73 / 148
SEGURITECNIA
Junio 2017
73
orientado hacia la continuidad opera-
tiva pero no a la seguridad. Y las empre-
sas no suelen contar con profesionales
responsables de las funciones de ciber-
seguridad o las mismas carecen de las
calificaciones técnicas para lidiar con las
nuevas amenazas o no poseen las habi-
lidades de comunicación y negociación
para concienciar a los ejecutivos y lo-
grar los patrocinios adecuados a las ini-
ciativas y proyectos de seguridad.
Sin tratar de abarcar todas las posi-
bles aristas, y siempre teniendo claro
que cada organización es distinta,
puedo sugerir algunas ideas divididas
en tres ejes: el elemento humano, los
procesos y la tecnología.
El elemento humano
Propongo que todos los líderes de las
organizaciones, públicas y privadas,
entiendan más de los ciberriesgos a los
que se enfrentan y cómo, si los mismos
se materializan, pueden impactarlos
negativamente. Un análisis muy con-
creto de las brechas que tienen para
lograr un nivel adecuado de seguridad
es altamente recomendable, así como
traducir lo anterior a una estrategia de
ciberseguridad basada en iniciativas
concretas que estén dimensionadas en
términos de presupuesto, tiempo y es-
fuerzo para implementarlas.
Teniendo en cuenta lo anterior, de-
berían asignar al personal responsa-
ble o complementar, si fuera necesa-
rio, el equipo humano ya disponible.
Es importante que aclaremos que no
hay una práctica unificada respecto a
dónde ubicar dicho personal; pero po-
dríamos decir que las funciones opera-
tivas deben ir muy de la mano del área
informática, las funciones normativas
pueden estar en un rol de la alta direc-
ción o reportar a áreas de finanzas o,
incluso, del negocio, y las tareas de vi-
gilancia y cumplimiento pueden ubi-
carse en áreas de auditoría, contraloría
o de riesgos.
Para el personal de sistemas debe
existir una normativa que vaya evolu-
cionando hacia incorporar procesos cla-
ros de control de cambios y configura-
ciones (que incluyan procesos de segu-
ridad como la gestión de parches y el
proceso de remediación) en todo tipo
de infraestructura e, incluso, un proceso
de desarrollo de
software
seguro.
Los procesos
Además de los procesos de seguri-
dad mencionados, hemos de contar
con uno de monitoreo de la seguri-
dad y otro robusto de manejo de inci-
dentes de seguridad. Respecto a este
último, es distinto al que la Biblioteca
de Infraestructura de Tecnologías de
la Información (ITIL, por sus siglas en
inglés) recomienda para manejar in-
cidentes de TI. Y en una versión mo-
derna y necesaria del proceso no es
suficiente con ligarlo al de monito-
reo (es decir, que a través de monito-
rear alarmas y eventos de seguridad se
dispare un proceso de manejo de in-
cidentes), sino que debemos tener ac-
tividades de
hunting
: suponer que ya
fuimos comprometidos y tratar de en-
contrar indicadores de dicho compro-
miso para actuar en consecuencia.
La tecnología
Podemos afirmar que en los últimos
tres años casi toda la tecnología de
ciberseguridad ha cambiado radical-
mente: ahora hablamos de
firewalls
y
sistemas de prevención de intrusos
(IPS, por sus siglas en inglés) de nueva
generación; de protección de los
en-
dpoints
(junto a un enfoque hacia la
detección y respuesta de incidentes);
de herramientas de detección de ano-
malías en el tráfico, en los usuarios o
en los patrones de uso del
software
;
de sistemas de integración de múlti-
ples fuentes de información y detec-
ción inteligente de incidentes (la evo-
lución de los famosos SIEM junto con
el aprovechamiento de técnicas de
inteligencia artificial, analítica y
big
data
); de administración de identida-
des, de diversas tecnologías para ci-
frar la información en distintas partes
y con distintas técnicas, etc.
Lo recomendable es centrarse en los
riesgos de la organización y la estrate-
gia definida para manejarlos. Este en-
foque nos dará orden y prioridad en
las inversiones y alineamiento con la
organización y sus líderes.
Espero haberles ofrecido algunas
ideas para actualizar y/o cambiar sus
puntos de vista sobre los retos de la ci-
berseguridad y la forma de enfrentar-
los. Les deseo mucha suerte en esta
aventura.
S
Seguridad Integral