Puntos clave
- La presión normativa, las expectativas del consejo de administración y los conflictos cotidianos están acelerando el cambio de un gasto centrado en la prevención hacia resultados que mejoren la resiliencia.
- La arquitectura de la resiliencia se ha vuelto mucho más compleja, sobre todo ahora que los sistemas de IA plantean nuevos retos en cuanto al linaje de los datos y su recuperación.
- La ciberresiliencia debe ir más allá de la recuperación ante desastres tradicional y considerar las interrupciones como una situación operativa habitual, en lugar de como un suceso excepcional.
- Las operaciones de resiliencia (ResOps™) ofrecen un modelo operativo para que la resiliencia sea continua, multifuncional y demostrable en condiciones reales.
- Lo más complicado de la transición a ResOps es la parte organizativa. La fragmentación de responsabilidades y las prioridades desalineadas siguen siendo las causas más comunes de fracaso.
Las interrupciones se han convertido en algo habitual. Solo en el último año, hemos visto:
- Los ataques con drones contra centros de datos en los Emiratos Árabes Unidos y Baréin provocaron una serie de problemas en cadena en las organizaciones que almacenaban datos y cargas de trabajo allí.
- Un error de configuración del DNS por parte de un hiperescalador dejó sin conexión a Internet a millones de usuarios estadounidenses.
- Un incendio en un centro de datos provocó fallos intermitentes que afectaron a decenas de miles de usuarios de una de las principales plataformas de redes sociales durante todo un día.
Cuando el entorno operativo es intrínsecamente incierto, los CISO y los CIO tienen que replantearse su enfoque respecto a la continuidad del negocio.
En un seminario web reciente, David Nowak, director del Servicio de Riesgos Cibernéticos de Deloitte; Kent Meyer, director general de Deloitte; y Shilpi Handa, directora adjunta de investigación de IDC para ciberseguridad en la región META, se unieron a mí para hablar de lo que realmente exige la resiliencia operativa en cuanto a estrategia, arquitectura y operaciones diarias.
Avance: Ya no es cuestión de «si», sino de «cuándo»
En este fragmento del seminario web, descubrirás por qué las interrupciones del servicio ya no son solo incidentes de TI, sino que se han convertido en incidentes empresariales. Los consejos de administración y los organismos reguladores ya no se centran tanto en si se produce una interrupción, sino en la rapidez con la que las organizaciones pueden recuperarse.
Por qué la recuperación ante desastres no es suficiente
Según la definición del NIST, la ciberresiliencia va más allá de la seguridad tradicional, ya que parte de la premisa de que las brechas de seguridad van a producirse y se centra en la supervivencia y la recuperación rápida, no solo en la prevención. Este enfoque, basado en la premisa de que las brechas de seguridad van a producirse, lleva años formando parte del modelo «zero trust», pero ¿cuántas organizaciones están realmente poniendo en práctica lo que esto implica?
Las operaciones de copia de seguridad se centran en si se han copiado los datos, y la recuperación ante desastres, en si se pueden restaurar los sistemas, pero la verdadera resiliencia exige responder a una pregunta mucho más difícil: ¿Se pueden restaurar estos servicios de principio a fin, en condiciones de estrés y de forma continua? Estamos viendo cómo esta mentalidad se va afianzando en todos los sectores, impulsada por una combinación de presión normativa y las expectativas de los consejos de administración.
- En Europa, la Ley de Resiliencia Operativa Digital (DORA) de la UE exige ahora resultados concretos en materia de resiliencia y plazos de recuperación específicos.
- Las normas de la Corporación Norteamericana para la Fiabilidad Eléctrica (NERC) sobre la protección de infraestructuras críticas también se están revisando desde la perspectiva de la resiliencia.
- Los requisitos de notificación de infracciones de la Comisión de Valores y Bolsa (SEC) han puesto el foco no solo en la divulgación de información, sino también en las medidas que están adoptando las organizaciones para recuperarse.
Ahora, los consejos de administración consideran cualquier interrupción del servicio como un incidente que perjudica al negocio, y lo que se espera ya no es solo demostrar que la recuperación es posible, sino que se puede llevar a cabo rápidamente y con un alto grado de fiabilidad.
