Antes de dar inicio a nuestro blog, debemos definir lo que es un CISO, la palabra es una abreviatura en inglés para el cargo de “Chief Information Security Officer” o el Director de Seguridad de Información, una vez aclarado el término, podemos continuar. Cuando una empresa sufre un ataque informático, toda la atención se vuelca al control de daños y a la protección de los sistemas para evitar mayores daños y futuras violaciones. Sin embargo, frecuentemente olvidamos el rol que desempeñan los profesionales IT entre la locura y el caos que se producen cuando se sufre un ataque y nuestra seguridad se ve afectada. Una vez pasado el evento, todos quieren saber cómo sucedió y lo más importante, a quién culpar.
Es aquí cuando la atención recae sobre los profesionales de IT en la empresa, ya que las consecuencias de un hackeo exitoso tienden a recaer sobre ellos, ya que son el «objetivo fácil” de alguna forma, dado que el personal de este departamento siempre está en contacto directo con los piratas informáticos. Sigue leyendo para obtener más información sobre por qué los profesionales IT se meten fácilmente en problemas después de un ataque, así como lo qué pueden hacer para protegerse tanto a nivel personal como profesionalmente.
- Los CISO pueden ser despedidos (o peor) por un incidente de seguridad
- Los peligros del mundo de hackers de sombrero blanco
- Los profesionales de IT negligentes también pueden enfrentar la peor parte
- Los profesionales de IT no esperan ser hackeados, ellos previenen estos eventos
Los CISO pueden ser despedidos (o peor) por un incidente de seguridad
Cuando te enfrentas al desafío de un hackeo inminente, la respuesta y pasos que toman los profesionales de IT, especialmente aquellos que tiene roles de líderes de seguridad dentro de una empresa u organización, como los CISO y los CTO, son de suma importancia, no sólo para salvaguardar los sistemas de la empresa, sino también para proteger su carrera. Las consecuencias más comunes para un profesional de IT que no reacciona frente a un evento de piratería informática de manera adecuada es la pérdida de su trabajo y la presentación de cargos en su contra.
¿Qué sucede cuando sus respuestas parecen ser “cuestionables”? Este es el caso del exdirector de seguridad de Uber, Joe Sullivan, quien se vio obligado a hacer un pago a un grupo de piratas informáticos por $100,000 en Bitcoin después que estos extrajeran la información de 57 millones de clientes de Uber. Cuando el evento fue descubierto, este fue despedido y acusado de obstrucción de la justicia y encubrimiento de un delito grave cuando el nuevo director ejecutivo de la empresa se enteró; su caso no es el único, ya que en el informe Radware referente al Estado de la seguridad de las aplicaciones web del 2018, la empresa informó que el 23 % de las empresas en algún momento han despedido ejecutivos motivados a un ataque cibernético.
Estos escenarios pueden ser una fuente de pesimismo para los profesionales IT y los jefes de seguridad, sobre todo cuando los piratas informáticos se infiltran en los sistemas que son responsables de proteger. Sin embargo, de acuerdo a un estudio de la Universidad Goldsmiths de Londres y Symantec, el 26% de los profesionales de seguridad IT han experimentado una brecha informaron que era menos probable detectar debido al estrés que supone su trabajo, lo cual es comprensible, ya que para estos funcionarios el miedo a un evento es más aterrador que el peligro en sí mismo, pero, ¿qué pasa con los ataques que no ves venir?
Los peligros del mundo de hackers de sombrero blanco
No hace falta decir que los piratas informáticos son personas altamente inteligentes, capaces de aprovechar de tus emociones y asegurarse de que todos sus movimientos estén planeados cuidadosamente, lo cual no es bueno para los profesionales de IT que corren el riesgo de caer en sus manos. Un comentario inocente y sin pretensiones hecho con la intención correcta al comunicarse con un hacker puede malinterpretarse fácilmente, lo cual pone en riesgo a los profesionales de IT de ser culpables de cualquier intrusión.
Incluso estando en el otro lado de la cerca, en el mundo de los hackers de sombrero blanco, las líneas pueden volverse borrosas muy rápido, ya que lidiar con piratería significa lidiar con actores maliciosos, lo cual es un peligro en sí mismo. Así es el caso de los consultores de seguridad IT que operan como cazadores de recompensas en la detección de errores y a menudo se enfrentan a exploits de día cero, un ámbito en el que expertos en codificación rastrean y comparten vulnerabilidades y ofertas comerciales, con empresas que están en riesgo como parte de sus esfuerzos para ayudar a proteger su entorno.
Consultores de seguridad IT en la zona gris
En un entorno así es difícil distinguir los comportamientos éticos de las tácticas maliciosas, ya que toca enfrentar cazadores de errores de sombrero blanco que presionan a un CISO a llevar cabo una misión pagada para volver a la seguridad, hasta a piratas informáticos de sombrero negro que venden sus hallazgos al mejor postor. Nos excusamos por el complejo juego de palabras, pero en realidad a estos funcionarios les toca lidiar con 50 tonos de gris; si aspiras a un cargo en esta línea de trabajo, asegúrate de llevar un historial y una actitud impecables para evitar ser el próximo hacker ético autoproclamado en la cárcel.
