Ciberseguridad: aprende cómo implementarla desde cero (Parte 1)

Actualmente, la evolución tecnológica e innovadora de las empresas representa un gran progreso para las empresas. Sin embargo, también implica compromiso para resguardar la información generada. De modo que cuando aún no se ha implementado ciberseguridad o no se ha invertido en ella, es muy común preguntarse:

• ¿Cómo empiezo?
• ¿Qué estándares utilizo?
• ¿Qué controles elijo?
• ¿Esta tecnología realmente nos protegerá de los ataques actuales?

Por su parte, We Live Security en su informe 2019, afirma que en el 2018 se tuvieron graves casos de vulneración de datos. Uno de los más notables fue el incidente de Facebok y Cambridge Analytica. Igualmente, entró en vigencia el Reglamento General de Protección de Datos para minimizar anteriormente lo descrito.

Igualmente, Mckinsey, estima 4 tendencias relativas a la seguridad:

1. Mayor valor en línea. Según la consultora, muchas instituciones experimentan mayores ataques en línea debido a la diversidad de transacciones que allí se gestan. Es un mundo donde pueden extraerse datos y transacciones personales de clientes. Por consiguiente, es una fuente a proteger continuamente.
2. Las corporaciones trabajan más en redes y son más abiertas al mundo digital. Mediante los dispositivos móviles, mayores actividades se realizan desde allí. Desde estos se encuentran piratas informáticos para el ingreso de malware.
3. Las cadenas de suministro están más interconectadas. Sumado a sus beneficios, también implica protección contra los ataques en los diversos eslabones de la cadena.
4. Los cibercriminales son más sofisticados. Incluso existen organizaciones profesionales de ciberdelitos y grupos avanzados tecnológicamente. Actualmente, los malware son más difíciles de detectar y frecuentemente se personalizan para robar datos y obtener ganancias financieras.

Basado en todo lo anterior, se confirma la importancia de que las empresas concienticen sobre la información en torno a su protección de los cibercriminales. De hecho, un estudio de Gartner de 2018, indica que se espera que el mercado global de ciberseguridad alcance los 170.400 millones de dólares en 2022.

¿Qué es la ciberseguridad?

Debemos partir con esta definición, que a pesar de ser un término relativamente nuevo, su concepto no lo es tanto. Básicamente, nos referimos a seguridad informática, proteger y gestionar el riesgo relacionado con la infraestructura computacional e información contenida en dicha infraestructura, es decir, “The Matrix” .

Principales tipos de ciberseguridad

En torno a los tipos de ataques contra la  ciberseguridad, se pueden señalar dos grupos principales:

1. Ataques pasivos: en este caso, un atacante obtiene derechos sin cambiar el contenido de los mensajes. Para lograr su fechoría, el atacante escucha y analiza el tráfico entre dos estaciones de trabajo.
2. Los ataques activos, consisten en el cambio, eliminación y copia de contenido de los archivos. Los cibercriminales logran identificarse como usuario autorizado y deshabilitan el flujo de datos normal, entre otros. (Vukašinović, 2018).

¿Qué se requiere para iniciar?

La implementación de medidas preventivas de seguridad, suponen que las organizaciones deben ejecutan acciones claras para la protección de sus datos. Se debe recordar que la información es uno de los activos a proteger de todas sus formas.

Además de tener la responsabilidad de implementar un plan de seguridad integral de una empresa, se debe concienciar en la empresa; entonces la palabra clave será “creer”. Si no se cree en que la ciberseguridad es necesaria, o mejor dicho, fundamental, lamentablemente no se destinará el presupuesto suficiente a este ámbito.

Por ende, es extraño pensar que en el año 2019, cuando la información llega por diferentes canales directamente a nuestro teléfono móvil y donde Internet es el canal principal, aun sea necesario concienciar sobre lo importante que es invertir en ciberseguridad. Si es el caso, lo primero que se debe conseguir es que crean, ya que creer es poder.

