Por: Jaye Tillson / HPE
La tecnología por sí sola no resolverá los problemas de ciberseguridad. El progreso real requiere que los líderes reduzcan la confianza innecesaria, prioricen el riesgo y conviertan la seguridad en un proceso de mejora continua.
En las últimas semanas, he analizado cómo el perímetro de seguridad no ha desaparecido, sino que se ha multiplicado; por qué la confianza implícita que hemos depositado en nuestros entornos puede convertirse en una vulnerabilidad; por qué la seguridad debe evolucionar desde el control de acceso tradicional hacia la toma de decisiones continua; y cómo la IA está a punto de aumentar drásticamente la velocidad, la escala y la autonomía de esas decisiones.
Todos esos cambios tienen implicaciones significativas para la tecnología y la arquitectura, pero al llegar al final del Mes de la Concienciación sobre la Ciberseguridad, quiero concluir esta serie con algo de lo que me he convencido cada vez más durante mis casi treinta años trabajando en TI y ciberseguridad.
Muchos de los problemas más difíciles de ciberseguridad a los que nos enfrentamos hoy en día ya no son problemas tecnológicos. Son problemas de liderazgo.
Eso no significa que la tecnología no sea importante, porque claramente lo es. Las organizaciones necesitan sólidas capacidades de identidad, redes, protección de endpoints, nube y seguridad, y a medida que nuestros entornos se vuelven más distribuidos y los atacantes más rápidos, esas tecnologías adquirirán aún mayor importancia.
El problema radica en que la mayoría de las grandes organizaciones ya poseen una cantidad significativa de tecnología de seguridad.
Cuentan con firewalls, seguridad de endpoints, plataformas de identidad, sistemas de gestión de información y eventos de seguridad (SIEM), gestión de vulnerabilidades, controles de acceso a la red, herramientas de seguridad en la nube y una colección cada vez mayor de productos diseñados para resolver partes específicas del problema de la ciberseguridad. Muchas organizaciones han dedicado años a incorporar nuevas capacidades cada vez que cambiaba el panorama de amenazas, aparecía una nueva normativa o surgía un nuevo desafío de seguridad.
Sin embargo, las brechas de seguridad siguen ocurriendo, los atacantes siguen moviéndose lateralmente, los privilegios excesivos siguen existiendo y los equipos de seguridad siguen teniendo dificultades para comprender exactamente qué sucede en entornos cada vez más complejos.
Si bastara con comprar más tecnología de seguridad para resolver el problema de la ciberseguridad, ya lo habríamos resuelto.
La seguridad se ha vuelto increíblemente compleja.
Una de las cosas que más me preocupa de nuestra industria es que, si bien sin duda hemos logrado enormes avances en materia de seguridad, también hemos creado una complejidad extraordinaria.
Cada nueva herramienta crea una nueva política, una nueva fuente de telemetría, una nueva interfaz de gestión, una nueva integración y, potencialmente, un nuevo lugar donde alguien deba tomar una decisión. A menudo hablamos de defensa en profundidad, un principio que sigue siendo importante, pero llega un punto en que añadir más capas puede dificultar la comprensión del entorno y, por lo tanto, su seguridad.
He experimentado esto desde ambos lados de la industria. Pasé muchos años como profesional creando, gestionando y protegiendo entornos empresariales, donde el desafío rara vez radicaba en la falta de tecnología; se trataba de lograr que toda la tecnología que ya teníamos funcionara en conjunto, manteniendo al mismo tiempo la continuidad del negocio. Hoy, trabajando con organizaciones de todo el mundo, sigo viendo el mismo desafío fundamental, solo que a una escala mucho mayor.
Los equipos de seguridad disponen de mucha información, pero a menudo se ven abrumados por ella. El problema radica en transformar esa información en decisiones y, aún más importante, en convertir esas decisiones en reducciones significativas del riesgo. Ahí es donde el liderazgo cobra una importancia crucial.
La estrategia es fácil. La implementación es difícil.
Cuando John Spiegel, Gram Ludlow y yo comenzamos a trabajar en Zero Trust Done Right, dedicamos muchísimo tiempo a hablar con personas que realmente estaban intentando implementar la filosofía de confianza cero en organizaciones reales, porque queríamos entender qué diferenciaba a los programas que lograban un progreso genuino de aquellos que seguían estancados en documentos estratégicos, presentaciones e interminables debates sobre tecnología.
