Preparación de herramientas para la respuesta ante incidentes

El comportamiento humano suele determinar los resultados durante las crisis. Preparar a los equipos para afrontar el estrés, la incertidumbre y la toma de decisiones bajo presión ayuda a reducir significativamente el riesgo. 

El sesgo optimista lleva a muchos equipos a creer que los ataques son poco probables. Enmarcar el riesgo cibernético en términos empresariales y de misión ayuda a impulsar medidas significativas. 

Una cultura sólida fomenta la confianza, la comunicación abierta y una colaboración más ágil, lo que ayuda a reducir la confusión y los puntos ciegos durante los incidentes. 

Los ciberataques suelen corromper los sistemas y las credenciales. Reconstruir a partir de puntos de referencia limpios y verificados evita la reinfección y refuerza la confianza en Recovery. 

Los ejercicios y las simulaciones ayudan a desarrollar la memoria muscular, sacan a la luz las carencias ocultas y reducen drásticamente el tiempo de respuesta durante los ataques reales. 

Por favor, ve el vídeo aquí para consultar la transcripción con marcas de tiempo

00:08 – 00:10

Bienvenidos a todos, gracias de nuevo.

00:10 – 00:11

Hay una gran asistencia.

00:11 – 00:14

Primera sesión de trabajo, tras la sesión general.

00:14 – 00:19

Eh… Estáis aquí, en el lugar adecuado, para equiparos para la respuesta ante incidentes.

00:19 – 00:24

Vamos a abordar el tema de las personas, los procesos, las herramientas y la tecnología.

00:24 – 00:26

Y yo seré vuestro presentador, Chris Mierzwa.

00:26 – 00:31

Soy director sénior aquí en Commvault, responsable de nuestros programas globales de resiliencia.

00:31 – 00:41

Y, por supuesto, soy un poco parcial porque se trata de nuestro panel, pero esto es algo sin precedentes: seis horas sin pausa para ir al baño.

00:41 – 00:46

Y tengo que decirte que estuvimos debatiendo si debíamos hacerlo o no.

00:46 – 00:49

Quizá vaya en contra de las normas, pero lo vamos a intentar.

00:49 – 00:49

No, es broma.

00:49 – 00:53

Una hora en vuestros calendarios, pero es una de las pocas.

00:53 – 00:53

Así que gracias.

00:53 – 00:58

Sé que es un gran compromiso estar aquí durante 60 minutos, pero os prometo que merecerá la pena.

01:00 – 01:08

Hemos reunido a tres personas increíbles, y voy a hacer una pequeña presentación de cada una de ellas, porque puedo hacerlo con menos modestia que ellas mismas.

01:08 – 01:14

Pero quiero asegurarme de que, durante la próxima hora, seáis conscientes del nivel de talento que hay aquí.

01:14 – 01:16

Y espero que sintáis lo mismo que nosotros.

01:16 – 01:27

Estamos intentando abordar y entrelazar tres áreas únicas que, al menos en mi opinión, quizá no se hayan abordado antes en lo que respecta a cómo debemos pensar y prepararnos

01:27 – 01:30

para la respuesta ante incidentes de formas nuevas y originales.

01:30 – 01:32

Y eso es precisamente lo que esperamos abordar.

01:33 – 01:36

Sin más preámbulos, voy a empezar por mi izquierda.

01:36 – 01:36

Dr.

01:36 – 01:38

Jessica Barker.

01:38 – 01:40

He tenido la oportunidad de conocerte un poco durante los últimos meses.

01:40 – 01:44

Eh… Esto es único.

01:44 – 01:51

Ella nos aporta una amplia experiencia en ciberseguridad y, además, la aborda desde un punto de vista humano.

01:51 – 01:59

Así que, aunque espero que todos tengamos algo único que aportar, os puedo asegurar que probablemente nunca hayáis oído hablar de lo que ella ha hecho antes, pero vamos con un poco más de presentación.

01:59 – 02:03

Dos libros, debates en circuitos internacionales.

02:03 – 02:15

Está todo el tiempo en un avión, recorriendo el mundo, hablando con gente, hablando con empresas como la vuestra sobre cómo preparar a las personas para las cosas a las que normalmente no estáis…

02:15 – 02:15

de las que no se suele hablar.

02:15 – 02:18

¿Cómo se gestionan realmente estas cosas, verdad?

02:18 – 02:20

Y vamos a profundizar en ello.

02:20 – 02:21

Gracias por estar aquí.

02:21 – 02:22

Sí, por supuesto.

