Ciberresiliencia, la mejor estrategia para proteger el negocio

Este panel ha contado con la asistencia de los siguientes expertos en seguridad y ciberresiliencia:

• Manuel Achaques, Presales Team Lead de Hornetsecurity
• Víctor Pérez de Mingo, Advisory Systems Engineer de Veeam
• Miguel Ángel Ordoñez, Director de Resiliencia y Data Center Services de Kyndryl
• Mónica Maganto, Cybersecurity Business Manager de Abast
• Santiago Arellano Rodríguez, Director de Preventa de Ciberseguridad de Izertis

Manuel Achaques, Presales Team Lead de Hornetsecurity, abrió su intervención estableciendo un símil entre la ciberseguridad y una regata, “ante una competición, no podemos controlar el clima que hará, pero sí cómo nos preparamos. Cómo navegar en esta tormenta de la ciberresiliencia y cómo ser resilientes”. Desgranó los vectores y amenazas más importantes a los que se enfrentan hoy en día las organizaciones: el email es el principal vector de ataque; el robo de credenciales es un objetivo principal y la velocidad, los atacantes son rápidos y la corrección de vulnerabilidades y la recuperación son lentas.

Puso el foco en que los ataques se dirigen cada vez más a las personas, por lo que es crucial contar con una buena cultura de la seguridad, ya que ese es el flanco por el que se recibirán más ataques. “El ataque ya no es la tecnología, los ataques están destinados a las personas. Y con el salto al Cloud no podemos desentendernos, la seguridad de nuestros datos en la nube no es cosa del proveedor, es asunto nuestro”.

Destacó que, en su opinión, la ciberseguridad es una estrategia, no un producto, “debe ser una estrategia que involucre personas, procesos y tecnología”. Y que tiene tres pilares fundamentales para disponer de una protección integral, unificada y demostrable: la formación continua de los usuarios, la protección de los datos y disponer de capacidades de recuperación (backup y recuperación de datos).

Y esto le lleva al siguiente punto: la integración. Señaló que “la ciberseguridad no puede ser una isla, es necesaria la integración con proveedores e integradores. Al diseñar la estrategia de ciberresiliencia, es importante tener claro hacia dónde se dirige la compañía y en quién apoyarse. Los clientes están abrumados y necesitan apoyo para la especialización”.

Resaltó la importancia de tener claro que es fundamental involucrar a la dirección en los procesos de ciberseguridad y que la mayoría de empresas tienen presupuestos y conocimientos limitados, aunque deben ser conscientes de la importancia de asegurar la continuidad de negocio ante eventos impredecibles. Por último, destacó que es importante alinear las normativas, el cumplimiento y los estándares con la tecnología adoptada y que la ciberseguridad debe ser abordada con una defensa en capas.

Víctor Pérez de Mingo, Advisory Systems Engineer de Veeam, centró su ponencia en que “la ciberseguridad es una estrategia y cultura de empresa. Dentro de ella, la resiliencia de datos es clave”. El objetivo principal, en su opinión, es “tener la garantía de que, ante cualquier ataque, existe al menos una copia limpia, válida y recuperable de la información, y ser capaz de recuperarla rápidamente”.

Para ello definió los cinco pilares que debe tener una estrategia de resiliencia de datos: “la capacidad de hacer copias consistentes; la recuperabilidad (desde la recuperación total hasta granular); la libertad de elección  y la capacidad de migrar y recuperar en otro sitio; la securización; y la inteligencia de datos”.

Recomienda enfrentarse a estos retos desde un modelo Zero Trust, “voy a asumir que va a haber una brecha, que van a conseguir entrar, que van a intentar destruir mi información”. Y destaca que, en los informes que manejan, “el 89% de los ciberataques fueron encaminados a destruir los repositorios de backup y el 36% de ellos lo consiguieron, es decir, se cargaron la última barrera de defensa que tenía el cliente. Por eso el modelo es tan importante”.

Y propuso una estrategia de confianza cero y de aislamiento entre las distintas capas de la solución de protección de información, “de tal manera que yo pueda garantizar que aún teniendo un acceso no autorizado a la capa de software, no puedan comprometer los datos en sí mismos. Hay que estar preparados para lo peor, asumir que la catástrofe va a ocurrir”. Por ello recalcó la importancia de tener copias inmutables de la información, que sean indestructibles.

