Confianza y resiliencia: las nuevas líneas de frente de la ciberseguridad

RAGHU

Los ciberdelincuentes prosperan con la confianza. Ya sea que se trate de deepfakes engañando a ejecutivos, ingeniería social engañando a los empleados o negociaciones de ransomware que explotan el miedo. Sin embargo, incluso cuando las organizaciones invierten en seguridad, las brechas son inevitables. La verdadera pregunta es: ¿se puede recuperar? La verdadera resiliencia de la ciberseguridad no se trata solo de prevenir ataques... se trata de garantizar que las organizaciones puedan soportarlos y recuperarlos.

[Abierto en frío]

(SFX: sonido urgente del boletín de noticias, escritura en un teclado, una llamada telefónica tensa que suena tensamente en segundo plano).

RAGHU

Imagínese esto: usted es el CFO de una empresa global. Recibes una llamada de tu CEO — su voz, su urgencia, inconfundible. Hay una transferencia bancaria urgente que debe hacerse. Es rutina, ¿verdad? Excepto... tu CEO nunca hizo esa llamada. Fue un deepfake. Una voz perfectamente replicada diseñada para explotar la confianza, y así, millones desaparecen.

(SFX: Haga clic. Silencio. Un ritmo lento se desvanece.)

RAGHU

Este es el nuevo campo de batalla cibernético. La confianza alimenta nuestros negocios, nuestras relaciones, nuestro mundo digital, pero también es nuestra mayor vulnerabilidad. Y cuando se explota esa confianza, la resiliencia es lo único que se interpone entre la supervivencia y la catástrofe.

Bienvenido a la temporada 3 de El Segmento: Un Podcast de Liderazgo de Confianza Cero. Soy tu anfitrión, Raghu Nandakumara. Esta temporada, estamos explorando la intersección de la confianza, la resiliencia y el comportamiento humano: cómo los ciberdelincuentes usan la confianza como arma, por qué la resiliencia es más que solo prevención y por qué la psicología humana sigue siendo el elemento más explotado en ciberseguridad.

(SFX: Cambio de tono, optimista pero serio.)

[Segmento 1: El exploit de confianza]

(SFX: una ligera distorsión de audio, seguida de una voz segura).

RAGHU

El cibercrimen no siempre tiene que ver con la piratería sofisticada; a menudo, se trata de manipulación. Y eso empieza por explotar la confianza.

Brett Johnson

“No importa cuál sea la verdad. Importa de lo que pueda convencerte. Y eso lo vemos ahora más que nunca”.

RAGHU

Esa afirmación ahí mismo es la base del cibercrimen hoy en día. Y nadie entiende esto mejor que Brett Johnson. Brett, que alguna vez fue un famoso cibercriminal y el cerebro detrás de ShadowCrew, ayudó a dar forma al cibercrimen moderno. Hoy, trabaja para detener los mismos esquemas que alguna vez orquestó.

(SFX: Desvanado lento: en una conversación grabada.)

Brett Johnson

“Si piensas en un ataque en línea, realmente solo hay tres motivaciones de por qué sucede eso. Es estatus, dinero en efectivo, o ideología. Estado — Estoy tratando de impresionar a mis compañeros criminales. Efectivo — Estoy tratando de ganar dinero. O me has enfurecido, y estoy tratando de tenerte”.

RAGHU

Esto no se trata solo de robar dinero. Desinformación, deepfakes, guerra cibernética: en su esencia, todos explotan una cosa: la confianza.

(SFX: escritura con teclado, sonido de notificación distante).

RAGHU

Y ese es el truco, ¿no? Los ciberdelincuentes no necesitan atravesar los sistemas de seguridad cuando simplemente pueden convencer a las personas para que los dejen entrar. La tecnología es parte de la ecuación, pero la verdadera debilidad es el comportamiento humano.

El Dr. Erik Huffman es un ciberpsicólogo que estudia cómo el comportamiento humano influye en la ciberseguridad. Su investigación se centra en por qué las personas caen en estafas, cómo los atacantes manipulan la confianza y por qué las organizaciones siguen cometiendo los mismos errores de seguridad.