02:22 – 02:23

Muy bien.

02:23 – 02:24

Una más.

02:24 – 02:26

Pasemos a Ricky Mayer.

02:26 – 02:38

Eh, Ricky, acabas de incorporarte a Commvault, bienvenido a bordo, ¿verdad? Llevas unos meses con nosotros y vienes con más de 25 años de experiencia en TI como alto ejecutivo, y ahora eres nuestro vicepresidente de…

02:38 – 02:42

servicios globales y profesionales de Commvault.

02:42 – 02:43

Pero…

02:43 – 02:54

una larga trayectoria profesional en IBM, Kyndral, VMware y, ya sabes, cuando tienes a gente dedicada a los servicios profesionales, no se pone a prueba tu capacidad cuando las cosas van bien.

02:54 – 02:56

La prueba de fuego llega cuando surgen los retos.

02:56 – 03:02

Y está claro que has pasado por muchos de ellos, y hoy nos va a transmitir gran parte de esa magia, así que gracias por estar aquí.

03:02 – 03:04

Muy bien, el grandullón.

03:04 – 03:05

Por cierto,

03:05 – 03:11

originario del Reino Unido, pero ahora vive en EE. UU., en Dallas y Fort Worth, ¿verdad?

03:11 – 03:15

Zak vino desde muy lejos, de un pueblecito llamado Ciudad del Cabo, ¿verdad?

03:15 – 03:18

Un vuelo corto, pues.

03:18 – 03:19

Un pueblecito.

03:19 – 03:20

Sí, un pueblecito.

03:21 – 03:24

Zak y yo trabajamos juntos bastante a menudo.

03:24 – 03:27

Eh… Tenemos mucha suerte de contar con él.

03:27 – 03:34

Su experiencia, profunda, técnica, en primera línea… ah, un talento técnico absoluto.

03:34 – 03:40

A lo largo de mi carrera he tenido el privilegio de trabajar con mucha gente que posee una inmensa perspicacia técnica.

03:41 – 03:54

No pretendo exagerar, pero Zach está claramente en la cima de su carrera, y hoy nos va a ofrecer, ya sabes, una visión real desde la primera línea y cómo abordar eso desde un

03:54 – 03:54

herramientas.

03:54 – 03:57

Así que espero haberle hecho justicia.

03:57 – 03:59

Hoy vais a escuchar la magia aquí.

03:59 – 04:03

Dicho esto, quiero empezar contigo, Jessica.

04:03 – 04:11

Bueno, cuando estábamos preparando el programa, sacaste a relucir un término sobre el que todos necesitamos aprender un poco, y es este

04:11 – 04:13

sesgo de optimismo.

04:13 – 04:18

Si pudieras explicárnoslo, nos serviría como un excelente punto de partida para la sesión.

04:18 – 04:19

Claro.

04:19 – 04:31

Hay algo que me parece realmente útil en ciberseguridad, ya que siempre me fijo en el aspecto humano; creo que podemos aprender muchísimo de la neurociencia, la psicología y la sociología.

04:31 – 04:41

de estos campos que estudian el comportamiento humano y las formas de pensar: qué nos lleva a tomar decisiones y qué nos hace hacer lo que hacemos. Entre

04:41 – 04:48

los conceptos y los extensos trabajos de investigación de la neurociencia gira en torno a esta idea del sesgo de optimismo.

04:48 – 04:55

Las investigaciones demuestran que el 80 % de las personas en todo el mundo estamos predispuestas al optimismo.

04:55 – 05:04

Esto es así independientemente de dónde seamos, del género, de la edad, del origen étnico o del contexto socioeconómico.

05:06 – 05:10

Y miramos el mundo, el amplio mundo, y pensamos que las cosas van a peor.

05:10 – 05:17

Pero desde la perspectiva individual, familiar o de equipo, tenemos este sesgo optimista.

05:17 – 05:21

Básicamente, pensamos que lo malo no nos va a pasar a nosotros.

05:21 – 05:26

Y en cuanto a la investigación, se han realizado muchísimos estudios al respecto, muchos de ellos dirigidos desde Londres por el Dr.

05:26 – 05:29

Tali Sharot, así que si quieres echarles un vistazo, te lo recomiendo encarecidamente.

05:30 – 05:35

Y esta investigación se centra, en general, en aspectos como la salud o el divorcio,

05:36 – 05:38

no creen que les vaya a pasar nada malo.

05:38 – 05:42

Creo que esto tiene una gran aplicabilidad a la ciberseguridad.

