Seguridad

Los principales errores de ciberseguridad que están cometiendo las empresas (y cómo evitarlos)

istock 1159346361
Gonin, Getty Images/iStockphoto

A medida que se han producido más ataques, la ciberseguridad se ha vuelto cada vez más importante, dejando a las organizaciones luchando por encontrar soluciones. ¿Cómo protege a su empresa de los ataques y las pérdidas financieras resultantes?

discutí este tema Alex maníaDirector de Seguridad y Privacidad Socio de Georgiauna firma de capital de riesgo norteamericana que invierte en empresas en etapa de crecimiento que utilizan tecnologías de inteligencia artificial y aprendizaje automático para resolver problemas comerciales.

Mirar: Cómo convertirse en un experto en ciberseguridad: una hoja de trucos (PDF gratuito) (República tecnológica)

Scott Mattson: ¿Qué errores están cometiendo las empresas en materia de ciberseguridad?

Alex Manía: Una de las peores cosas que puede hacer es intentar bloquear todos los ataques, pero este es un error bastante típico.

Es fundamental comprender que la ciberseguridad perfecta es algo por lo que siempre debe esforzarse, pero en última instancia, nunca lograrlo. Asegúrese de comprender las limitaciones de su organización, ya sean técnicas, presupuestarias o políticas, y trabaje para minimizar el riesgo con los recursos que obtiene. Piense en la ciberseguridad como un juego de optimización económica.

Por otro lado, tampoco querrás cometer el error de «cerrar la puerta y no abrir la ventana». No dedique la mayoría de sus recursos de ciberseguridad a abordar un solo dominio o implementar una tecnología específica.

Cuando se enfrente a riesgos de seguridad, tenga en cuenta la gravedad y la probabilidad.Si bien escucha mucho sobre ciberataques de alto perfil como Stuxnet — Ataques sofisticados de varias capas realizados por piratas informáticos de élite que trabajan para entidades de estados-nación: la mayoría de las intrusiones cibernéticas son más mundanas. De hecho, es más probable que sea atacado por algo como WannaCry, un ransomware relativamente simple que causó $4 mil millones en daños. Utiliza una conocida vulnerabilidad de Windows que Microsoft arregló hace unos meses, pero que muchas empresas aún no han implementado.

Comience sentándose con su equipo y pregúnteles si tienen un modelo integral de amenazas comerciales integral. Anímelos a pensar desde la perspectiva de un hacker: ¿Qué están tratando de lograr y cuál es la forma más fácil de lograrlo? Una vez que haya identificado su joya de la corona y el camino de menor resistencia, concéntrese en agregar obstáculos rentables a lo largo de ese camino.

LEER  Manténgase seguro en línea cuando compre para las fiestas

Muchas empresas también ignoran la necesidad de aplicar pruebas de penetración a su propio entorno para ver su capacidad de piratería. Si no tiene los recursos necesarios internamente, contrate a un probador de penetración profesional. Buscan vulnerabilidades de software sin parches, prueban la configuración de su firewall, intentan instalar malware en sus puntos finales, realizan ataques de inyección SQL en sus activos web y usan campañas de phishing dirigidas para intentar ingresar a su red. Pon a prueba tu ciberseguridad al menos una vez al año, tomando las medidas necesarias para priorizar y corregir las vulnerabilidades identificadas.

Finalmente, cuando implemente seguridad en su producto o servicio, no se rinda a la ligera. Debe «hornear» todo el tiempo.

Si no ha establecido una buena arquitectura de ciberseguridad para supervisar esto, es probable que sufra una infracción. La mejor defensa es comenzar a pensar en la ciberseguridad desde el principio. Esto incluye redactar políticas de seguridad, establecer mecanismos de respuesta a incidentes y, lo que es más importante, asignar responsabilidades a empleados o grupos de empleados específicos. Recuerde, si todos están a cargo de la ciberseguridad, nadie está realmente a cargo.

Los ciberataques son cada vez más sofisticados y tienen el potencial de causar un mayor daño en un mundo digital cada vez más complejo. La buena noticia es que nunca es demasiado tarde para corregir errores.

Scott Mattson: ¿Qué está haciendo bien la empresa?

Alex Manía: Comenzar tiene mucho que decir, y mucha gente ya lo hace. Cuanto más se demoren las empresas en invertir en ciberseguridad, más difícil será cuando inevitablemente se vean obligadas a abordar el problema.un flujo constante Violación de datos de alto perfil La ciberseguridad está cambiando rápidamente de «imprescindible» a «imprescindible».

Para hacerlo usted mismo, primero cree un modelo de amenazas. Piense como un hacker: si quisiera acceder al activo más valioso de una empresa, ¿por dónde empezaría? Tome el camino de menor resistencia y establezca obstáculos efectivos para que sea más difícil caminar. Nunca puede estar seguro de que no será pirateado, pero puede hacerlo lo suficientemente difícil como para que la mayoría de los piratas informáticos simplemente busquen objetivos más fáciles.