Una de las lecciones más importantes que aprendí fue que las organizaciones que progresaban no eran necesariamente las que tenían los mayores presupuestos, las tecnologías más novedosas o los programas de transformación más ambiciosos. Eran las organizaciones que sabían implementar.
Comprendieron qué debían proteger, identificaron dónde existía una confianza innecesaria, priorizaron los riesgos más importantes y, posteriormente, realizaron mejoras deliberadas con el tiempo. No esperaron a tener la arquitectura perfecta ni intentaron transformarlo todo simultáneamente, porque entendieron que la ciberseguridad nunca está realmente terminada.
Eso suena obvio, pero es sorprendentemente difícil de hacer.
Las grandes organizaciones cuentan con sistemas heredados que no se pueden reemplazar fácilmente, aplicaciones que nadie quiere usar, procesos de negocio que dependen de supuestos obsoletos, equipos con prioridades contrapuestas y tecnologías adquiridas a lo largo de décadas. Si a esto le sumamos fusiones y adquisiciones, la adopción de la nube, el teletrabajo, el Internet de las Cosas (IoT), la tecnología operativa (OT) y ahora la IA, la idea de que alguien pueda diseñar e implementar la arquitectura de seguridad perfecta para el futuro se vuelve cada vez más irreal.
Por lo tanto, el reto para el liderazgo no es crear la perfección, sino crear progreso.
La confianza cero es una decisión de liderazgo.
Esta es una de las razones por las que siempre me he resistido a la idea de que la confianza cero sea algo que una organización pueda comprar.
Obviamente, se requiere tecnología para implementarlo, y capacidades como el acceso basado en identidad, el acceso universal a redes de confianza cero (ZTNA), el acceso seguro al borde del servicio (SASE), la segmentación, la telemetría continua y la aplicación de políticas pueden ayudar a las organizaciones a eliminar la confianza innecesaria de sus entornos, algo en lo que nos centramos especialmente en HPE. Pero ninguna tecnología puede decidir en qué debe confiar una organización. Para ello, es necesario comprender el negocio.
¿Qué aplicaciones son las más importantes? ¿Qué datos tendrían el mayor impacto si se vieran comprometidos? ¿Qué usuarios realmente requieren acceso privilegiado? ¿Qué sistemas heredados generan un riesgo inaceptable? ¿Dónde debería implementarse primero la segmentación? ¿Qué nivel de fricción es apropiado para un proceso de negocio específico y qué nivel de riesgo está dispuesta a asumir la organización?
No se trata de cuestiones puramente técnicas. Son decisiones empresariales con consecuencias para la ciberseguridad.
El equipo de seguridad puede proporcionar la experiencia, la arquitectura y los datos necesarios para tomar esas decisiones, pero en última instancia, la dirección debe establecer prioridades, aceptar las ventajas y desventajas y crear un entorno donde la mejora continua de la seguridad pueda lograrse a lo largo del tiempo. Sin ese apoyo, la confianza cero corre el riesgo de convertirse en otro proyecto de seguridad. Con él, la confianza cero puede integrarse en el funcionamiento de la organización.
Mide el progreso, no la perfección.
La ciberseguridad también mantiene una relación incómoda con la medición, ya que a menudo nos resulta más fácil medir la actividad que los resultados.
Podemos contabilizar las vulnerabilidades corregidas, las alertas investigadas, las simulaciones de phishing completadas, los puntos finales protegidos y las herramientas de seguridad desplegadas, pero ninguna de esas cifras nos indica necesariamente si la organización es significativamente más difícil de atacar que hace seis meses. Creo que debemos mejorar mucho nuestra capacidad para medir la reducción de la confianza innecesaria y la disminución del alcance potencial de los ataques.
¿Cuántos usuarios tienen privilegios que ya no necesitan? ¿Qué parte del entorno puede alcanzar un dispositivo comprometido? ¿A cuántas aplicaciones se puede acceder simplemente porque alguien está conectado a la red corporativa? ¿Con qué rapidez se puede revocar el acceso cuando cambia el riesgo? ¿Con qué coherencia se aplica la política en entornos remotos, sucursales, campus, centros de datos y la nube?