05:42 – 05:54

Cuando empecé a informarme sobre el tema, pensé que por eso, cuando nos presentamos ante un consejo de administración con todas las estadísticas que indican que es probable que se produzca un incidente en algún momento, ¿por qué…

05:54 – 05:55

pueden restarle importancia.

05:55 – 05:58

Porque piensan que eso les pasa a todos los demás.

05:58 – 05:59

Pero eso no nos va a pasar a nosotros.

05:59 – 06:06

Y creo que esto tiene un gran impacto en todo tipo de aspectos de la ciberseguridad

06:06 – 06:08

entre los que destaca la respuesta ante incidentes.

06:08 – 06:15

Y supongo que ese sesgo se agrava aún más cuando suceden cosas malas.

06:15 – 06:15

Sí.

06:15 – 06:19

Porque piensan: «Esto va en contra de todo lo que podría haber imaginado».

06:19 – 06:20

Sí, eso es.

06:20 – 06:30

Socava ese tipo de memoria muscular, esa resiliencia, la resiliencia individual, de equipo e incluso de la organización, porque pensamos: «Bueno, no creíamos que esto fuera a…»

06:30 – 06:30

suceder.

06:30 – 06:35

Así que hay un cierto grado de conmoción y, ya sabes, las herramientas, los procesos y el

06:35 – 06:41

el factor humano de la respuesta a incidentes simplemente no están preparados, porque nunca se había previsto.

06:41 – 06:42

Ya veo.

06:42 – 06:43

Y tengo curiosidad por una cosa.

06:43 – 06:48

Probablemente todos conocemos a gente en nuestras vidas que ve el vaso medio lleno o medio vacío.

06:48 – 06:54

Según tus datos, el 80 % de la gente, en este sentido, ve el vaso medio lleno.

06:54 – 06:55

Sí.

06:55 – 06:57

% lleno, por usar la analogía.

06:57 – 07:05

Pero conoces a gente y hay personas que están a menos de la mitad de su capacidad, pero tú piensas para tus adentros que, cuando lo reflexionan, eso es…

07:05 – 07:07

donde siguen estando en ese 80.

07:07 – 07:15

Y también esa diferencia entre un cinismo, quizá generalizado en todo el mundo, y pensar en cómo te van a salir las cosas.

07:15 – 07:17

m

07:17 – 07:21

Y, a nivel personal, ten claras tus expectativas; el optimismo es algo bueno.

07:21 – 07:25

No estoy diciendo que debamos intentar eliminar el optimismo de nuestro diseño.

07:25 – 07:31

Yo mismo soy una persona optimista y a menudo reconozco que el sesgo optimista influye en mí.

07:31 – 07:32

El optimismo es

07:32 – 07:41

genial. No habríamos llegado a donde estamos como seres humanos si no fuéramos optimistas y, además, ya sabes, francamente nos costaría mucho superar el día a día si no tuviéramos algo de

07:41 – 07:46

optimismo. Así que, en lugar de intentar, eh, diseñarlo…

07:47 – 07:51

una cosa es reconocerlo y otra muy distinta es aprovecharlo cuando podamos.

07:52 – 08:02

Así que, en lugar de, ya sabes, ese dicho de «no es cuestión de si sucederá, sino de cuándo», que solo sirve para asustar a la gente, podemos decir: «¿Sabes qué? Es probable que ocurra un incidente, pero podemos estar

08:02 – 08:03

preparados».

08:03 – 08:05

Hay cosas que podemos hacer para tener, eh…

08:05 – 08:12

las herramientas necesarias, contar con los procesos adecuados, y cuanto más nos preparemos, más resistentes seremos.

08:12 – 08:17

Así que hay que darle un enfoque optimista a algo que supone un reto.

08:18 – 08:26

Y a la hora de abrirse camino para las personas que se encuentran en esa categoría del 20 %, ¿hasta qué punto es difícil?

08:26 – 08:31

¿O en qué medida están preparados, dado que tienen un sesgo en sentido contrario?

08:31 – 08:35

Tener un sesgo en contra del optimismo puede ser, por sí mismo, todo un reto.

08:35 – 08:41

Porque puedes pensar: «Bueno, siempre va a pasar algo malo, así que ¿para qué me voy a molestar?».

08:41 – 08:48

Así que ese tipo de mensaje sobre estar preparado, por curioso que parezca, funciona para ambas partes, lo cual resulta bastante útil.

08:48 – 08:53

Sí, Ricky, estoy seguro de que los grandes proyectos, cuando salen mal, ¿verdad?

