Asumir infracción: mejores prácticas en resiliencia cibernética

No es una cuestión de si, sino de cuándo , una organización o un individuo será violado en el ciberespacio. Si cree eso, dio el paso cognitivo más importante: está preparado para "asumir una infracción" y desarrollar resiliencia para resistir un ataque cibernético.

Pero si asume una infracción, ¿qué significa para su forma de pensar sobre las inversiones en seguridad en personas, procesos y tecnología? Más importante aún, ¿qué estrategias debe emplear su organización para estar segura más allá de la violación? El 24de octubre de 2018, Illumio convocó a un grupo de líderes tecnológicos y de estrategia de ciberseguridad en Washington, D.C., para discutir la suposición de violación e identificar las mejores prácticas en Resiliencia Cibernética. 

A continuación se muestra un resumen de los hallazgos clave del día. Para aquellos interesados en escuchar hablar a todas estas personas inteligentes, estén atentos a los videos. 

Las 3 principales conclusiones

Si asume una infracción, debe:

1. Adopta una mentalidad de adversario.
2. Siga una estrategia de Zero Trust y microsegmente sus redes.
3. Ejercite y prepare a su organización para la gestión de infracciones.
   
   

Asumir infracción: Explicación

Asumir una brecha significa adoptar una mentalidad de adversario. Hoy en día, los adversarios de los estados-nación y las organizaciones criminales tienen el dinero, el personal y el tiempo necesarios para trabajar pacientemente para golpearlo en el ciberespacio. Asumir una violación significa estar listo para un ataque a las cosas que más valoras de maneras que no necesariamente puedes esperar. Esta suposición está en nuestro ADN en el^{mundo físico posterior} al 11 de septiembre, si vemos algo, todos sabemos que debemos decir algo, pero el concepto no se tradujo en nuestras prácticas de ciberseguridad (incluso cuando el uso de datos e Internet se expandió exponencialmente).   

Asumir una violación significa proteger primero sus activos de misión crítica más valiosos. Si un actor hostil busca obtener un beneficio, ¿qué intentará robar, manipular o romper en una organización? Si asume una infracción, debe concentrar en proteger los datos que impulsan sus misiones más importantes. En el caso de la Oficina de Administración de Personal (OPM) de EE. UU., fue la base de datos la que contenía los registros de 21,5 millones de funcionarios del gobierno de EE. UU. En el caso de 2018 del proveedor de salud de Singapur, SingHealth, fue la base de datos dentro de la nube de salud pública la que almacenó los datos de salud de 1,5 millones de singapurenses. En el caso de la compañía de comando y control nuclear del ejército de EE. UU., Podrían ser los sistemas de comunicaciones por satélite los que respaldan la disuasión nuclear de EE. UU.

Asumir una violación significa planear la pérdida de parte de lo que valoras y prepararte para operar con tus datos expuestos o degradados. En caso de incumplimiento, pueden suceder cosas malas a la efectividad de su misión. Es por eso que el ejército de EE. UU. genera redundancia para su logística y operaciones. Para defender una ciudad contra un misil balístico y un ataque cibernético combinados, dos baterías Patriot pueden ser suficientes, pero los militares pueden instalar cuatro para la resistencia. En el caso de una interrupción de un banco, ya sea a través de un ataque de denegación de servicio distribuido o un ataque de malware, los bancos pueden querer invertir en redes redundantes para continuar con las operaciones financieras si una red se cae.

Estará mejor luego de la violación si tuvo en cuenta estos escenarios.

Hacer inversiones en resiliencia es la conclusión lógica de la suposición de incumplimiento. Aún así, estas son premisas engorrosas. De manera análoga a la compra de un seguro de vida luego del nacimiento de un hijo, estará mejor luego de la violación si tuvo en cuenta los peores escenarios.     

Confianza cero y microsegmentación

No puede realizar inversiones al azar; Necesita una estrategia para proteger sus activos. El Dr. Chase Cunningham, uno de los principales pensadores de los Estados Unidos en operaciones de seguridad y análisis cibernético, ayuda a las organizaciones con sus planes para lograr la resiliencia mediante la implementación de una estrategia de Zero Trust. Zero Trust depende de la idea de que los usuarios dentro de una red no son más confiables que los usuarios fuera de una red. Como sostiene, muchos de los principales ataques cibernéticos de los que oímos hablar en la última década están respaldados por un problema simple: los centros de datos son abiertos e inseguros. 

El tiempo promedio de permanencia de un intruso dentro de una red sin ser detectado es de más de seis meses. En un centro de datos inseguro como el de la Oficina de Administración de Personal en 2014/15, el intruso chino obtuvo total libertad de acceso. Si "no confía en nada, verificando todo" lo que ingresa a su red, debe proteger su centro de datos desde adentro para evitar acciones no autorizadas.

En el nuevo mundo de la nube, las herramientas de ayer pueden no ser suficientes. Al igual que la propia nube, sus inversiones en seguridad deben evolucionar con la amenaza. La microsegmentación establece políticas y reglas sobre cómo interactúa cada parte del centro de datos. Es una nueva capa, una capa final de resiliencia en la nueva pila de seguridad.

Preparar para estar seguro más allá de la violación

A nivel estratégico, las organizaciones asumen la brecha y planean la disrupción a través de una variedad de medios de gestión y no tecnológicos. La capacitación es clave. Dentro del Departamento de Defensa, el ejército de EE. UU. se capacita no solo para infracciones, sino también para interrupciones cibernéticas completas de las operaciones militares; más allá de las inversiones en redundancia, como una batería Patriot adicional, los pilotos y capitanes preparan a sus equipos diariamente para "volar a ciegas" en caso de ataque. Eso puede significar volar un F-35 sin comunicaciones o pilotar un barco a través del océano sin el Sistema de Posicionamiento Global.

Del mismo modo, las compañías deben pasar por el proceso de preparación para la violación identificando los procesos de emergencia que pueden necesitar para la gestión de crisis. Uno de los pasos más importantes es identificar los hechos; Sin ellos, no puede comunicar bien dentro de su organización o externamente. Ayuda a desarrollar un libro de jugadas para la gestión de brechas y realizar ejercicios de mesa para identificar brechas y costuras para ver cómo su organización puede responder a un evento. El mejor tablero es un ejercicio en tiempo real que altera los sistemas de comunicación de una organización y obliga a los equipos a responder sin acceso a los datos. Finalmente, las organizaciones deben practicar cómo se comunican con los accionistas y otras personas en el mundo externo sobre la violación.

Luego de una infracción, la culpa y el análisis forense son la parte más fácil de la historia. Es más difícil empujar a los líderes con anticipación para que inviertan. Cambiar sus mapas mentales y asumir la infracción, hacer las inversiones en personal y tecnología para resistir los ataques y tomar el tiempo para capacitar para la interrupción. Sin embargo, con una pequeña cantidad de inversiones avanzadas, los países y las organizaciones pueden evitar que ocurran los peores escenarios y estar seguros más allá de la infracción.