Asume violación: Mejores prácticas en resiliencia cibernética

No se trata de si pero cuando una organización o un individuo serán violados en el ciberespacio. Si crees eso, has dado el paso cognitivo más importante: estás preparado para “asumir una brecha” y construir resiliencia para resistir un ciberataque.

Pero si tú asumir una violación, ¿qué significa para su forma de pensar acerca de las inversiones en seguridad en personas, procesos y tecnología? Y lo que es más importante, ¿qué estrategias debe emplear su organización para estar segura más allá de las brechas? El 24 de octubre de 2018, Illumio convocó a un grupo de líderes tecnológicos y de estrategia de ciberseguridad en Washington, D.C., para discutir el supuesto de incumplimiento e identificar las mejores prácticas en resiliencia cibernética.

A continuación se presenta un resumen de las principales conclusiones del día. Para los interesados en escuchar a toda esta gente inteligente hablar, estad atentos a los videos.

Las 3 mejores opciones de comida para llevar

Si asume una infracción, debe:

1. Adoptar una mentalidad adversario.
2. Sigue una estrategia Zero Trust y microsegmenta tus redes.
3. Ejercite y prepare su organización para la administración de brechas.
   
   

Asumir violación: Explicado

Asumir una brecha significa asumir una mentalidad adversario. Hoy en día, los adversarios del Estado-nación y las organizaciones criminales tienen el dinero, el personal y el tiempo necesarios para trabajar pacientemente en golpearte en el ciberespacio. Asumir una brecha significa estar listo para un ataque a las cosas que más valoras de maneras que no necesariamente puedes esperar. Esta suposición está en nuestro ADN en el post-11 de septiembre^el mundo físico — si vemos algo que todos sabemos decir algo — pero el concepto no se ha traducido en nuestras prácticas de ciberseguridad (incluso cuando el uso de datos e Internet se expandió exponencialmente).

Asumir una brecha significa proteger primero sus activos más valiosos y de misión crítica. Si un actor hostil busca obtener una ventaja, ¿qué intentará robar, manipular o romper en una organización? Si asumes una violación, debes concentrarte en proteger los datos que dan poder a tus misiones más importantes. En el caso de la Oficina de Administración de Personal de Estados Unidos (OPM), fue la base de datos que guardó los registros de 21.5 millones de funcionarios del gobierno estadounidense. En el caso 2018 del proveedor de salud de Singapur, SingHealth, fue la base de datos dentro de la nube de salud pública la que almacenó los datos de salud de 1.5 millones de singapurenses. En el caso de la empresa de mando y control nuclear del ejército estadounidense, podrían ser los sistemas de comunicaciones por satélite los que apoyan la disuasión nuclear estadounidense.

Asumir una violación significa planear perder parte de lo que valora y prepararse para operar con sus datos expuestos o degradados. En caso de violación, pueden pasar cosas malas a la efectividad de tu misión. Es por eso que el ejército estadounidense construye redundancia para su logística y operaciones. Para defender una ciudad contra un misil balístico combinado y un ciberataque, dos Baterias Patriot pueden ser suficientes, pero los militares pueden instalar cuatro para la resiliencia. En el caso de una interrupción en un banco, ya sea a través de un ataque distribuido de denegación de servicio o un ataque de malware, los bancos pueden querer invertir en redes redundantes para continuar las operaciones financieras si una red falla.

Estará mejor después de la violación si ha tenido en cuenta estos escenarios.

Hacer inversiones en resiliencia es la conclusión lógica del supuesto de incumplimiento. Aún así, estas son premisas incómodas. De manera análoga a comprar un seguro de vida después del nacimiento de un hijo, estará mejor después de la violación si ha tenido en cuenta los peores escenarios.

Cero confianza y microsegmentación

No puede realizar inversiones al azar; necesita una estrategia para asegurar sus activos. Dr. Chase Cunningham, uno de los principales pensadores de Estados Unidos en operaciones de seguridad y análisis cibernético, ayuda a las organizaciones con sus planes para lograr resiliencia mediante la implementación de una estrategia de confianza cero. La confianza cero se basa en la idea de que los usuarios dentro de una red no son más confiables que los usuarios fuera de una red. Como sostiene, muchos de los principales ciberataques de los que hemos oído hablar en la última década se sustentan en un simple problema: los centros de datos son abiertos e inseguros.

El tiempo promedio de permanencia para que un intruso permanezca dentro de una red sin ser detectado es de más de seis meses. En un centro de datos inseguro como el de la Oficina de Administración de Personal en 2014/15, el intruso chino obtuvo total libertad de acceso. Si “no confía en nada, verificando todo” que entra en su red, necesita proteger su centro de datos desde adentro para evitar acciones no autorizadas.

En el nuevo mundo de la nube, las herramientas de ayer pueden no ser suficientes. Al igual que la nube en sí, sus inversiones en seguridad deben evolucionar con la amenaza. Micro-segmentación establece políticas y reglas sobre cómo interactúa cada parte del data center. Es una nueva capa, una capa final de resiliencia en la nueva pila de seguridad.

Preparación para estar seguro más allá de las brechas

A nivel estratégico, las organizaciones asumen el incumplimiento y planifican la disrupción a través de una variedad de medios de gestión y no tecnológicos. La formación es clave. Dentro del Departamento de Defensa, el ejército estadounidense entrena no solo para brechas, sino para interrupciones completas basadas en la cibernética en las operaciones militares; más allá de las inversiones redundantes, como una batería Patriot extra, los pilotos y capitanes preparan diariamente a sus equipos para “volar a ciegas” en caso de ataque. Eso puede significar volar un F-35 sin comunicaciones o pilotar un barco a través del océano sin el Sistema de Posicionamiento Global.

De igual manera, las empresas necesitan pasar por el proceso de preparación para la brecha identificando los procesos de emergencia que pueden necesitar para la gestión de crisis. Uno de los pasos más importantes es identificar los hechos; sin ellos no se puede comunicar bien dentro de su organización ni externamente. Ayuda a desarrollar un manual para la administración de brechas y a realizar ejercicios de mesa para identificar brechas y costuras para ver cómo su organización puede responder a un evento. El mejor tablero de mesa es un ejercicio en vivo que altera los sistemas de comunicaciones de una organización y obliga a los equipos a responder sin acceso a los datos. Por último, las organizaciones necesitan practicar cómo se comunican con los accionistas y otras personas en el mundo externo sobre la brecha.

Después de una violación, la culpa y los análisis forenses son la parte más fácil de la historia. Es más difícil empujar a los líderes por adelantado para que inviertan. Cambiar sus mapas mentales y asumir la brecha, hacer las inversiones de personal y tecnología para resistir los ataques, y tomarse el tiempo para capacitarse para la disrupción. Sin embargo, con una pequeña cantidad de inversiones avanzadas, los países y las organizaciones pueden evitar que ocurran los peores escenarios posibles y volverse seguros más allá de la violación.