Dr. Erik Huffman

“Saqué a un grupo de más de 300 hackers, autoidentificados. 93% de ellos dijeron que comienzan con humanos antes de comenzar con la tecnología”.

[Segmento 2: Confianza dentro de las organizaciones]

RAGHU

La confianza no es solo algo que los atacantes explotan externamente, sino que también puede estar fuera de lugar internamente. Y cuando eso sucede, las organizaciones se dejan vulnerables desde dentro.

El Dr. Kelley Misata ha pasado años trabajando con organizaciones impulsadas por misiones, ayudándolas a integrar la seguridad en su propio ADN. Es la fundadora y directora ejecutiva de Sightline Security, una organización sin fines de lucro dedicada a ayudar a las organizaciones a desarrollar resiliencia contra las amenazas cibernéticas.

Dra. Kelley Misata

“Una de las cosas más difíciles en seguridad es la gente. Entonces, cuando hablamos de capacitación en concientización sobre seguridad, no estamos diciendo capacitación de concientización sobre los sistemas, estamos diciendo la gente”.

RAGHU

La seguridad no se trata solo de firewalls y detección de amenazas, sino de la cultura dentro de una organización. Se trata de cómo los empleados entienden y abordan la seguridad en sus decisiones cotidianas. Pero construir una cultura consciente de la seguridad es un desafío, especialmente cuando la tecnología evoluciona más rápido de lo que la conciencia puede mantenerse al día.

Dra. Kelley Misata

“Nos estamos integrando, interactuando con esta tecnología todos los días y más aún, ¿verdad? Como, pienso en cuando adoptamos la tecnología con tanto abandono en torno a cómo mantenernos seguros. Mi estado soñado es que siempre estamos pensando: '¿Debería estar haciendo esto? ¿Cuál es el impacto de mi comportamiento? ¿Cuál es mi impacto de participar con una nueva pieza de software? ¿Cuál es mi impacto en mi organización? '”

RAGHU

Y ese es el cambio que las organizaciones necesitan hacer. La seguridad no es solo un problema de TI; es una mentalidad. Se trata de integrar la seguridad en la forma en que trabajamos, convirtiéndola en parte de las decisiones cotidianas, no solo en una idea tardía.

Dra. Kelley Misata

“Creo que tiene que bajar al nivel cultural... Si lo sacamos de esa caja especial de 'Hagamos un entrenamiento' y lo hacemos en su lugar, 'Hablemos de cómo estamos usando estos sistemas y estos dispositivos' — entonces empezamos a llegar a alguna parte. Se trata de cómo los empleados entienden y abordan la seguridad en sus decisiones cotidianas”.

[Segmento 3: La ciberdelincuencia como negocio]

(SFX: Una llamada telefónica apagada, una voz distante que habla en un idioma extranjero. Haga clic. Una voz distorsionada exigiendo pago.)

RAGHU

El cibercrimen no es solo una serie de ataques aleatorios... es una industria. Uno multimillonario en ese momento.

Pocas personas entienden mejor la estructura del cibercrimen que Brian Boetig. Como ex Subdirector del FBI, pasó años rastreando a los ciberdelincuentes en los niveles más altos.

Brian Boetig

“Ha habido un modelo de negocio que realmente se ha creado a partir del cibercrimen. Tienes que darte cuenta de que todavía hay seres humanos detrás de aquí, y ellos están dirigiendo un negocio. Mi primera asignación en el FBI, trabajamos secuestros por rescate. Sabías exactamente lo que quería el grupo. Pedirían 10 millones, sabías que podías conformarte con cinco. Lo mismo ocurre con el ransomware en la actualidad. Ya sabes cómo van a operar, cuánto van a demandar y si van a seguir adelante. Es predecible, porque es un negocio”.

(SFX: escritura con teclado, audio de una conversación grabada que se desvanece, un ejecutivo frustrado hablando en voz alta, negociando un pago de ransomware).

