Poner la ciberseguridad en primer lugar: por qué la seguridad por diseño debe ser la norma

Desde historias de ransomware que acaparan titulares hasta experiencias personales de robo de identidad, el ciberespacio se abre paso cada vez más en la conciencia colectiva. Durante la pandemia, una escalada en los niveles de amenaza también recordó a los líderes empresariales y de TI lo que está en juego. Ahora estamos entrando gradualmente en una nueva era de trabajo híbrido, es vital que los equipos vayan un paso más allá e integren la seguridad en todos los aspectos de una organización. Con demasiada frecuencia, todavía se trata como una ocurrencia tardía. También hay señales preocupantes de que los miembros del personal más jóvenes, en particular, son resistentes a cualquier cosa que afecte su productividad.

Por eso, uno de los temas clave de este año Mes de concientización sobre ciberseguridad es «Ciberseguridad primero». Es una idea simple, pero una que puede requerir un poco de esfuerzo para ponerla en práctica. La seguridad debe estar incorporada en lugar de incorporarse, pero no necesariamente a expensas del crecimiento empresarial y la innovación.

Cuando los empleados se rebelan

Todos sabemos lo que sucedió durante la pandemia. Con misa trabajo remoto y transformación digital vino un superficie de ataque corporativa ampliaday nuevos vacíos en la protección explotados sin piedad por los actores de amenazas. Llegaron a servicios de red privada virtual (VPN) sin parches y servidores de Exchange, puntos finales de Protocolo de escritorio remoto (RDP) secuestrados protegido por contraseñas débiles o violadas, apunte a sistemas en la nube mal configurados y mucho más. En este contexto, impulsar una cultura de seguridad por diseño ayudaría mucho a eliminar las brechas que los atacantes explotan con tanta frecuencia.

Sin embargo, hay resistencia. En nueva investigación, las tres cuartas partes (76 por ciento) de los líderes de TI globales admiten que la seguridad pasó a un segundo plano frente a la continuidad del negocio durante la pandemia. Eso puede haber sido justificable en ese momento, pero no ahora que el riesgo operativo está disminuyendo. Sin embargo, los trabajadores más jóvenes parecen ignorar las políticas, ser apáticos hacia la seguridad en general y cada vez más frustrados por tener su productividad «restringida». Casi la mitad (48 por ciento) de las personas de entre 18 y 24 años afirmaron que las herramientas de seguridad eran un obstáculo, y casi un tercio (31 por ciento) dijo que habían tratado de eludir las políticas corporativas para hacer el trabajo.

Cybersecurity First, por lo tanto, requerirá una planificación y ejecución cuidadosas para evitar una reacción violenta del usuario.

Cuando la seguridad es una ocurrencia tardía

Debe haber progreso, porque la seguridad incorporada está fallando a las organizaciones en todas partes. Un ejemplo clásico es el mundo de DevOps, donde los procesos están orientados hacia el tiempo de generación de valor en lugar de la mitigación de riesgos. El resultado es a menudo software que se envía con vulnerabilidades que terminan siendo explotadas en ataques. Uno estudio reciente afirma que los ataques ascendentes, en los que los actores de amenazas inyectan nuevas vulnerabilidades en el código fuente abierto, aumentaron un 650% interanual.

Los costos de la aplicación de parches, más el daño a la reputación que conlleva un incidente grave, pueden superar con creces los asociados con la creación de una mejor seguridad en la canalización de CI / CD. Hay muchos más ejemplos. Solo considere las enormes consecuencias financieras y de reputación de la Violación de Equifax 2017, se dice que ha afectado casi la mitad de todos los adultos estadounidenses. Podría haberse evitado con un parche rápido. O el 2019 Incumplimiento de Capital One que afectó a 100 millones de solicitantes de crédito al consumo. Seguimiento más estrecho de configuraciones incorrectas de la nube puede haber salvado el rubor del banco.

Necesitamos llevar la ciberseguridad a un punto en el que la seguridad esté ahora en la industria del automóvil. En este sector, los equipos de seguridad están estrechamente involucrados en el diseño y despliegue de prácticamente todas las características nuevas de los vehículos. Es por eso que ahora tenemos frenos de alto rendimiento, parabrisas resistentes a roturas, barras antivuelco, bolsas de aire y muchas otras innovaciones tecnológicas como estándar en la mayoría de los automóviles de hoy. Y los operadores de estos vehículos están capacitados y probados para usarlos de manera segura y compatible. La ciberseguridad debe ser la misma.

Poniendo la seguridad primero

Seguro por diseño es un principio clave de la GDPR, ampliamente considerado como un creador de estándares en la regulación global de la privacidad. Construir en lugar de atornillar también tiene sentido, desde una perspectiva de mitigación de riesgos y costos. Entonces, ¿cómo se ve en la práctica? Aquí hay algunas sugerencias:

• Minimización y cifrado de datos en todas partes puede ayudar a reducir los riesgos de seguridad de los datos y la exposición de la información
• Gestión y control continuos de activos de TI en todo el entorno lo ayudará a comprender lo que tiene y luego protegerlo
• Sesiones periódicas de formación y sensibilización del personal puede convertir un eslabón débil en la cadena de seguridad en una formidable primera línea de defensa y ayudar a crear una cultura de seguridad primero
• Consulta cercana con los usuarios garantizará que cuando las políticas se rediseñen para la fuerza laboral híbrida, se hagan de una manera que minimice las interrupciones al personal
• Un enfoque en la gestión de acceso, siguiendo el principio de privilegio mínimo y con autenticación de dos factores por defecto, podría prevenir el 90 por ciento de los ataques
• Programas de parcheo automatizados basados ​​en riesgos puede impulsar mejoras importantes en la higiene cibernética para reducir el tamaño de la superficie de ataque corporativa
• Registro, monitoreo y detección y respuesta también son fundamentales para encontrar y mitigar cualquier ataque de ruptura en el entorno
• Monitoreo e investigación continuos de la cadena de suministro también ayudará a abordar de forma proactiva una fuente importante de riesgo cibernético
• Una confianza cero estrategia de seguridad es una forma cada vez más popular de evitar riesgos mediante la autenticación continua y otros controles

La conclusión es que Cybersecurity First se trata de cambiar la seguridad de una postura reactiva a una proactiva. Y si está luchando por encontrar el presupuesto para emprender un cambio duradero, recuerde posicionarlo como un facilitador. Los frenos no están ahí solo para reducir la velocidad del vehículo, sino también para garantizar que pueda viajar más rápido de manera segura. Es por eso que las organizaciones seguras por diseño innovan más rápido y, en última instancia, se adelantan a sus rivales. Tienen la confianza para impulsar proyectos ambiciosos de transformación digital, porque están construidos sobre una base segura.