Los incidentes de seguridad son la &#39punta del iceberg&#39, dice …



Pete Cooper, subdirector de defensa cibernética de la Oficina del Gabinete del Reino Unido, enfatizó la importancia de los fundamentos de seguridad, la colaboración y la diversidad en su discurso de apertura de Black Hat Europe.

Un negocio resiliente se compone de varias partes móviles: una cadena de suministro, fabricantes, servicios, ingenieros y muchas otras partes que trabajan juntas para garantizar que una empresa sea segura. La colaboración entre estos grupos puede ayudar a identificar riesgos y predecir incidentes de seguridad antes de que ocurran.

«Siempre pensamos en los incidentes porque los incidentes acaparan los titulares», dijo Pete Cooper, subdirector de defensa cibernética de la Oficina del Gabinete del Reino Unido. «Pero son los eventos, los cuasi accidentes, los problemas todas esas cosas que suceden debajo de la superficie son todas las actividades que realmente te ayudarán a predecir dónde sucederán tus incidentes».

Esta fue una lección que Cooper aprendió como oficial de seguridad de vuelo en la Fuerza Aérea y luego aplicó a la ciberseguridad, explicó en su discurso de apertura de Black Hat Europe. La gente le traía problemas y riesgos, por lo que salían a la superficie de las organizaciones y se abordaban con anticipación.

«Cuanto más entendemos lo que está sucediendo debajo de la superficie, nos ayuda a comprender y predecir mejor dónde sucederán esos incidentes para que podamos prevenirlos», anotó.

No fue el único paralelo que Cooper, un ex piloto de aviones rápidos de la RAF, trazó entre volar aviones rápidos en la Fuerza Aérea y trabajar en ciberseguridad. Hizo hincapié en la importancia de los fundamentos y advirtió contra la distracción de las nuevas tecnologías. La capacidad de gestionar el riesgo, detectar y protegerse contra los ataques y minimizar su impacto son los elementos básicos que permiten todo lo demás. Estos fundamentos «tienen que convertirse en una segunda naturaleza», independientemente de lo que haga el adversario, dijo.

Siempre había alguien que podía volar más rápido, con tecnología más avanzada y mejor equipo, continuó Cooper. Sin embargo, no hubo ningún punto en el que la tecnología determinara el éxito. El mismo principio se aplica cuando se defiende contra ciberdelincuentes cada vez más avanzados, señaló.

«No vamos a entrar y salir de la &#39tecnología&#39 de nuestros desafíos porque ganar y perder no está definido por la tecnología, está definido por nuestro pensamiento», dijo Cooper. «Necesitamos superar nuestros desafíos desafiando nuestro pensamiento, y eso nos permitirá defendernos de nuestros adversarios».

Si un atacante conoce su tecnología mejor que usted, tendrá un mal día, agregó.

Las empresas deben conocer sus fortalezas y debilidades. Cooper explicó otra lección que aprendió del mundo de la aviación: la importancia de los sistemas de prueba. Cuando un nuevo avión entra en servicio, primero lo evalúan pilotos de pruebas objetivas que desafían las suposiciones, aprenden qué funciona y qué no, y exploran los problemas potenciales que los pilotos podrían enfrentar en el avión.

Lo mismo se aplica a la seguridad de nuevos sistemas y servicios. «Nuestros usuarios no son los pilotos más cibernéticos y debemos asegurarnos de que todo esté seguro desde el primer momento», dijo.

Y no es suficiente pararse ahí también debe generar confianza en el sistema. La defensa en profundidad es elementary, continuó, porque la gente puede equivocarse. Los usuarios harán clic en los enlaces, un equipo de back-finish podría configurar un servicio incorrectamente y la resiliencia debe extenderse a las personas, los procesos y la tecnología.

«Solo puede ganar confianza en su capacidad de recuperación si capacita y ejercita a su gente, sus procesos y su tecnología», dijo Cooper. «Y eso le dará la confianza de que no importa lo que le arrojen, puede volver a un estado seguro».

Construyendo una cultura segura: informes, diversidad, colaboración
Cooper aconsejó una «cultura de informes» para crear compromiso entre los empleados y un clima en el que puedan informar errores y cuasi accidentes. Puede ser difícil para las personas admitir errores, y es essential que comprendan el límite entre comportamiento aceptable e inaceptable.

«Si su organización y su equipo están planteando estos problemas, entonces necesita tener una cultura flexible», dijo. “Nuestros adversarios evolucionan y, por lo tanto, nosotros también tenemos que hacerlo. La seguridad no es una tarea estática y necesitamos esa flexibilidad, tanto técnica como organizativa, para responder a nuestros desafíos.

Además de alentar a los empleados a informar errores, Cooper sugirió implementar una «cultura de aprendizaje» para que comprendan por qué y cómo sucedió algo, así como una «cultura de cuestionamiento» para capacitar a las personas para que hablen si creen que algo puede no estar bien.

Para colaborar es necesario poder comunicarse, continuó. Las organizaciones pueden beneficiarse de escuchar diversas perspectivas y ampliar sus horizontes.

«El valor serious de la colaboración proviene de ver el mundo a través de esas diversas perspectivas, porque al hacerlo, se comienza a crear perspectivas compartidas», dijo Cooper. «Empiezas a ampliar los horizontes conjuntos para poder ver más y desarrollar una mejor comprensión conjunta».

Estas perspectivas compartidas pueden cambiar la forma en que una empresa ve el riesgo y utiliza los recursos, agregó, y señaló que «las mejores soluciones son esas soluciones conjuntas».

Al construir estos equipos, la industria de la seguridad puede crear caminos para que ingrese la próxima generación, señaló Cooper, quien fundó la primera competencia de estrategia cibernética del Reino Unido para estudiantes universitarios. Si la seguridad quiere ser más diversa, es hora de que sus profesionales creen rutas más diversas para que los estudiantes aprendan y entren al espacio.

«Siempre tenemos que pensar en cómo podemos ayudarlos a llegar a donde estamos ahora», dijo sobre la próxima generación. «No hay un camino establecido para la ciberseguridad».

Kelly Sheridan es la editora de private de Dim Studying, donde se enfoca en noticias y análisis de ciberseguridad. Ella es una periodista de tecnología empresarial que anteriormente reportó para InformationWeek, donde cubrió Microsoft, y Seguros y Tecnología, donde cubrió finanzas … Ver biografía completa

Lectura recomendada:

Más información





Enlace a la noticia primary