Ciberseguridad: Hacer más con menos

Los presupuestos del CISO no ha dejado de crecer en los últimos años, y generalmente lo ha hecho en la misma línea que la percepción del riesgo y el mayor coste de los controles.

Sin embargo, ahora nos encontramos en un momento en el que la proliferación (y sus costes asociados) de una amplia gama de servicios/sistemas de protección se enfrenta a un contexto macroeconómico complicado. El responsable de la seguridad informática tiene la difícil tarea de compaginar el nivel de seguridad con el creciente panorama de amenazas, reduciendo al mismo tiempo los costes y el esfuerzo que invierte.

La evolución permanente en materia de seguridad no puede resolverse gastando más en nuevas herramientas sino mejorando la eficacia en la extracción del valor que ofrecen. En lugar de elegir las soluciones de seguridad "best in class", ha llegado el momento de adoptar estrategias "best in suite" que contrarresten el riesgo con un enfoque global. Esto significa elegir una solución basada en los resultados que aporta, en lugar de únicamente en las características que se buscan.

Alejarse de la cuestión de la funcionalidad en favor de los resultados

El enfoque tradicional de elegir las "mejores soluciones de su clase” para cada problema de seguridad conduce a dos grandes retos: el aumento de los costes y que la infraestructura de seguridad sea ineficaz desde el punto de vista operativo. Esto se debe a que cada solución requiere una compra y una administración por separado, lo que da lugar a una arquitectura de seguridad compleja y engorrosa. Además, cuando las compras de tecnología se basan en un conjunto de requisitos de control conocidos, no se evalúan los “casos extremos” ni su valor adicional inmediato o futuro.

Esta circunstancia tiene su origen en la forma en que los responsables de la toma de decisiones seleccionan una solución. En lugar de explorar nuevas posibilidades, se centran en la tecnología que hay que sustituir al actualizar la infraestructura de seguridad. Al hacerlo, se limitan a las funciones y características existentes, sin plantearse nuevas posibilidades.  Ven la tecnología entrante a través del prisma de la antigua.

Un enfoque tan limitado de las soluciones conocidas impide que los decisores noten y evalúen las nuevas soluciones fuera de su zona de confort. También les impide cumplir las expectativas de la alta dirección de lograr más seguridad con menos esfuerzo y costes. Para contrarrestar esta situación, los directores de seguridad de las TI deben comenzar a orientar su estrategia en función de los resultados deseados en materia de seguridad y de los objetivos empresariales, y no sólo en función del éxito que tenga un producto a la hora de cumplir los objetivos previamente determinados.

Zero Trust: Integrar la seguridad

Los CISO deben centrarse en el resultado deseado de una solución, más que en prevenir amenazas puntuales como el ransomware. Deben comprender cómo estas amenazas consiguen triunfar y bloquearlas en su origen. El ransomware, por ejemplo, es un modelo de negocio rentable porque puede propagarse lateralmente dentro de un sistema de TI infectado y dirigirse a sistemas críticos para robar o cifrar datos. Dado que las empresas no pueden eliminar todos los ataques, deben tratar de impedir que los atacantes se desplacen por la infraestructura de red para conseguir hacerse con los datos. Por lo tanto, una herramienta adecuada en este ámbito debe ser capaz de ayudar a bloquear los movimientos laterales de los actores de la amenaza en el entorno de la red.

Para evitar el acceso a las infraestructuras de red implícito en la confianza, los directivos deben adoptar un enfoque más amplio. Con los modelos de trabajo híbridos que ya son práctica habitual, es importante asegurar el acceso directo de cada usuario a sus aplicaciones requeridas, en lugar de asegurar el acceso de esos mismos usuarios a “la red”, y luego confiar en las propias aplicaciones para hacer cumplir la política de acceso y la seguridad. Un enfoque de Security Service Edge (SSE) ayuda a garantizar dicha seguridad a través del modelo de confianza cero.

Una plataforma “zero trust” determina y supervisa el acceso de cada usuario a su aplicación o servicio web requerido, en función de su función y previamente definido por la organización. Esta seguridad se le aplica a la conexión sobre la marcha, tanto si la aplicación está almacenada en la nube como en la red corporativa, y el principio del acceso con mínimos privilegios se aplica de forma centralizada, garantizando que el acceso granular a nivel de la aplicación individual sustituye al acceso a la red.

Debido a que se orienta a la intermediación de conexiones en línea por sesión, este modelo de SSE también puede utilizarse para los requisitos de seguridad de los brokers de seguridad de acceso a la nube (CASB, por sus siglas en inglés) o de prevención de pérdida de datos (DLP, por sus siglas en inglés). La clave está en los derechos de acceso basados en políticas, ya sea para el acceso a aplicaciones permitidas, servicios web o incluso a nivel de documentos individuales. Además, se puede utilizar un enfoque basado en la confianza cero para los permisos de acceso de usuarios, dispositivos o cargas de trabajo en entornos digitalizados. En lugar de muchas tecnologías diferentes que no están conectadas, interviene una suite o plataforma con funciones altamente integradas.