Estas preguntas comienzan a desviar la conversación de la medición del nivel de seguridad actual hacia la medición de si la organización realmente está mejorando su seguridad. Y, lo que es más importante, brindan a los líderes información que pueden comprender.
El objetivo no es alcanzar un punto mítico en el que la organización se convierta en una organización de confianza cero al 100%, porque no creo que tal punto exista. La tecnología cambia, las empresas cambian, las personas cambian y, sin duda, los atacantes también, lo que significa que siempre habrá una nueva suposición que cuestionar, un nuevo privilegio que reducir y una nueva barrera que reforzar.
La seguridad no es un destino. Es un proceso de mejora continua.
La IA pondrá a prueba nuestro liderazgo tanto como nuestra tecnología.
La IA hace que esto sea aún más importante, ya que, comprensiblemente, las organizaciones se están moviendo rápidamente para aprovechar las oportunidades que crea, e inevitablemente se les pedirá a los equipos de seguridad que habiliten tecnologías y casos de uso que no existían cuando se diseñaron muchas de las políticas y arquitecturas actuales.
Como comenté en el artículo anterior, los agentes de IA introducirán nuevas identidades capaces de acceder a información y realizar acciones a velocidad de máquina, lo que hace que la identidad, el principio de mínimo privilegio, la segmentación y la autorización en tiempo de ejecución sean cada vez más importantes. Pero las preguntas difíciles volverán a ser cuestiones de liderazgo.
¿Dónde deberíamos permitir que la IA opere de forma autónoma? ¿A qué datos debería tener acceso? ¿Qué decisiones deberían requerir aprobación humana? ¿Qué sucede cuando un agente se comporta de forma inesperada? ¿Quién asume el riesgo cuando la IA actúa en nombre de la organización?
Los equipos de seguridad pueden ayudar a diseñar los controles, pero no pueden responder a esas preguntas por sí solos.
Y creo que las organizaciones que reconozcan esto a tiempo tendrán una ventaja significativa, ya que podrán adoptar la IA con confianza sin crear otra generación de confianza implícita que nos llevará los próximos veinte años intentar eliminar.
El mes de la concienciación sobre ciberseguridad debería durar todo el año.
El Mes de la Concienciación sobre la Ciberseguridad es valioso porque nos permite centrar la atención en la seguridad, recordar a la gente las buenas prácticas y entablar conversaciones que de otro modo serían difíciles de iniciar.
Pero los mayores desafíos de ciberseguridad a los que se enfrentan las organizaciones no pueden resolverse durante un solo mes del año.
Requieren un liderazgo dispuesto a cuestionar continuamente las suposiciones, eliminar la confianza innecesaria, reducir los privilegios, limitar el alcance de las consecuencias y tomar decisiones deliberadas sobre el riesgo, reconociendo al mismo tiempo que el entorno que protegen nunca dejará de cambiar.
A lo largo de estos cinco artículos, he evitado deliberadamente presentar la confianza cero como un destino final porque, después de años de trabajar con organizaciones que intentan implementarla, no creo que exista un estado final en el que alguien pueda declarar que el trabajo está terminado.
Solo queda la siguiente decisión deliberada, el siguiente privilegio reducido, el siguiente límite reforzado y la siguiente suposición cuestionada.
Por eso, la filosofía con la que terminamos Zero Trust Done Right se ha vuelto cada vez más importante para mí:
Lidera con determinación. Mantén la constancia con paciencia. Mejora continuamente.
Esas palabras se aplican al concepto de confianza cero, pero creo que también describen cómo debe ser cada vez más un buen liderazgo en ciberseguridad.
No necesitamos resolver todos los problemas de seguridad mañana mismo, y desde luego no necesitamos otro programa que prometa que una sola tecnología eliminará de alguna manera todos nuestros riesgos.
Lo que necesitamos es la disciplina para comprender dónde existen nuestros mayores riesgos, el liderazgo para decidir cuáles son los más importantes y la paciencia para seguir mejorando el medio ambiente, una decisión deliberada a la vez.
Porque el Mes de la Concienciación sobre la Ciberseguridad no debería consistir en estar más seguros durante 31 días.