Una forma tradicional de vender seguridad o ciberseguridad es a través del miedo, “esto te pasará si no inviertes…”, “si no compras mi tecnología estas totalmente expuesto….En ElevenPaths pensamos que la mejor herramienta es la educación. Por lo que mediante este enfoque debemos concentrarnos y en enseñar sobre:

• Cuáles son las amenazas actuales.
• Cómo se pueden mitigar.
• De qué manera se puede prevenir.
• Cómo se debe reaccionar cuando ocurre un incidente.
• Qué técnicas de seguridad aplicar, etc.

Si se necesitan “brechas” que mostrar, recomendamos Information is Beatiful que es un portal muy popular con varios estudios transformados en infografías, o como ellos lo llaman, el “arte de la visualización de los datos”. También en nuestro blog se pueden encontrar diferentes posts sobre investigaciones relacionadas con brechas de seguridad, como la interesante charla que presentaron los colegas Jaime y Pablo en la RootedCON 2019.

Análisis y gestión

En ciberseguridad, estos dos conceptos siempre van de la mano. Ya sea que estamos hablando en un ámbito más técnico, por ejemplo vulnerabilidades, o en un ámbito más de gestión, por ejemplo “riesgos”. Nos centraremos en este último ámbito.

Conforme a ello, para empezar a implementar medidas de seguridad hay que tener algo muy claro: cuál es el contexto general donde transita la información. Puedes consultar la charla sobre Análisis de Riesgos que incluimos en la primera temporada de nuestros #11PathsTalks.

Una vez que entendemos el contexto general de la seguridad podemos comenzar pero, ¿cómo? Hoy en día hay muchos estándares, marcos de trabajo, metodologías, etc. Siempre es más seguro utilizar los más usados y eficientes. En este sentido, creemos que es fundamental entender y ocupar el Framework de Ciberseguridad del NIST (que acaba de cumplir 5 años), ya que aglutina las fases básicas y más importantes en nuestra opinión:

1. Identificar.
2. Proteger.
3. Detectar.
4. Responder.
5. Recuperar.

Este marco voluntario consta de estándares, directrices y buenas prácticas para gestionar los riesgos relacionados con la seguridad cibernética. El enfoque prioritario, flexible y rentable del Marco de Seguridad Cibernética ayuda a promover la protección y la resistencia de la infraestructura crítica. Así como en otros sectores importantes para la economía y la seguridad nacional de Estados Unidos.

Una iniciativa que también recomendamos es Secure Control Framework. Su misión es proporcionar un poderoso catalizador que promueva la forma en que los controles de privacidad y ciberseguridad se utilizan en las capas estratégica, operativa y táctica de una organización; independientemente de su tamaño o industria. Básicamente es un herramienta en un portal web donde existen más de 100 estándares, ISO, controles, frameworks, etc. Se pueden elegir a cuáles se quieren adherir y el portal muestra los controles que deben implementarse de manera integral.

En suma, las medidas de ciberseguridad se componen de un plan que permita la sensibilización y concientización de todos en la organización. Sumado a ello, se esperan diagnosticar constantemente para prevenir sobre los peligros latentes en los sistemas. Finalmente, el control es vital; en otras palabras monitorear lo planificado, determinará que todo va según lo diseñado en seguridad.

Continuaremos desarrollando el post en una 2ª parte, estad atentos a nuestro blog y, mientras tanto, los invitamos a ver la 5ª temporada de nuestros #11PathsTalks. Consulta la segunda parte del post Implementando ciberseguridad desde cero aquí.

Implementando ciberseguridad desde cero (Parte 2)

---

Referencias Bibliográficas

Vukašinović, M. (2018). Cyber Security Measures In Companies. Paper de Conference: International Journal of economics and statistics. Disponible en: https://www.researchgate.net/publication/330325833_Cyber_Security_Measures_In_Companies