Recientemente el Straight Communicate Insights El equipo de HCL Technologies invitó a un panel social a discutir una cuestión crítica en el centro de las transiciones digitales de hoy: ¿Cómo las empresas apuntan a las inversiones y cambian la cultura para evitar ser la próxima víctima de un ciberataque?
En la Parte I de la serie, exploramos las tendencias de seguridad de TI para 2019 y las formas en que las empresas pueden protegerse de la vulnerabilidad de los dispositivos IoT. Hoy, continuamos la discusión explorando la amenaza del criptocrimen, la naturaleza de las amenazas de ciberseguridad en el futuro cercano y los pasos que las pequeñas y medianas empresas pueden tomar para protegerse.
P3: ¿Qué tan grande es la amenaza para las empresas de «criptocrimen»?
Lo que pasa con el ransomware es que ya no pertenece a grupos específicos. En la Conferencia RSA de este año, el propio Raj Samani de McAfee compartió el advenimiento del modelo de franquicia en criptocrimen. Como resultado, estamos viendo un mayor alcance, pero menos sistemas únicos que aplican ransomware. Aún así, vemos que las empresas fracasan de la misma manera año tras año y son víctimas de estas familias de ransomware a escala.
A medida que busca conquistar la respuesta a incidentes como un prepare eficaz para mitigar el efecto de las infecciones de phishing y ransomware iniciales, le pregunto, ¿cómo cambia su respuesta a incidentes en la nube? ¿Tiene recursos de respuesta a incidentes y disposiciones para SaaS vs. IaaS? ¿Cómo obtiene los registros y recursos que necesita de los proveedores de la nube para investigar de manera efectiva y asegurarse de haber identificado todos los nodos afectados o el vector de ataque inicial? El momento de resolver esa pregunta no es durante las etapas de investigación de tiempo limitado cuando todos están bajo estrés por una amenaza activa.
Con el reciente tercer aniversario de No más rescate, los líderes de seguridad como Raj Samani y las compañías que forman asociaciones como la del sitio internet No Extra Ransom pueden ayudar a ofrecer protección básica para algunas formas de ransomware. En este proyecto conjunto con Europol y AWS, ha sido un viaje increíble observar e incluso invertir en ayudar a proteger a las empresas contra el ransomware.
P4: ¿Cómo pueden las pequeñas empresas con recursos limitados proteger la privacidad de sus clientes?
El tiempo de permanencia de las amenazas en las pequeñas y medianas empresas es de 45 a 800 días, y los promedios se mueven más hacia estos últimos. Seguridad de la información basada en la nube SaaS (Computer software as a Service) está ayudando a nivelar el campo de juego. Para lograr un progreso continuo, el capital de riesgo que respalda a las pequeñas empresas, y las compras públicas de estas compañías, deben afirmar una expectativa de seguridad como parte de los negocios.
Muchos restaurantes y establecimientos minoristas siguen siendo pequeñas empresas hoy en día, administradas por familias e individuos. En muchas de estas tiendas, existe un cierto nivel de desconfianza en la nube y las plataformas conectadas, en comparación con los sistemas de puntos de venta a los que pueden poner sus manos y sentir que tienen command. ¿Cómo ganamos la confianza y la atención de estas pequeñas partes interesadas, les ayudamos a asegurar las cosas con mayor seguridad internamente o pasamos a los servicios de seguridad en la nube? No podemos tener una respuesta que exija $ 4,000 o $ 40,000 para hacer la solución. En cambio, tenemos que encontrar todas las oportunidades posibles para dejar de usar servidores y hacer más y más capacidad de jardín amurallado para cosas como puntos de venta o pequeñas plataformas de ingeniería.
Cuando se trata de que las pequeñas empresas interconecten sistemas y pasen a los servicios en la nube para los consumidores, estas pequeñas empresas que poseen identidades son un desafío desde una perspectiva de confianza. Los foros y programas como las tecnologías OpenID que proporcionan estándares y permiten la identidad sin difundir la infraestructura de autorización innecesariamente han sido fundamentales para limitar el tamaño de este problema.
La seguridad abarca todo. Hay ejercicios básicos que pueden hacer como clientes comerciales para verificar su preparación. Soy un gran lover de SOAPA de ESG como un método para mapear qué activos tiene en los diferentes niveles de la organización. Hágase una pregunta básica: ¿puede mantener la integridad del handle cuando pasa de una «torre» —como en las instalaciones— de capacidad conectada a mapear los otros silos o los principales entornos de nube de su empresa híbrida? También agregaría que no cuesta nada seguir a algunas de sus personalidades de seguridad favoritas. Sigo a personas como Cisco Wendy Nather y Kate Moussouris, el CEO de Luta Protection que está ayudando incluso a las pequeñas empresas a comprender el mercado de las recompensas de errores y la divulgación de vulnerabilidades.
Aquí, también, la política pública potencialmente tiene un papel all-natural. El gobierno requiere capacitación en salud, por ejemplo en un restaurante, pero no la seguridad de la información necesariamente en las pequeñas y medianas empresas. En realidad, las consecuencias naturales y las motivaciones de las compañías de seguros pueden ser un aliado aquí, que requieren capacitación en higiene, seguridad y privacidad básicas de las computadoras como parte de la emisión de políticas de responsabilidad para las empresas.
P5: ¿Cuáles son algunas de las nuevas amenazas de ciberseguridad que podemos esperar ver el próximo año?
Espero ver el aumento de la explotación más significativa de las «costuras» en las integraciones en la nube. La reciente violación de CapitalOne fue relativamente benigna en el esquema de las cosas. El actor era un hacktivista fanfarrón, pero la cobertura de los medios enfatizó la debilidad de las integraciones en la nube para muchos que podrían tener más capacidad. Hemos visto picos en discusión en la web oscura en torno a esto, por lo que el perfil de la vulnerabilidad de la nube es mayor, y ahora tendremos que ver cómo se desarrolla el juego del gato y el ratón entre la ofensiva y la defensa.
Creo que vale la pena agregar, la siguiente amenaza no es tanto el desafío para mí, como la empresa que alcanza la próxima etapa de madurez en el entorno electronic. La gestión de activos, la reducción de vulnerabilidades y la preparación de la protección de las operaciones en la nube y la visibilidad son disciplinas críticas para la empresa, sin importar cuál sea la amenaza.
Protege tus dispositivos. Proteja su nube, no en silos, sino con una estrategia integrada. Exija a sus proveedores la capacidad de integrarse para mantener una imagen de amenaza coherente que puede usar para reaccionar fácilmente.
Para leer la Parte I de esta serie de dos partes, haga clic aquí.
