Organizaciones de todo el mundo han adaptado sus estrategias de seguridad al Marco de Ciberseguridad (CSF) del NIST, ya que ofrece una buena forma de desglosar las necesidades tácticas de los equipos modernos de ciberseguridad. La última versión, el CSF 2.0, introdujo una categoría general que se había pasado por alto de forma lamentable: la gobernanza.
Lo más importante que hay que tener en cuenta es que el CSF no está concebido necesariamente como una aplicación del tipo «empieza aquí, termina allí». El objetivo es que las organizaciones inviertan en personas, procesos y tecnología en todo el marco de forma equilibrada, de manera que refleje el riesgo empresarial.
Las áreas prioritarias del Marco Estratégico Común (CSF)
«Identificar» es un elemento fundamental, ya que no se puede proteger ni priorizar los esfuerzos si no se sabe con qué se cuenta. ¿Qué es fundamental? ¿Qué está regulado? ¿Qué es necesario para que nuestra empresa funcione y genere ingresos?
La mayoría de los equipos tienen dificultades con este aspecto, sobre todo debido a la prevalencia de las TI descentralizadas y las TI en la sombra. Aparte del CSF, la mayoría de los demás marcos de ciberseguridad y directrices normativas exigen identificar y catalogar los sistemas y los datos como paso fundamental.
«Proteger» se refiere a las tecnologías implementadas para impedir, desde el principio, que los atacantes accedan a los datos. Esto abarca toda la gama de tecnologías, desde escáneres de vulnerabilidades hasta la gestión de identidades y accesos, pasando por antivirus y antimalware.
Estas herramientas deben configurarse correctamente y, lo que es más importante, implementarse en todos los dispositivos y sistemas de la organización. Pero no siempre es así. A veces, las compras se realizan con tarjetas de compra corporativas, y no a través del departamento de TI. Otras veces, los sistemas simplemente no se actualizan correctamente y, por lo tanto, ejecutan software obsoleto y vulnerable.
«Detectar» consiste en colocar trampas y garantizar que las alarmas se activen cuando se produzcan acciones que indiquen algo fuera de lo normal. Lamentablemente, muchas organizaciones cuentan con docenas de herramientas que generan millones de alertas para detectar a los autores de amenazas que se infiltran en sus sistemas.
Esta avalancha de alertas, que pueden indicar o no realmente algún problema, puede provocar «fatiga de alertas»: dedicar una cantidad ingente de tiempo a investigar posibles anomalías para, al final, descubrir que se trataba de falsos positivos. Esto también desvía la atención de otras alertas, que podrían ser amenazas reales.
A continuación, tenemos las dos «R» del marco: «Responder» y «Recuperarse». Estas dos áreas de la ciberseguridad son las que ponen a prueba tu temple. Las organizaciones sufrirán brechas de seguridad. No es cuestión de «si» ocurrirá, sino de «¿cuándo y con qué gravedad?».
Para destacar en «Responder», los equipos deben estar coordinados en muchos aspectos: un buen liderazgo, una estrategia y unas tácticas sólidas, una documentación y una planificación excelentes y, lo más importante de todo, la práctica.
En lo que respecta a la respuesta ante incidentes, no estarás a la altura de las circunstancias, sino que te limitarás al nivel de preparación que tengas. Si no practicas ni pones a prueba los procesos que has establecido, te estás exponiendo a un posible fracaso o, como mínimo, a sufrir más estrés del necesario cuando se produzca un incidente real.
La «recuperación» es donde se pone a prueba la eficacia. Tras la inevitable brecha de seguridad, corresponde a todos los miembros de los equipos de seguridad y de TI restablecer el buen funcionamiento de los sistemas y entornos. Pero para ello es necesario dar un paso atrás y pensar en cómo hacerlo de forma segura, eficaz y sin que los atacantes recuperen lo que han contaminado.