Una vez implementada, asegúrese de que la ciberseguridad no sea una tarea de una sola vez. Mantenga la conversación haciendo que la seguridad cibernética y los riesgos potenciales sean una discusión regular en la junta.

Scott Mattson: ¿Cómo deben educar las empresas a sus empleados?

Alex Manía: La forma más efectiva de cambiar el comportamiento de los empleados es a través de la acción, la responsabilidad y el cambio cultural. El mensaje más importante que debe transmitir es que usted, como empresa, se toma la seguridad en serio y que todos son responsables de ella. Asegúrese de que sus acciones, procesos y sistemas respalden y refuercen este mensaje; la mayoría de los empleados detectan y responden a la hipocresía percibida muy rápidamente.

Para estar arraigado en su cultura, hágalo permanente. Puede hacer esto convirtiéndolo en un elemento de la agenda de cada reunión importante y responsabilizando a los empleados por las implicaciones de seguridad de sus decisiones. Reconocer y recompensar las buenas prácticas y evaluar el pensamiento de seguridad en la estrategia comercial, la cultura, el reclutamiento y la promoción.

Scott Mattson: ¿Qué sistemas o procesos deberían construir?

Alex Manía: Comienza por seguir estos principios básicos privilegios mínimos, Descentralización y redundancia.

  • privilegios mínimos Significa que nunca se otorga acceso a los recursos necesarios para completar la tarea. Esto se aplica al software, pero también a los sistemas basados ​​en humanos, como otorgar acceso físico a un edificio de oficinas fuera del horario de atención.
  • Descentralización Esto se aplica tanto a los procesos humanos como a la arquitectura del software. Los procesos manuales se fragmentan cuando se requieren dos personas para aprobar procesos financieros o agregar usuarios a un sistema de software.
  • Finalmente, use y proporcione servicios integrados redundanciaEsto significa que puede utilizar varias instancias de su entorno para reducir las posibilidades de que un atacante comprometa por completo su servicio.

Cuando las cosas inevitablemente van mal, aprenda de cada incidente investigando y descubriendo la causa raíz. Finalmente, desarrolle un plan de recuperación y practique su uso para que pueda recuperarse rápidamente.

Scott Mattson: ¿Debería haber algún tipo de castigo por ignorar las reglas de ciberseguridad?

Alex Manía: Si bien los gobiernos y los reguladores pueden tratar de regular la seguridad cibernética, el juez, jurado y verdugo final son los propios piratas informáticos. El daño a la reputación causado por una infracción grave puede ser un gran golpe para una empresa en crecimiento, y los competidores lo utilizarán para cuestionar su capacidad para manejar datos confidenciales en los años venideros.

Recuerde, las decisiones de ciberseguridad tienen impactos potenciales a largo plazo. La razón por la que vemos tantas violaciones masivas de datos hoy en día es por decisiones tomadas hace 5, 10 o incluso 20 años. Esto significa que las decisiones que tome hoy determinarán en última instancia qué tan seguro estará en el futuro.

Scott Mattson: ¿Cómo deberían los departamentos de TI y seguridad intentar automatizar la ciberseguridad?

Alex Manía: Una de las formas más efectivas de automatizar la ciberseguridad es implementar un producto de orquestación, automatización y respuesta de seguridad (SOAR). Este nuevo segmento ha surgido en los últimos años para abordar un problema que enfrentan casi todos los centros de operaciones de seguridad (SOC): cómo manejar la sobrecarga de señales de soluciones de seguridad dispares y comprender el ciclo de vida completo de los incidentes de seguridad. Una plataforma SOAR efectiva puede ayudarlo a administrar de manera efectiva las operaciones de seguridad de un extremo a otro, automatizar las tareas más comunes y brindarle una visión integral de su entorno.

Scott Mattson: ¿Cuál es el ROI de una solución de ciberseguridad?

Alex Manía: La mayoría de la gente piensa que el ROI de la ciberseguridad reduce el riesgo de ataques cibernéticos y violaciones masivas de datos, pero eso es solo la punta del iceberg. El verdadero ROI proviene de construir una marca fuerte y confiable con sus clientes, brindándole una ventaja competitiva medible y aumentando la adquisición y retención de clientes.

La ciberseguridad es solo una pieza del rompecabezas de la confianza. Comience por asumir las responsabilidades apropiadas en su organización, establezca una arquitectura sólida de ciberseguridad, proteja la privacidad del cliente, garantice prácticas comerciales justas, cree sistemas confiables y sea lo más transparente posible. En Georgian Partners, creemos que las empresas que sobresalen en confianza superarán a sus competidores a largo plazo, y ponemos nuestro dinero detrás de esta tesis fundamental.

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Botón volver arriba