Recomendó encarecidamente simular incidencias para poner a prueba los planes de recuperación. No esperar a un ataque real para comprobar que la organización está realmente preparada, que todos los elementos técnicos y procedimientos funcionan como deben. Comprobando aspectos como la capacidad real de recuperar desde un desastre total hasta elementos granulares.

Como paso previo, citó la importancia de determinar el nivel de madurez real de la infraestructura y del grado de resiliencia, tener claro qué aspectos son críticos. Añadió que hay que tener siempre visibilidad de la infraestructura y demostrar el cumplimiento normativo así como documentar y demostrar la resiliencia alcanzada.

Miguel Ángel Ordoñez, Director de Resiliencia y Data Center Services de Kyndryl, abrió su turno definiendo a la ciberresiliencia como la integración de la seguridad y la resiliencia, reconociendo el alto impacto y la alta probabilidad de ataques cibernéticos. Desde su compañía unen seguridad y resiliencia con el objetivo de ayudar a los clientes a continuar con sus operaciones, ya sea después de una contingencia o a través de la preparación previa.

Destacó que “seguimos el ciclo NIST (Identify, Protect, Detect, Respond, Recover) para cubrir todas las áreas de la ciberseguridad” que detalló en 12 puntos clave:

1. Incremento de la preocupación: Mayor conciencia sobre la importancia de la resiliencia.
2. Terceras partes: Evaluación de los riesgos aportados por proveedores, clientes y colaboradores.
3. Informe a las autoridades: Mayor necesidad de informar a los reguladores.
4. Responsabilidad del Consejo: Mayor implicación y supervisión por parte de la Dirección General.
5. Ciberhigiene: Intensificación de las medidas preventivas.
6. Cumplimiento estricto de la regulación: Cumplir con la regulación y demostrar su cumplimiento.
7. Carencia de skills: Dificultad para encontrar especialistas con el conocimiento adecuado.
8. Primas de seguros: Incremento de los costos de los ciberseguros.
9. Credit risk: Mayor importancia del nivel de resiliencia en la evaluación de riesgos y concursos públicos.
10. Monitorización: Mayor enfoque en la ciberseguridad defensiva.
11. IA: La IA ayuda a detectar amenazas con antelación.
12. Respuesta y recuperación: Importancia fundamental de la respuesta a incidentes y la recuperación.

Hizo una comparación entre la ciberresiliencia y el mapa del Metro, que en este caso abarcaba: la gestión de riesgos, la existencia de un Plan de recuperación de ciberincidentes como un proceso más de la empresa, tener una arquitectura de seguridad adecuada y la protección del dato en base a su criticidad.

Miguel Ángel Ordoñez puso como ejemplo que, en las pruebas de estrés del Banco Central Europeo al sector financiero, “se centró en la capacidad de recuperarse después de un ataque de ransomware. Después de un evento disruptivo, el objetivo es minimizar el tiempo de inactividad y el impacto”. Para ello insistión en que es esencial contar con una arquitectura de recuperación adecuada.

Señaló que “aunque hay una alta concienciación sobre los riesgos, no todos los clientes actúan en consecuencia. El nivel de preparación varía mucho entre unos y otros” así como la importancia de implementar la seguridad por capas y la realización de pruebas que garanticen que los protocolos funcionarán el día que sean necesarios.

Mónica Maganto, Cybersecurity Business Manager de Abast, aprovechó su turno para hacer un repaso global a la situación actual de la ciberseguridad. Empezó por destacar a las normativas europeas como palanca para la ciberseguridad ya que buscan la gobernanza y orquestación en los países miembros al tiempo que permiten “aprobar presupuestos y proyectos de ciberseguridad. Las directivas implican a los comités de dirección, haciéndolos responsables de los ciberataques”.

Resaltó que La evolución tecnológica “ayuda en la transformación y mejora las soluciones de ciberseguridad, pero también beneficia a los ciberdelincuentes. El dato y la información son cada vez más valiosos y están siendo robados, vendidos y utilizados para pedir rescates”. Quiso destacar que “los ciberataques son realizados por bandas y empresas organizadas, no solo por hackers individuales” por lo que, en su opinión, los planes de continuidad de negocio deben actualizarse para reflejar las nuevas formas de ataque y los cambiantes panoramas de amenazas.

