Por qué la inteligencia de riesgo empresarial se antepone al seguimiento de riesgos digitales
Todos recuerdan el boom de las redes sociales a mediados de la década de 2000. Si bien las redes sociales como MySpace y Friendster ya existían y tenían modelos incipientes de ingresos por publicidad, no fue hasta la aparición de Twitter, la adquisición de FriendFeed por parte de Facebook y el desarrollo de herramientas como HubSpot y HootSuite que las empresas comenzaron a tomarse en serio las redes sociales. como canal digital.
Luego, como es el caso de todos los casos de uso de tecnología emergente, comenzó la confusión del mercado. ¿Son las redes sociales realmente importantes en los negocios? ¿Es marketing digital? ¿Son las redes sociales para empresas? ¿Es marketing social? ¿Encaja en la generación de leads o en las comunicaciones?
Al final, se determinó correctamente que las redes sociales son simplemente un enfoque táctico que es parte de una estrategia comercial y de marketing más grande y no sería tan valioso si esa estrategia no se desarrollara primero. Y, como ocurre con la mayoría de los desarrollos estratégicos, a veces se requieren investigación y herramientas más avanzadas para recopilar la información y poner en marcha las tácticas correctas.
Avance rápido hasta mediados de la década de 2010 y nos encontramos en un dilema similar con el abarrotado mercado de inteligencia de amenazas cibernéticas (CTI), especialmente en la discusión sobre el monitoreo de riesgos digitales. Según Forrester, el riesgo digital está evaluando el riesgo cibernético, el riesgo de marca y el riesgo físico que emana de las propiedades web abiertas, las redes sociales y algunas aplicaciones informáticas y móviles. Al igual que las herramientas tácticas de redes sociales, una buena estrategia rica en inteligencia debe desarrollarse antes de cualquier implementación de monitoreo de riesgos digitales para que sea más efectiva.
Business Risk Intelligence (BRI), por otro lado, proporciona inteligencia estratégica obtenida de Deep & Dark Web que informa a las organizaciones cuáles son las amenazas reales que son críticas para su negocio. Si bien muchas organizaciones tienen monitoreo de riesgo digital además de BRI, muchas organizaciones terminan agregando BRI más adelante para abordar la brecha de inteligencia que los enfoques de monitoreo de riesgo digital dejan abierta. Muchas preocupaciones a menudo surgen de la falta de información sobre amenazas internas, fraude, lucha contra el lavado de dinero, inteligencia geopolítica, cadena de suministro y la necesidad de un perfil de actores de amenazas más sofisticado o participación dirigida de actores.
Por un lado, anteponer lo táctico a lo estratégico va a llevar a la mayoría de las organizaciones a un rincón donde les falta información crítica para el negocio. En segundo lugar, las soluciones de monitoreo de riesgos digitales, incluso si ofrecen datos de la Deep & Dark Web, no suelen tener experiencia más allá de los enfoques puramente automatizados para obtener información, que nunca pueden ser lo suficientemente ricos como para ser considerados inteligencia.
Así como la estrategia debe anteponerse a las tácticas, el BRI debe anteponerse al monitoreo digital de riesgos. Las soluciones de riesgo digital son buenas para configurar y monitorear información ya conocida, o como dije antes, «responder a las preguntas que las empresas ya saben hacer». Pero BRI es lo que ayuda a determinar qué se necesita cambiar en las operaciones, las políticas y las protecciones en una organización.
Aquí hay un ejemplo basado en el caso de uso de amenazas internas. En un incidente, la inteligencia de un foro clandestino reveló que un empleado deshonesto de una empresa de tecnología multinacional se estaba preparando para beneficiarse del código fuente robado de un software empresarial inédito. Con esta inteligencia, la empresa pudo ser alertada y luego apoyada para completar una investigación interna, trabajar con la policía para apoyar el arresto del empleado, prevenir la venta ilícita y preservar la propiedad intelectual de la empresa.
El monitoreo digital de riesgos no podría haberse utilizado para detectar o mitigar esta amenaza interna. BRI, por otro lado, encontró la amenaza en su contexto relevante, lo que le permitió a la empresa tomar las medidas adecuadas para minimizar su riesgo.
Según The Forrester Wave: Monitoreo de riesgos digitales, tercer trimestre de 2016: “El monitoreo genérico en línea o de redes sociales proporciona una falsa sensación de seguridad. Muchos profesionales de la seguridad y el riesgo]y el marketing siguen siendo ingenuos acerca de los riesgos graves en la presencia digital de su organización, porque creen que sus herramientas existentes de monitoreo de redes sociales o inteligencia de amenazas cibernéticas (CTI) los detectarán. Sin embargo, esa noción está cada vez más equivocada «.
Es un error, por supuesto, porque estas herramientas básicas son tácticas y no proporcionan solo la inteligencia que se necesita. El desafío del riesgo digital es que descansa en algún lugar entre las redes sociales básicas y el monitoreo de la marca, salpicado de inteligencia tradicional sobre amenazas cibernéticas. El riesgo digital no tiene la tecnología escalable y el poder humano detrás de él para producir BRI que ayude a todos los departamentos de una organización a determinar las mejores estrategias para proteger sus activos digitales, humanos y físicos.
El monitoreo de riesgos digitales es una herramienta útil para las organizaciones que ya tienen una gran inteligencia y no solo datos. No distinguir entre los dos puede resultar problemático. Es casi imposible formar un contexto relevante sin considerar primero cómo se relacionan los datos con todo el perfil de riesgo de una organización, no solo con un informe táctico. Observar el riesgo digital a través de la web abierta no es suficiente para desarrollar el contexto necesario y, por lo tanto, no puede permitir que las organizaciones apliquen y operen los datos para abordar sus desafíos de manera efectiva. BRI debe ser lo primero.
Por Josh Lefkowitz, director ejecutivo, Punto de inflamabilidad