Un estudio de IDC realizado por Handa pone de manifiesto cómo las operaciones de recuperación tradicionales pueden quedarse cortas. Tras el estallido de la guerra en Oriente Medio, se descubrió que los directores de sistemas de información (CIO) y los directores de seguridad de la información (CISO) tenían dificultades para garantizar la continuidad no solo de la tecnología, sino también del personal y los procesos, ya que los empleados se veían obligados a trasladarse de la noche a la mañana y las oficinas quedaban inaccesibles, sin que quedara nadie para llevar a cabo la conmutación manual en caso de fallo. Y este es solo uno de los innumerables escenarios impredecibles que las organizaciones deben tener en cuenta.
Crear una arquitectura de resiliencia
Una estrategia de resiliencia abarca tanto lo que proteges como tu capacidad para recuperarlo. En cuanto a lo primero, el alcance de lo que hay que proteger se ha ido ampliando de forma constante, incluyendo sistemas de identidad, plataformas de comunicación, cargas de trabajo, herramientas de productividad, procesos de CI/CD y datos estructurados y no estructurados.
El segundo aspecto —«si se puede recuperar»— plantea nuevos requisitos para dicha estrategia. No basta con capturar instantáneas puntuales y definir objetivos de recuperación tradicionales. Dado que los atacantes se centran en la infraestructura de copias de seguridad, las organizaciones deben ahora examinar los datos recuperados y confirmar que no se han visto comprometidos antes de volver a ponerlos en línea. Los entornos de recuperación aislados, la protección mediante «air gap» para servicios críticos y las capacidades de «sala limpia» se han convertido en componentes esenciales de la arquitectura de resiliencia.
La IA añade un nuevo nivel de dificultad. Para recuperar un modelo de IA, no solo necesitarás una copia de seguridad del propio archivo del modelo, sino también todo lo que se utilizó para crearlo. Esto incluye sus conjuntos de datos, hiperparámetros, versiones del marco de trabajo, ingeniería de características y configuraciones de infraestructura, además de un mapa completo de dependencias que muestre cómo encaja todo.
Meyer presenta las soluciones de ciberresiliencia como una forma de democratizar la recuperación ante desastres. Mientras que la recuperación ante desastres tradicional estaba aislada dentro del departamento de TI y solo era accesible para especialistas, las plataformas más modernas pueden ofrecer a los equipos de operaciones de seguridad, a los responsables de negocio y al personal de operaciones la visibilidad que necesitan para participar activamente. Esto es importante para las organizaciones con recursos limitados, y cambia lo que se puede hacer a la hora de pasar de los simulacros teóricos a recuperaciones reales y demostrables.
ResOps: el modelo operativo para una resiliencia sostenible
ResOps considera la resiliencia como una función continua, no solo como algo que ocurre en respuesta a un incidente. En términos sencillos, se trata de poner en práctica la resiliencia cuando ya no se cumplen las hipótesis operativas normales. En lugar de dar por sentado que tus copias de seguridad estarán disponibles, intactas y listas para restaurar cuando se produzca un desastre, con ResOps vas descubriendo continuamente dónde se encuentran los datos, protegiéndolos y capturándolos tanto en la nube local como en la nube pública, detectando anomalías, recuperando un estado fiable y restaurando cargas de trabajo que han sido totalmente validadas. De esta forma, estarás cada vez más preparado para una interrupción y más seguro de que podrás superarla con éxito.
Nowak propone una frase que resume la esencia de ResOps: «resiliente desde el diseño». Es la evolución del principio de «seguridad desde el diseño» que marcó la última generación de arquitecturas de seguridad. Más allá de crear sistemas que resistan los ataques, ahora estamos creando sistemas que puedan seguir funcionando incluso cuando se produzca un ataque.
El lado humano de ResOps
La adopción de ResOps tiene que ver, al menos en igual medida, con las personas y los procesos como con la tecnología. Como señala Handa, las organizaciones no suelen fracasar porque carezcan de las herramientas adecuadas; fracasan porque la responsabilidad está fragmentada entre demasiados puestos, sin un ritmo operativo común y sin claridad sobre quién toma las decisiones cuando las cosas van mal. ResOps obliga a las organizaciones a responder a preguntas que muchas aún no se han planteado, como por ejemplo:
- ¿Quién tiene la autoridad para restablecer los servicios si el equipo principal no está disponible?
- ¿Cómo deberían estructurarse los manuales de ejecución remota?