La situación tampoco es fácil para los hackers de sombrero blanco, vamos a fijarnos brevemente en el caso de los hackers éticos Justin Wynn y Gary DeMercurio, quienes recibieron la autorización para realizar una prueba de penetración profesional por parte del estado de Iowa, que había firmado un contrato con el empleador de Wynn y DeMercurio, Coalfire Labs. Una vez que iniciaron su trabajo, fueron arrestados por el departamento del alguacil de su condado, y fueron acusados de allanamiento de morada y robo digital, además de ser dejados por su cuenta para defenderse y enfrentando altas probabilidades de ir a prisión, lo cual ilustra cómo ser el bueno puede ser una cuestión de percepción en este mundo intrínsecamente complejo de la seguridad IT.
Los profesionales de IT negligentes también pueden enfrentar lo peor
No tienes que ser un CISO, o un consultor de seguridad IT renombrado para meterte en problemas por un hackeo, ya que incluso los gerentes corren el riesgo de ser despedidos si no toman las medidas necesarias para garantizar la seguridad de su empresa, por lo que es bueno saber qué medidas pueden tomar para salvaguardar tus sistemas.
1. Shadow IT
Shadow IT se refiere al uso de sistemas, dispositivos y software IT que no están aprobados explícitamente por el departamento, por ejemplo un shadow IT es usar tu cuenta de correo electrónico personal para realizar negocios, el problema con esta táctica de seguridad es que es un dolor de cabeza para los profesionales IT, ya que les impide mantener entornos seguros.
Para identificar y gestionar shadow IT, los administradores de IT pueden hacer lo siguiente:
- Supervisar tu red en busca de dispositivos nuevos y desconocidos.
- Priorizar los riesgos bloqueando los servicios que representen alguna amenaza a través de tu infraestructura existente o pidiendo a los usuarios que se abstengan de usarlos.
- Crear una lista de software y aplicaciones aprobados más allá del software estándar y compartirla con todos los empleados.
- Ofrecer soluciones alternativas a los productos de software que han sido bloqueados o prohibidos.
- Restringir el acceso a aplicaciones de terceros, como SharePoint y DropBox
- Ofrecer amnistía a los usuarios de shadow IT y desarrollar soluciones más seguras.
2. Seguridad del ecosistema de correos
Los ataques phishing son una de las formas más comunes de piratería que tenemos que enfrentar en la actualidad, los administradores IT pueden proteger sus sistemas de las amenazas que representan los ataques a correos electrónicos comerciales mediante el uso de una fuente de defensa confiable como EasyDMARC. EasyDMARC ofrece protección de dominio y herramientas para monitorear cada aspecto de la autenticación de tus correos electrónicos; al autenticar y proteger tus registros DMARC, SPF, BIMI y DKIM, los administradores IT acceden a una protección poderosa y efectiva contra los ataques phishing.
Al hacer uso de los servicios de EasyDMARC, puedes:
- Evitar la fuga de datos
- Proteger tu empresa contra pérdidas financieras
- Prevenir la pérdida de clientes
- Asegurar tus cuentas de correo electrónico
3. Actualizaciones del sistema
El uso y administración de parches de seguridad es una excelente manera de asegurar que tus sistemas nunca estén desactualizados y de que estás solucionando las fallas de seguridad, evitando así que los piratas informáticos los exploten. Ten presente que es una medida que tu CISO agradecerá, este proceso se enfoca en mitigar el riesgo e involucra la adquisición, revisión e implementación de parches, que son piezas de código y software, que ayudan a mejorar el funcionamiento de los sistemas de tu empresa.
Al usar la administración de parches, puedes:
- Reducir la superficie de ataque para minimizar tu exposición a ciberataques.
- Mejorar la productividad ya que todas tus aplicaciones tendrán las últimas actualizaciones.
- Prevenir los tipos de malware que pueden propagarse rápidamente a través de una red.
- Identificar si alguno de tus proveedores de software ya no está funcionando.
Los profesionales de IT no esperan ser hackeados, ellos previenen estos eventos
Lo mejor que pueden hacer los profesionales IT es hacer todo lo posible para proteger los sistemas de sus empresas; desde los CISO hasta los gerentes de IT deben estar al tanto de protocolos apropiados de seguridad, ya que esto va en pos del bienestar de la empresa, y protege sus puestos de trabajo. Si eres un profesional IT, recuerda consultar estos tres métodos y utilizar este software de protección:
- Monitoreo de shadow IT.
- Asegura tus sistemas de correo electrónico a tu gusto con las herramientas de EasyDMARC.
- Actualiza tus sistemas usando procesos de actualización continua como la gestión de parches.
Si estás trabajando en la zona desconocida donde los profesionales IT ingresan a las trincheras digitales para detectar y combatir a los piratas informáticos, asegúrate de tener una conducta irreprochable en lo que haces y las razones por las cuales lo haces. Sufrir un ataque cibernético no es una experiencia agradable, y es probable que haya mucho en juego si eres víctima de un pirata informático o si terminas enredado en un caso complejo de brecha de seguridad, por lo tanto, asegúrate de estar atento, ten cuidado cuando te comuniques con un posible actor cibernético y mantente protegido.