En definitiva, una plataforma Zero Trust aumentará la visibilidad de la estructura de seguridad, definirá políticas de seguridad granulares, impedirá el movimiento lateral de los atacantes y reducirá la superficie de ataque, todo ello con una sola herramienta y la arquitectura que utiliza para ofrecer resultados de seguridad.

Pasos hacia una seguridad más orientada a resultados

Para mejorar y modernizar la seguridad, los CISO deben evolucionar de una seguridad como conjunto de capacidades técnicas a una mentalidad estratégica orientada a los resultados. He aquí algunos pasos para ayudar a lograr que la seguridad sea mayor de forma más efectiva y también eficiente:

1)    Evalúe la seguridad existente

El primer paso es aceptar la necesidad de modernizar la seguridad. Incluso en un entorno económico difícil, los CISO no pueden permitirse tener miedo al cambio. Es importante comunicar el razonamiento sobre cómo puede beneficiar un proyecto de modernización a la cuenta de resultados, así como a la seguridad. Para garantizar que la transición a una nueva seguridad sea neutra desde el punto de vista económico, los responsables de seguridad deben identificar y eliminar cualquier despilfarro y duplicidad en su infraestructura actual.

Hágase la siguiente pregunta: ¿qué tecnologías tenemos para cumplir nuestros objetivos de seguridad y de negocio? Esto exige un inventario de todas las soluciones de seguridad y sus prestaciones. Los responsables de seguridad también deben tener en cuenta los marcos de seguridad instalados, ya que pueden ayudar a lograr los resultados deseados. Una vez definidos los resultados, los CISO pueden utilizarlos como base para las decisiones de la dirección sobre cómo gestionar los riesgos.

2)    Identifique las posibles pérdidas de eficacia

Un análisis exhaustivo de las tecnologías de seguridad en uso puede revelar áreas de coincidencia y duplicidad. Éstas pueden crear ineficiencias al aumentar la carga de trabajo administrativo y los costes. Para consolidar la infraestructura y optimizar el rendimiento de la seguridad, es necesario identificar y eliminar estas redundancias. Esta suele ser la forma más eficaz de ahorrar costes para las empresas.

En el pasado, la redundancia ha surgido del hecho de que las tecnologías de seguridad se han introducido de forma incremental a medida que surgían las necesidades. Con el tiempo, esto supone una acumulación de costes, ya que una gran diversidad de sistemas requiere administración y mantenimiento. Un enfoque "best-in-suite" es capaz de eliminar estas ineficiencias combinando una mayor funcionalidad y reduciendo al mismo tiempo los gastos administrativos. De este modo, los responsables pueden eliminar gradualmente los sistemas heredados cuya configuración y actualizaciones continuas requieren mucho tiempo para su mantenimiento manual.

3)    Defina los objetivos deseados

Para iniciar un cambio en el ámbito de la seguridad, es importante tener una perspectiva de conjunto que vaya más allá de las tecnologías individuales. Al mismo tiempo, también es importante examinar cómo la consolidación puede respaldar las necesidades de digitalización de una empresa. ¿Cuáles son exactamente los requisitos de seguridad para los entornos de producción digitalizados, los servicios web o los nuevos estándares de comunicación como el 5G? Estos deben incluirse en la definición de los resultados buscados.

Un enfoque de la seguridad orientado a resultados puede ayudar a las empresas a integrar la totalidad de las operaciones empresariales. En lugar de centrarse en las tecnologías que deben sustituirse, pueden aprovechar la seguridad como una ventaja para la empresa. La seguridad debe posicionarse ante los directivos como una ventaja empresarial: no solo como una forma de prevenir las pérdidas derivadas de un ataque, sino como una vía para digitalizar de forma segura más aspectos de la empresa. Un modelo de plataforma de seguridad que siga las mejores prácticas constituye la mejor base para conseguirlo.

4)    Esté preparado para valorar las prestaciones no solicitadas

El "RFP" es de gran utilidad en las compras y ha ayudado durante muchos años a garantizar el nivel de costes adecuado y a evitar malas decisiones de compra, pero su rigor a la hora de solicitar lo "necesario conocido" impide que las compras por suites puedan brillar con luz propia.  Trate de asegurarse de que cualquier proceso de solicitud de presupuestos tenga incorporada cierta flexibilidad para puntuar formalmente y/o asignar valor a las prestaciones que queden fuera del estricto conjunto de requisitos funcionales.

La vista puesta en el futuro

Con una clara idea de lo que quieren conseguir con un determinado enfoque de la seguridad, las empresas pueden ahorrar costes y transformar sus modelos de negocio al mismo tiempo. Perseguir la neutralidad de costes de la seguridad con una clara consolidación del hardware existente no solo conseguirá mejorar rápidamente la situación de una empresa, sino que la preparará para abrazar un futuro digital.

Marc Lueck, CISO EMEA Zscaler