Seguridad de sentido común: aprovechando el diálogo y …



A veces, las buenas herramientas anticuadas pueden ayudar a una empresa a crear una estrategia de gestión de riesgos rentable.

Mitigar los riesgos relacionados con las amenazas y vulnerabilidades de seguridad puede ser un negocio complicado. ¿Qué priorizas? ¿Dónde está el límite en términos de cuántas herramientas y servicios debe usar? ¿Qué vulnerabilidades pueden permanecer incluso después de haber tomado medidas?

También hay consideraciones presupuestarias, y para muchas organizaciones, una gran escasez de habilidades de seguridad disponibles para ayudar a abordar la creciente cantidad de amenazas. De hecho, investigación de (ISC) ² estimó un déficit de más de 4 millones de expertos en ciberseguridad en todo el mundo, con el 51% de los encuestados que dijeron que sus organizaciones tenían un riesgo moderado a extremo debido a la escasez.

Para abordar estos desafíos de manera efectiva, todos debemos adoptar un enfoque de seguridad con un sentido más común. A veces, el diálogo y la colaboración honestos pueden ayudar a una empresa a crear una postura de seguridad rentable y del mundo actual. Y a veces, las respuestas de sentido común están justo en frente de nosotros, si solo nos tomamos el tiempo para buscarlas y actuar en consecuencia.

Veamos algunos ejemplos de cómo funciona este enfoque.

Evaluar los riesgos
Una pequeña empresa de inicio podría tener un presupuesto que solo respalde $ 1 millón por año para herramientas, servicios de seguridad cibernética y un empleado de seguridad dedicado. Pero el equipo responsable de TI reconoce que este enfoque no será suficiente, dadas las crecientes amenazas de seguridad que enfrenta la empresa.

En lugar de limitarse a hacer menos y esperar lo mejor, el equipo adopta un enfoque proactivo y colaborativo y explica los posibles riesgos para el liderazgo y la junta directiva de la compañía.

Si la junta evalúa la situación y concluye que los riesgos son razonables, puede aprobar la estrategia actual. O podría decir que los riesgos son inaceptables y recomiendan duplicar el presupuesto y comprometer a dos empleados a la seguridad.

Por ejemplo, estaba en el consejo de una gran empresa local en Oregon. Los funcionarios de la compañía debatían si restringir el sitio website corporativo solo al tráfico website local para reducir el riesgo de un ataque.

Sin embargo, cuando se señaló que las empresas locales eran responsables de solo la mitad de los ingresos generales de la compañía, los funcionarios acordaron que no tenía sentido restringir el tráfico. En cambio, dedicaron más presupuesto a asegurar la empresa y su sitio website.

Otro ejemplo de mi propia empresa ilustra este punto. Solíamos ofrecer un producto «freemium», una versión gratuita y limitada de nuestro program que es excelente para generar clientes potenciales. Pero pronto nos dimos cuenta de que estábamos poniendo demasiados recursos en la gestión de esta parte del negocio. También vimos que la exposición a la seguridad era demasiado grande y que la estrategia podría ser contraproducente y dañar nuestra reputación.

Decidimos suspender la versión, redirigiendo el presupuesto al advertising para atraer clientes empresariales, y terminamos con resultados mucho mejores.

En otro caso, presencié a un equipo de CIO y CTO enfrentar un ataque de ransomware. En el transcurso de unas pocas horas en un domingo, muchas computadoras utilizadas por el equipo de investigación y desarrollo se vieron comprometidas. Todos los datos en estos sistemas se cifraron como resultado del ataque.

El atacante dejó un archivo de texto Léame en el escritorio de un usuario, indicando que los archivos habían sido cifrados, y para descifrar, el usuario tuvo que adquirir una herramienta. Eso implicaría enviar un correo electrónico con la identificación own del usuario, recibir una prueba gratuita para descifrar algunos archivos y luego asignarle un precio para recuperar el saldo.

Después de recibir instrucciones del atacante sobre cómo pagar la herramienta de descifrado y luego realizar el pago, el usuario lo recibiría. El mensaje terminó con una advertencia: «¡No intentes hacer algo con tus archivos tú solo. ¡Romperás tus datos! ¡Solo nosotros (podemos) ayudarte!»

La buena noticia para ese equipo en individual fue que la compañía tenía la práctica de separar los sistemas de producción de las computadoras de I + D, y tenía todos sus datos respaldados en la nube cada hora.

Estas dos medidas básicas pero fuertes permitieron a la organización de TI ignorar el ataque y recuperar el 90% de sus datos de la copia de seguridad en menos de 24 horas. Y debido a la práctica de separar los sistemas de producción y de I + D, la producción de la empresa no se vio perjudicada de ninguna manera.

Así funciona el sentido común con la ciberseguridad. La protección de los sistemas y los datos no tiene que ser complicada o implicar pasar por una larga cadena de comando para obtener aprobaciones. A menudo es un proceso de colaboración y eso implica explicaciones claras de los problemas y cómo se pueden resolver.

Rol de entrenamiento
Brindar capacitación a los empleados para que puedan reconocer y manejar amenazas potenciales es crítico y la experiencia de gamificación ayuda a la retención. Por ejemplo, los rangos cibernéticos permiten entornos de TI complejos que brindan experiencias prácticas en escenarios del mundo genuine. A través de estos, los estudiantes pueden ser desafiados a manejar amenazas realistas con herramientas exactas. Este enfoque de capacitación interactiva ha demostrado ser una solución proactiva fuerte para mitigar riesgos.

Una mejor capacitación puede ayudar a las organizaciones a enseñar a los empleados a evitar riesgos y trampas, como ser víctimas de intentos de phishing, usar dispositivos externos sin protección e instalar software inseguro.

Nunca ha habido un momento más importante para que las organizaciones practiquen la seguridad de sentido común y enfaticen la colaboración entre las partes interesadas. Nuevas amenazas y vulnerabilidades están surgiendo todo el tiempo, sin embargo, muchas compañías están lidiando con presupuestos de seguridad limitados y la brecha de habilidades de seguridad cibernética en curso.

Al ser proactivos sobre la seguridad y fomentar un diálogo abierto y claro sobre las amenazas y cómo abordarlas, las empresas pueden proteger mejor sus activos de información. Es de sentido común.

Contenido relacionado:

El Dr. Zvi Guterman cofundó CloudShare en 2007. Anteriormente cofundó y se desempeñó como CTO en Safend, una compañía líder de seguridad de punto ultimate, y se desempeñó como arquitecto jefe en el grupo de infraestructura IP de ECTEL, un proveedor líder de soluciones de monitoreo para IP, … Ver biografía completa

Más thoughts





Enlace a la noticia original