Sony gasta $ 15 millones en seguridad: opiniones de la industria

Esta mañana surgió la noticia de Sony de que planea gastar $ 15 millones en defensas de seguridad cibernética, solo meses después de sufrir un devastador ataque cibernético.

El financiero declaración dice que Sony Pictures tiene un pronóstico de 890 mil millones de yenes ($ 7.6 mil millones) en ventas totales, lo que sugiere que el desembolso de $ 15 millones en defensas contra un ataque que cerró la empresa y obligó a los empleados a usar lápiz y papel y fuera de las redes corporativas, es un pequeño desembolso.

Andrew Barratt, director ejecutivo europeo de Coalfire, dijo a IT Security Guru que la cantidad es una «cantidad dolorosamente pequeña cuando se mira a una empresa que genera miles de millones ($) en ingresos por año», y sugirió que $ 15 millones de $ 8BN es menos del uno por ciento.

Entonces, ¿cuánto puedes gastar para salir del peligro? ¿Es eso siquiera posible? Preguntamos a algunas mentes de la industria sobre qué pensaban de las noticias.

Andrew Kellett, analista principal, seguridad en Ovum

“Varios caballos ya se han escapado, pero para continuar con esa analogía, Sony no pudo reparar la cerca después de que el primero escapó y las vulnerabilidades de seguridad persistieron. Más allá de eso, el enfoque de “gastar más en seguridad” debe considerarse razonable.

“Nuestra investigación muestra que poco más del 50 por ciento de las organizaciones tienen planes de gastar más en seguridad este año, el 40 por ciento o más gastará al menos lo mismo. Solo el siete por ciento piensa que puede permitirse gastar menos y realmente me gustaría saber quiénes son.

«Dicho esto, Sony también debe centrar el gasto en sus actividades de gestión de seguridad e inteligencia de seguridad para tratar de garantizar que los elementos vergonzosos de la última brecha de seguridad no se repitan».

Russ Spitler, vicepresidente de AlienVault

“Sony Pictures tuvo un ingreso bruto de $ 8 mil millones para el año fiscal de 2014. Suponiendo que este número de $ 15 millones es un presupuesto trimestral y no un costo único, eso eleva su presupuesto anual proyectado de seguridad cibernética a $ 60 millones para 2015. Con el supuesto de que aproximadamente el 3,5 por ciento de los ingresos se gastan en TI (según Gartner), esto significa que están gastando $ 60 millones de un presupuesto total de TI de $ 280 millones, lo que los lleva a aproximadamente el 20 por ciento de su presupuesto de TI gastado en seguridad.

“Esto está en línea con los mejores que existen (servicios financieros), si es un costo único, entonces están gastando alrededor del cinco por ciento de su presupuesto de TI en seguridad, que es el promedio de la industria (también según Gartner). Sin embargo, al aumentar el gasto, pueden surgir otros problemas a medida que Sony intenta expandir su experiencia interna.

“Es un gran comienzo, sin embargo, no es un indicador de que podrán migrar con éxito esa transición. Obviamente, tienen un gran agujero en el que excavar y mucha tecnología para instalar, pero es de esperar que todos los equipos ejecutivos que están por ahí conozcan el precio personal de la mala seguridad y tienen una buena motivación para llevar a cabo este esfuerzo. . «

Dave Larson, director de tecnología de Corero

“Las organizaciones como Sony que dependen de la realización de sus negocios en línea deben responder a esta creciente amenaza cibernética de manera proactiva, con soluciones dedicadas para la mitigación adecuada. Específicamente, invertir en defensas técnicas proactivas contra ataques DDoS y ciberamenazas para evitar que los atacantes logren su objetivo de interrumpir o comprometer el negocio debe ser un factor clave en el gasto en ciberseguridad dentro de la organización.

«Más allá de la inversión en soluciones de seguridad, se deben desarrollar y poner en marcha planes de respuesta reactiva para minimizar la interrupción causada por un ataque que penetra en sus defensas, o se sospecha que compromete sus sistemas».