- ¿Cómo funcionará la conmutación por error entre regiones si no se puede depender de una única ubicación?
En este sentido, ResOps no se centra tanto en restaurar los sistemas como en garantizar la continuidad de la toma de decisiones, la ejecución y la rendición de cuentas ante cualquier interrupción. Con este fin, muchas organizaciones han creado el cargo de director de resiliencia, especialmente en la administración estatal y local. Tanto si lo ocupa el CISO, el CIO o alguien nuevo, la aparición de este puesto refleja una amplia responsabilidad que va más allá de las TI. Requiere una persona con autoridad interfuncional y habilidades de comunicación para que los líderes empresariales, los equipos de seguridad y el personal de operaciones adopten un ritmo operativo común. El puesto también implica explicar la importancia de la resiliencia en términos que resuenen entre todas las partes interesadas, incluyendo el impacto económico para el consejo de administración, la continuidad operativa para los profesionales y el cumplimiento normativo para los equipos de GRC. El objetivo es crear un marco de toma de decisiones que se haya probado en simulacros antes de que sea necesario en caso de incidente.
Ponlo todo en práctica
Commvault ayuda a las organizaciones a poner en práctica las operaciones de resiliencia (ResOps), desde la identificación y protección de datos en la nube local y en la nube, hasta la detección de anomalías, la recuperación a un estado limpio y la restauración de cargas de trabajo validadas. Para las organizaciones que están pasando de los ejercicios teóricos a las restauraciones reales, estas son las capacidades que ayudan a que la resiliencia sea una realidad en tiempos de incertidumbre.
Los recursos de la sesión, como el estudio de IDC sobre la preparación de los directores de sistemas de información y los materiales de Deloitte sobre la recuperación basada en datos, están disponibles en la página de contenido bajo demanda.
Preguntas frecuentes
P: ¿Qué es la ciberresiliencia y en qué se diferencia de la recuperación ante desastres?
R: La recuperación ante desastres se centra en restaurar los sistemas y los datos tras un incidente. La ciberresiliencia es una estrategia más amplia y proactiva: parte de la premisa de que se producirán interrupciones y se pregunta si los servicios pueden restablecerse de principio a fin, en situaciones de estrés y de forma periódica. Muchas organizaciones cuentan con sólidos planes de recuperación ante desastres que, sin embargo, las dejan desprotegidas cuando se produce un incidente real en condiciones inesperadas.
P: ¿Qué está llevando a las organizaciones a dar prioridad a la resiliencia frente a la prevención?
R: Los marcos normativos como DORA y las normas de la NERC, que están en constante evolución, exigen ahora resultados concretos en materia de resiliencia, no solo controles de seguridad. Por eso, los consejos de administración se están centrando en los plazos de recuperación como indicador empresarial.
P: ¿Por qué resulta más complicado realizar copias de seguridad y recuperar los sistemas de IA que los datos tradicionales?
R: Realizar una copia de seguridad de un modelo de IA implica guardar algo más que el propio archivo del modelo. Un modelo es el resultado de un proceso de entrenamiento específico en el que intervienen conjuntos de datos, hiperparámetros, versiones del marco de trabajo y configuraciones de infraestructura. Sin todo ese contexto, al recuperarlo podrías obtener algo en lo que no se puede confiar ni que no se pueda reproducir.
P: ¿Qué es ResOps y en qué se diferencia de un programa de resiliencia tradicional?
R: ResOps es un modelo operativo que aborda la resiliencia como una disciplina continua y multifuncional, en lugar de como un plan de contingencia. Mientras que los programas tradicionales suelen estar aislados en el ámbito de las TI y se activan tras un incidente, ResOps reúne a los equipos de seguridad, operaciones, responsables de negocio y la dirección en torno a directrices de actuación compartidas, derechos de decisión claros y una validación continua de la preparación para la recuperación.
P: ¿Cuáles son los mayores obstáculos para implantar ResOps a gran escala?
R: Los retos son de carácter organizativo, como la fragmentación de responsabilidades, las prioridades desalineadas y la falta de un ritmo operativo común. ResOps requiere que, antes de que se produzca un incidente, los equipos de operaciones de seguridad, los responsables de negocio y el personal de operaciones se pongan de acuerdo sobre qué es lo fundamental, quién es el responsable y cómo se validará la recuperación.
Michael Thelander es director sénior de marketing de productos en Commvault.
