridad en ese momento podría haber funcionado en contra de ese objetivo.
No sorprende entonces que, desde finales de los 90, los expertos en ciberseguridad, incluido Gavin Millard, un pirata informático de sombrero blanco y director técnico de EMEA en Tenable Network Security, hayan advertido de antemano que se piensa poco en proteger las infraestructuras digitales, incluso cuando el mundo se apresuró a adoptar los beneficios de la conectividad.
“Lo que nos ha demostrado el aluvión de infracciones durante el último año es que las tecnologías solo defensivas ya no son suficientes”, dijo Millard. “Si bien los firewalls, el software antivirus, etc. son herramientas útiles, dejan brechas en las ciberdefensas y estas brechas han sido explotadas. Es similar a la historia de la ropa nueva del emperador: puedes pensar que estás cubierto, pero en realidad estás expuesto, es solo que nadie te lo está contando «.
Con eso en mente, Millard describió tres áreas en las que las organizaciones deben centrar sus esfuerzos en los próximos meses y años si las infracciones de 2015 finalmente se consignan a la historia:
El panorama de las amenazas: Tenable realizó recientemente un estudio global entre los profesionales de la seguridad de TI en el que les pidió que clasificaran los desafíos que enfrentan los profesionales de seguridad de TI en la actualidad. Como era de esperar, el ‘entorno abrumador de amenazas cibernéticas‘fue citado continuamente como el mayor desafío.
“Las consecuencias de la inseguridad en una era de gran dependencia de las computadoras en red son potencialmente nefastas”, dijo Millard. “En muchas organizaciones, la ignorancia feliz es a veces un estado preferido que la visibilidad y la acción. Muchos equipos de seguridad recibirán una calificación peor si auditan toda la infraestructura y corrigen algunas de esas vulnerabilidades, que si no auditan nada y exponen dónde residen las debilidades. Las organizaciones deben comprometerse tanto con la visibilidad total de su red como con la corrección de todas las amenazas que supongan un riesgo. Solo entonces podrán empezar a considerarse ‘seguros’ ”.
Gestión de vulnerabilidades: Sobre este tema, Gavin dice que comprender su riesgo es un buen primer paso, pero siempre se debe mejorar la puntuación.
“Semanalmente, ya veces incluso a diario, se identifican nuevas vulnerabilidades de día cero importantes que representan un riesgo masivo para las organizaciones”, dijo Millard. “Identificar dónde es vulnerable su red es solo el comienzo de la batalla. Si mira hacia atrás en los últimos años, muchas organizaciones tienen vulnerabilidades que permanecen sin parchear; por ejemplo, 200,000 sistemas aún son vulnerables a Heartbleed. Eso simplemente no es aceptable.
“La seguridad debe evolucionar hacia una imagen holística y en tiempo real de lo que está sucediendo en todo el entorno de TI empresarial para que las organizaciones puedan identificar dónde han caído las defensas y reconstruirlas antes de que sea demasiado tarde”.
Internet de las Cosas: Tenable’s Boleta de calificaciones de aseguramiento de la ciberseguridad global 2016 descubrió que las organizaciones ya luchan por evaluar y gestionar el riesgo cibernético de la tecnología móvil y, sin embargo, la implementación a gran escala de dispositivos interconectados continúa sin cesar.
“Se sigue aprovechando la tecnología para mejorar todos los aspectos de nuestras vidas”, dijo Millard. “Se están implementando nuevos dispositivos y sensores en nuestros hogares, automóviles e incluso en nosotros como wearables. También se están introduciendo nuevos servicios en la nube para recopilar y analizar estos datos.
“El problema es que se está ignorando la seguridad de estos dispositivos interconectados en favor de la velocidad de comercialización y el precio para el cliente. Y, debido a que la mayoría de las soluciones de terminales existentes no se pueden utilizar para evaluar estos nuevos dispositivos y sensores, me entristece decir que es solo una cuestión de tiempo. Mi apuesta es que en los próximos doce meses seremos testigos de la primera gran brecha como resultado de la aceleración de la adopción de IoT. Tampoco se trata solo del consumidor para las empresas, ya que IoT se vuelve más frecuente en la industria pesada, existe una preocupación muy real de que el aumento de los ciberataques dirigidos a los sistemas de control industrial que han adoptado tecnologías emergentes conducirá a otro caso importante confirmado de daño físico relacionado. a los ciberataques en 2016 «.
Al final de la fábula, mientras el Emperador desfilaba por la ciudad con sus hilos «invisibles», todos los demás seguían el juego, fingiendo que sus túnicas eran hermosas. Hasta que un niño gritó: «¡El Emperador no tiene ropa!»
Aun así, el Emperador siguió adelante, avergonzado, pero demasiado orgulloso para admitir que lo habían engañado.
“Con el puntaje de garantía de ciberseguridad del Reino Unido en un 73 por ciento medio, sabemos que los profesionales de la seguridad de la información del país se sienten abrumados, con poco personal y luchando por mantenerse al día con las interrupciones de los dispositivos móviles y la nube”, dijo Millard. “Así como el Emperador debería haber escuchado cuando el niño dijo por primera vez su farol y debería haberse detenido para ponerse ropa real, la empresa de hoy debe admitir que no tiene suficiente visibilidad de lo que está sucediendo en sus redes, y a pesar de su mejor esfuerzos, realmente no tienen idea de cómo responder a la pregunta ‘¿cómo sabes que estás seguro?’ «