Rob Sobers, director de Varonis

“Hay ciertos problemas tecnológicos a los que simplemente se puede tirar dinero. Por ejemplo, si desea que su servidor funcione más rápido, puede cargarlo con las mejores unidades de estado sólido y montones y montones de RAM. ¡Voila! Servidor más rápido.

“Sin embargo, no se puede comprar seguridad en absoluto. Invertir en tecnología de seguridad y en personal es extremadamente importante, pero detrás de esa inversión debe haber una metodología sólida para proteger los datos de su empresa. Una y otra vez vemos empresas con equipos de seguridad excelentemente equipados que son víctimas de vulnerabilidades muy básicas y poco sofisticadas, como enviar accidentalmente por correo electrónico un archivo confidencial a la persona equivocada «.

Bob Tarzey, analista y director de Quocirca
“De acuerdo con las cifras, los costos de remediación son eclipsados ​​por la pérdida esperada de ventas. Dicho esto, no está claro para qué son los costos de «remediación», ¿se trata simplemente de aclarar el desorden o de mejorar la seguridad? De todos modos, puede que sea cerrar la puerta del establo después de que el caballo haya salido disparado, pero si planea comprar otro caballo, aún debe hacerlo «.

TK Keanini, director de tecnología de Lancope

“El costo de este incidente fue enorme y $ 15 millones es un buen comienzo si se considera que producir una sola película puede costar mucho más que esto. No olvidemos que esto es solo Sony Pictures, también hay cabos sueltos que apuntalar en la Playstation Network, ya que estuvo inactivo durante el día de Navidad cuando la gente intentó jugar sus nuevos juegos.

“Las empresas de todo el mundo deben detenerse y realmente prestar atención a lo que sucedió aquí desde una perspectiva empresarial. Considere la amenaza y pregúntese qué tiene implementado hoy para garantizar la continuidad del negocio cuando esto le suceda inevitablemente. Nosotros, como empresa, como socios, como consumidores, nos enfrentamos a una amenaza muy real y todos debemos hacer nuestra parte para aumentar el costo para estos adversarios «.

Mark James, especialista en seguridad de ESET
“Tener el dinero disponible es excelente, pero debe usarse de la manera correcta y eso incluye asegurarse de que el personal esté capacitado sobre las buenas políticas y prácticas; solo invertir grandes sumas de dinero en seguridad es solo una parte de la solución. Es bueno verlos invirtiendo para proteger nuestros datos, siempre que una buena parte de este dinero se invierta en capacitación y educación del personal, además de asegurarse de que los datos estén encriptados correctamente y monitoreados continuamente.

«Si bien 15 millones de libras esterlinas parecen mucho dinero
cuando se tienen en cuenta sus ganancias del año, es una cantidad relativamente pequeña, pero sin embargo, hace una muy buena declaración de sus intenciones, y como Sony confía en sus clientes para ganar dinero, la protección de nuestros datos debería ser una de las más importantes. trabajos importantes «.

Tim Erlin, investigador de seguridad de Tripwire

“Cuando se trata de seguridad, la prueba está en el pudín. $ 15 millones es solo un número, y podría gastarse en juguetes tecnológicos tan fácilmente como en controles básicos. Pasará mucho tiempo antes de que sepamos si su respuesta fue efectiva o no.

«Si bien el número puede ser exacto o no, es útil para la industria en su conjunto ver el costo que una organización como Sony pone en este tipo de incidente».

Martin Lee, gerente de delitos cibernéticos en Alert Logic

“Los costos de incidentes publicados son solo una parte del costo total. Las empresas deben considerar los costos indirectos de la pérdida de reputación después de una infracción y la pérdida de ventas, ya que los consumidores y socios prefieren llevar su negocio a organizaciones que se perciben como de menor riesgo.

“Gastar una fracción de la cantidad que se puede gastar en lidiar con una infracción importante en monitorear y ensayar la respuesta a una infracción significa que cuando un ataque tiene éxito, la empresa está preparada y el incidente se resuelve. De lo contrario, corremos el riesgo de gastar más y más dinero solucionando problemas mucho después de que hayan sido explotados y aclarando el desorden. Las únicas personas que ganarán en este escenario son los atacantes y los que responden a incidentes «.