Puso en primer plano la relevancia que tiene la colaboración entre proveedores así como la gestión de riesgos, “identificando los procesos de negocio más críticos, los sistemas de información que los soportan y los riesgos asociados” y la cadena de suministro, “para asegurar que los proveedores cumplen con las medidas de seguridad necesarias”.

También resaltó que la importancia de la formación y sensibilización de los usuarios, “para evitar que un simple click comprometa a la empresa” y de poder garantizar la continuidad de negocio probando “revisando, actualizando y probando los planes de recuperación de desastres. Hay que evitar crear planes de continuidad de negocio de cartón piedra y realizar simulacros y pruebas”.

Mónica Maganto habló del reto que supone la popularización de la IA, que es a la ves aliada y rival, “aliada porque ayuda a identificar incidentes y a ser más eficientes en la protección y prevención. Y rival porque la usan los ciberatacantes para realizar ataques más sofisticados y usuarios no preparados en las propias empresas usan la IA de manera incorrecta comprometiendo información de la compañía”.

Terminó por destacar que muchas Pymes no saben cómo se encuentran en el ámbito de la ciberresiliencia y la ciberseguridad y necesitan asesoramiento para entender su estado y saber cómo mejorar. Uno de estos aspectos es el impacto que tienen nuevas regulaciones como NIS2, que muchas empresas desconocen. Las certificaciones como ISO 27001 sirven para demostrar a los clientes que se está cumpliendo con los estándares de seguridad.

Cerró su intervención mencionando que “el apagón ha generado una mayor demanda de planes de continuidad de negocio”, por lo que es muy importante analizar el estado actual de la empresa y apoyarse en soluciones que ayuden a ejecutar la estrategia a largo plazo.

El último de los ponentes de este panel, Santiago Arellano Rodríguez, Director de Preventa de Ciberseguridad de Izertis, empezó diciendo que “consideramos que las compañías tenemos que evolucionar, cambiar de manera continua y siempre en un proceso de mejora continua”. Destacó que hoy “la ciberdelincuencia es la mayor amenaza global a nivel social, empresarial y estratégico por lo que es importante invertir en medidas de seguridad, recursos y dedicar la inversión necesaria. Las organizaciones deben estar comprometidas con la ciberseguridad, no solo aparentarlo”.

Este planteamiento de la ciberseguridad como pilar esencial de las organizaciones requiere, que “la estrategia de ciberseguridad debe estar en el órgano de administración de la compañía. Hay que alinear personas, procesos y tecnología y adaptarse de manera permanente a la evolución tecnológica”.

En su opinión, es inevitable recibir un ataque, por lo que hay que estar preparado, resistir, evolucionar y mejorar la ciberseguridad, teniendo muy presente además que “la entrada en vigor de la normativa NIS2 obligará a las empresas a ser ciberresilientes y a demostrar su postura de ciberseguridad. Las empresas deben avanzar hacia un enfoque ciberresiliente y adaptativo, superando los enfoques reactivos, proactivos, predictivos e inteligentes tradicionales”.

Introdujo el concepto de “Compañía ciberredimida”, que definió como “una compañía que ha sufrido un ataque, pero es capaz de reponerse, alinearse con las exigencias y demostrar su postura de ciberseguridad”. Y lo trasladó a la realidad empresarial de España, formada en su inmensa mayoría por Pymes, que necesitan ayuda para protegerse. Destacó que “la cultura de ciberseguridad debe impregnar en la organización a todos los efectos (procesos, personas, tecnología)”. Y que

Es necesario un apoyo desde la Administración para poder ayudar a todas estas compañías.

Santiago Arellano Rodríguez mencionó que “es importante alinear las normativas, el cumplimiento y los estándares con la tecnología adoptada. La ciberseguridad debe ser abordada con una defensa en capas”. Y cerró su intervención resaltando que “cuantas más organizaciones estén protegidas, mayor será la seguridad para toda la sociedad”.