Por Efrén Páez Jiménez
(dpl news) En medio de una creciente complejidad por proteger las redes, los datos y la infraestructura, se requiere del liderazgo de los más altos mandos, tanto al interior de las empresas como de los gobiernos, que permita la ejecución eficiente de políticas para atender una posible emergencia de ciberseguridad, explicó en entrevista Chris Krebs, exdirector de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA, por sus siglas en inglés).
Mientras que el uso de la tecnología nos facilita la vida, o permite a las empresas ser más eficientes a un menor costo, también se crea un ambiente más complejo conforme se conectan nuevos dispositivos y redes que constantemente recolectan datos sensibles sobre todo tipo de operaciones.
Esta nueva complejidad en las redes ha creado nuevos puntos de ataque para los criminales, y oportunidades para que se presenten errores tanto en las empresas como a nivel personal, que pueden ser aprovechados para distintos objetivos: financieros, ransomware, robo de datos, o hasta agentes estatales que realizan actos sofisticados de espionaje o ataques a la infraestructura.
“Por lo tanto, realmente depende de nosotros, al igual que de nuestros gobiernos, de intervenir y apoyarse. Depende también de las empresas de tecnología reducir la complejidad, simplificar y proporcionar tecnologías de diseño e implementación más seguras”, señaló en entrevista para DPL News, durante su visita a México invitado por Nekt Group y SentinelOne.
Para atender el nuevo reto de la ciberseguridad sin que interfiera con las operaciones diarias de una organización o sus procesos de innovación, Krebs recomendó que se requiere del liderazgo desde el nivel ejecutivo (C-Level), que efectivamente priorice la formación de una estrategia de seguridad.
De lo contrario, “van a tener dificultades para ganar cuando se trata de decisiones sobre productos y despliegue”, aún cuando se tengan los mejores sistemas o al mejor especialista de ciberseguridad.
Pero también se trata de involucrar a toda la organización, en especial, cuando incluso una sola persona o sistema puede infectar a toda la red, advirtió Krebs. “Se debe pensar realmente de manera agresiva sobre los sistemas, la red, los activos, las identidades que se deben administrar con cuidado y luego estar preparado para un mal día y asegurarse de tener los procesos y la toma de decisiones en su lugar que pueda limitar el daño”, agregó.
En ese sentido, explicó que el enfoque de seguridad se debería redireccionar hacia un “enfoque multicapa”, en el que se establecen procesos claros respecto a lo que se debe hacer en caso de una emergencia cibernética. “Realmente estás tratando de limitar y fortalecer tus sistemas para que un mal día no se convierta en un día peor”, dijo en entrevista.
Proteger la infraestructura crítica
Conforme se extiende la superficie de ataque a lo largo de dispositivos, procesos, redes y sistemas, surgen múltiples retos para garantizar que operen de manera segura y protegida, y no se conviertan en un riesgo para el resto de la infraestructura de una organización o un país entero.
Krebs indicó que si bien existen dispositivos como algún electrodoméstico conectado cuya información pueda ser inocua, aún se debe considerar que el dispositivo también podría ser sumado a una botnet utilizada en un ataque más amplio a la infraestructura, que “se pueda aprovechar para fines nocivos”.
Por ello, destacó la importancia de que las empresas fabricantes de tecnología incorporen la “seguridad en el modelo comercial. Debe incorporarse al proceso de desarrollo, al proceso de integración, al proceso de implementación y al proceso de mantenimiento”, y permitir que el usuario lo considere en sus procesos de compra.
Sin embargo, reconoció la dificultad por reconocer qué empresas están empleando altos niveles de seguridad, al carecer de los estándares en el mercado. Recientemente, Joe Biden, presidente de los Estados Unidos, evaluó la imposición de un conjunto mínimo de estándares de seguridad a diversas industrias consideradas críticas, incluyendo hospitales, dispositivos médicos, la industria de agua (transporte, almacenamiento, etc.) y sistemas de emergencia pública, a la vez que se analiza su adopción por la manufactura y sistemas de información.
A partir de su experiencia, consideró que es importante que los gobiernos puedan contar con una agencia especializada que atienda los riesgos en ciberseguridad, pero con un enfoque mayor respecto a la infraestructura y la resiliencia empresarial. No se trata sólo de lo cibernético, sino de las cadenas de suministro y riesgos internos que no necesariamente se manifiesten dentro de un sistema de cómputo, pero que requieren ser unidos bajo una perspectiva de administración de riesgos.
Aunque existen diferentes modelos de prevención, se requiere del liderazgo de una agencia gubernamental en la defensa cibernética que pueda trabajar bajo un enfoque mixto de asociación con las organizaciones y a través de una regulación.
“Hay algunas áreas en las que quieres regular, como las infraestructuras críticas que se encuentran en la parte superior de un registro de riesgos, incluyendo tecnologías habilitadoras críticas que estamos utilizando, como la Nube”, explicó.
Para el resto de la infraestructura o redes que no se consideren críticas, o que no se tengan los recursos para regularlos, aún se tendría que “darles las herramientas, la información y la base de conocimientos mediante los cuales puedan protegerse”.
Respecto al caso más reciente de robo de datos en contra de la Secretaría de la Defensa Nacional (Sedena) de México por un grupo de hackers conocido como Guacamaya, Krebs indicó que es “un recordatorio que cualquier gobierno o país pueden ser víctimas de un ciberataque”, como ha ocurrido contra Estados Unidos, Alemania, Australia y otros.
“Creo que lo que refuerza es que debe haber una estrategia holística consistente para proteger las redes, se debe adoptar un enfoque para administrar la identidad, administrar los activos y la red, comprender lo que sucede en la red, y poder ver actividad anómala como grandes cantidades de datos que se transmiten fuera de la red”, señaló.
Sin embargo, para el experto no implica únicamente la ciberseguridad de los datos y los sistemas, ya que también refleja la necesidad de los gobiernos por ser transparentes sobre sus acciones y resguardar “la importancia del Estado de Derecho”.
“Se necesitan recursos, dinero, se necesita un poco de tiempo, por supuesto. Se necesita liderazgo y compromiso. Pero creo que, al mismo tiempo, los gobiernos deben ser transparentes, la información en algún momento quiere ser libre y lo será. Los gobiernos deben ser claros y transparentes sobre lo que están haciendo y cómo luchan contra la corrupción”, agregó.