Para que cada elemento resulte eficaz, debe recibir el mismo nivel de rigor y atención. Lamentablemente, no siempre es así. Históricamente, las organizaciones han centrado la mayor parte de sus esfuerzos e inversiones en prevenir los incidentes cibernéticos, en lugar de establecer la tecnología, los procesos y los flujos de trabajo estrictos que deben seguirse cuando se produce un incidente cibernético.
Dado que los datos se encuentran dispersos en entornos híbridos, la prevención ya no resulta suficiente. Las empresas de todos los tamaños buscan tranquilidad en un mundo híbrido caótico. Los responsables de seguridad y los CISO deben adaptar sus estrategias para abordar la Recovery sin contratiempos y la ciberresiliencia, e implementar prácticas, procesos y tecnología en torno a la limpieza y la recuperabilidad de los datos.
El ransomware ha cambiado el panorama de la Recovery. Debido al aumento de las ciberamenazas, los responsables de seguridad están evaluando los entornos de Recovery aislados (IRE) para que sirvan como ubicaciones limpias y libres de infecciones en las que llevar a cabo la Recovery. Sin embargo, dada la complejidad de los ataques que se producen, ese IRE debe ser algo más que un simple espacio seguro. Es una parte del proceso de Recovery, pero no lo es todo.
Commvault® Cloud Cleanroom™ Recovery es una solución integral de pruebas y conmutación por error que ofrece un nuevo entorno de recuperación de incidentes (IRE) seguro, diseñado para facilitar (1) la realización de pruebas de los planes de recuperación cibernética, (2) la realización de análisis forenses y (3) la continuidad del negocio en caso de una brecha de seguridad.
Dejar de centrarse en las medidas preventivas e invertir en la respuesta y la Recovery
Independientemente de si se considera el CSF como una lista, las organizaciones, para bien o para mal, han empezado por la parte superior o por la derecha. El problema radica en la naturaleza secuencial del trabajo. La mayoría de las organizaciones no llegan a las fases de «Respuesta» o «Recuperación» porque han dedicado todo su tiempo y dinero a las fases de «Protección» y «Detección».
El hecho de que las organizaciones no hayan distribuido su presupuesto y sus recursos entre todas las secciones del Marco de Seguridad Cibernética (CSF) ha supuesto que los atacantes sigan llevando la ventaja. Cuando logran traspasar tus defensas y eludir tu sistema de detección, la respuesta ante incidentes de un equipo típico de ciberseguridad puede hacer un excelente trabajo a la hora de investigar la brecha, pero no tanto a la hora de recuperarse de ella.
No siempre se puede confiar en las copias de seguridad del equipo de TI
Dado que el tiempo medio de permanencia de los atacantes en las organizaciones es de 204 días, es muy probable que estos hayan localizado, infiltrado y, posiblemente, corrompido vuestras copias de seguridad. Trataremos este tema en una próxima entrada del blog, pero merece la pena mencionarlo aquí. A la hora de hacer frente a las brechas de seguridad, no solo es probable que tus datos de producción hayan sido manipulados, sino que cada vez más actores maliciosos buscan activamente sabotear y comprometer algunas de las medidas que has tomado para garantizar que puedas restaurar copias válidas de los datos.
No basta con bloquear una dirección IP
Muchas herramientas responden a las intrusiones bloqueando direcciones IP para expulsar a los atacantes de la red. Esto ya no funciona en la nube. Han conseguido o comprado credenciales válidas y/o se han infiltrado en tus sistemas de gestión de identidades y accesos. Así que ahora se han convertido en usuarios legítimos.
En una palabra, no puedes fiarte de nada
En un mundo en el que la expresión «confianza cero» se utiliza con bastante frecuencia tras una filtración, realmente no existe confianza alguna, ni debería existir. Los datos deben analizarse minuciosamente y comprobarse para detectar posibles infecciones. Es necesario reconstruir la infraestructura para garantizar que solo las personas autorizadas tengan acceso.
Si estás buscando formas de mejorar la ciberresiliencia de tu organización, ponte en contacto con nuestro equipo de ventas de Commvault para concertar una consulta. Analizaremos todos los elementos que conforman una buena estrategia de Recovery cibernético para adaptarla a tu empresa.