Brian Boetig

“El cibercrimen es el mejor negocio de trabajo desde casa. Puedes estar muy, muy lejos de tu objetivo y aun así ganar dinero todos los días. Y debido a que es más seguro que el crimen físico, estás viendo grupos que estaban en el crimen organizado moviéndose hacia el cibercrimen. Están ganando más dinero con menos riesgo”.

RAGHU
Y eso es lo que hace que el cibercrimen sea tan difícil de detener: no es un hacker, un crimen, un país. Es un ecosistema de negocios criminales, venta y comercio de datos, kits de ransomware y servicios de piratería.

Brett Johnson

“La mayoría de los ataques se basan en efectivo o en el estado. Si estoy atacando por dinero en efectivo, estoy buscando el acceso más fácil que me dé el mayor retorno de mi inversión criminal. La clave para detener el cibercrimen no es tratar de prevenir todos los ataques, es asegurarse de que no valga la pena el tiempo del atacante”.

(SFX: Una voz robótica de un foro de la web oscura — “Garantizamos su clave de descifrado dentro de las 24 horas posteriores al pago”. Haga clic.)

RAGHU

Y si el cibercrimen opera como un negocio, la pregunta es — ¿cómo lo alteramos?

Brian Boetig

“Hay que interrumpir el modelo: encarecer los ataques, acelerar la recuperación y eliminar el incentivo financiero”.

[Segmento 4: Repensar la resiliencia]

(SFX: Un teléfono de la vieja escuela sonando, seguido de un ping de alerta de noticias.)

RAGHU

Si la prevención por sí sola no es suficiente, entonces ¿cuál es la cosa número uno en la que las organizaciones deben enfocarse?

El Dr. Larry Ponemon es uno de los expertos más respetados en seguridad, privacidad e investigación de riesgos. Como fundador del Ponemon Institute, ha pasado más de dos décadas rastreando datos de brechas, el impacto financiero de los ciberataques y la evolución del panorama de seguridad.

Dr. Larry Ponemon

“Por cada cosa que somos capaces de prevenir, potencialmente, como, 10 cosas han llegado a la red. Y eso es llamativo e impactante”.

RAGHU

Entonces, si los ataques se deslizan constantemente, entonces el verdadero desafío no es solo detenerlos, es asegurarse de que no se conviertan en crisis en toda regla.

Dr. Larry Ponemon

“La prevención es probablemente lo equivocado a pensar porque no es práctico. Muchas organizaciones han renunciado a la prevención, y miran cosas como tiempo para contener, tiempo para restaurar, tiempo para hacer las cosas que salen del problema”.

RAGHU

Y es por eso que la resiliencia es la prioridad, porque en ciberseguridad, la pregunta no es si ocurrirá un ataque, pero cuando.

Dr. Erik Huffman

“Si eres una pequeña y mediana empresa y un estado-nación quiere tenerte, lo más probable es que te vayan a conseguir. Es posible que hagas todo bien y aún así te equivoques”.

RAGHU

El pánico empeora las cosas. Retraso en la toma de decisiones, empleados congelados: estos son los momentos que convierten un incidente en un desastre.

(SFX: suena una alerta de seguridad. Un teléfono suena en el fondo.)

RAGHU

Esta es la razón por la que la resiliencia no se construye en el momento del ataque, se construye antes de que suceda.

[Conclusión]

(SFX: comienza a sonar música reflexiva y esperanzadora).

RAGHU

Entonces, aquí está la clave: La confianza es un campo de batalla, pero la resiliencia es el escudo. Los ciberdelincuentes siempre encontrarán nuevas formas de explotar la confianza, pero las organizaciones que construyan resiliencia a través de la segmentación, la contención y una cultura de seguridad primero serán las que sobrevivan.

Gracias por sintonizar El Segmento. Asegúrate de suscribirte para no perderte estas entrevistas completas.

(SFX: La música Outro se desvanece.)

‍