08:53 – 08:55

¿En qué situaciones has visto que esto ocurra?

08:55 – 09:09

Mira, durante una crisis, a menudo no estamos a la altura de nuestros planes de relaciones con inversores ni de ningún otro plan. A menudo caemos al nivel de nuestra práctica de ejecución; los comportamientos ensayados suelen ser mejores que

09:09 – 09:18

a las grandes intenciones, y la respuesta ante incidentes —o, como yo la llamo, la resiliencia ante incidentes— es precisamente eso: es un objetivo

09:19 – 09:25

pero sin práctica ni comportamientos ensayados en ese modelo mental y esa memoria muscular mental.

09:27 – 09:35

Y si tu primer desastre es donde realizas tu primer simulacro, el resultado no será la resiliencia, sino mala prensa.

09:36 – 09:50

Así que, para retomar lo que decía Jessica sobre el sesgo de optimismo, a menudo tendemos a olvidar que, como seres humanos, tenemos que fijarnos en los procesos y en las herramientas de las que disponemos, y ponerlas

09:50 – 09:54

en este mundo tan complejo en el que vivimos hoy en día.

09:55 – 10:01

Y esta mañana hemos oído a nuestros ponentes principales decir que la tecnología, el panorama y todo lo que nos rodea se está volviendo cada vez más complejo.

10:02 – 10:06

Y en ese entorno tan diverso y complejo,

10:06 – 10:17

tener, en primer lugar, un sesgo de optimismo y, en segundo lugar, esta falsa sensación de seguridad de que tenemos planes, pero que en realidad no los hemos ensayado ni puesto en práctica, solo nos está abocando a más

10:17 – 10:19

fracasos y éxitos.

10:20 – 10:30

Eso me recuerda que estoy seguro de que, si hiciéramos una votación a mano alzada o fuéramos a charlar con todos vosotros, mucha gente diría: «Oye, mira, podría ser tan optimista como quisiera y quiero serlo».

10:30 – 10:34

preparados, pero no tenemos presupuesto, no tenemos tiempo, no tenemos personal».

10:34 – 10:36

Así que voy a suponer que cuando esos

10:36 – 10:41

fuerzas se opongan al sesgo de optimismo, eso también será una fuerza a tener en cuenta, ¿verdad?

10:41 – 10:47

Por ejemplo, quiero hacer esto, pero la institución para la que trabajo no se lo puede permitir, no puede llevarlo a cabo.

10:47 – 10:52

Así que quizá podríamos explorar eso un poco a medida que avancemos, porque probablemente tú lo ves así, ¿verdad, Zak?

10:52 – 10:58

Quiero decir, cuando pasan cosas difíciles, ¿qué les ocurre a estas personas?

10:58 – 11:04

¿Cómo reaccionan en medio de la situación, en esa olla a presión, por así decirlo?

11:05 – 11:08

Porque hay que entender que todos seguimos siendo humanos.

11:08 – 11:11

No importa cuántas veces hayas ensayado algo.

11:11 – 11:19

Aunque el ejercicio y la práctica ayudan mucho, esa es, en esencia, la forma de desarrollar tu resiliencia.

11:19 – 11:23

Pero la gente se esconde cuando ocurren incidentes.

11:23 – 11:24

Se esconden.

11:24 – 11:27

Intentan borrar sus huellas.

11:28 – 11:33

y comprueban si ha sido culpa suya, para luego empezar a echarse la culpa unos a otros, y así sucesivamente.

11:33 – 11:40

Y eso se debe, básicamente, a que, desde el principio, no se probó lo suficiente.

11:41 – 11:46

Un plan de resiliencia cibernética o de Recovery cibernética: tienes el plan, pero no se ha probado lo suficiente.

11:46 – 11:56

Y en cuanto lo incorporas, se convierte en una memoria muscular y todo el mundo sabe exactamente qué va a hacer a continuación en el momento preciso,

11:56 – 12:00

ya no se produce ese tipo de comportamiento.

12:00 – 12:06

Lo cual también es interesante porque he oído tus estadísticas y ojalá hubiera traído algunas propias.

12:07 – 12:10

Pero, ¿cómo encaja entonces el seguro en todo esto?

12:10 – 12:17

Ah, bueno, como has dicho, no queremos… no queremos pagar un seguro, ¿verdad?

12:17 – 12:20

Ya tenemos ese tipo de gastos.

12:20 – 12:23

Pero, ¿cómo encaja eso en el sesgo de optimismo?

12:23 – 12:25

Porque, eh…

12:25 – 12:28

Porque seguimos pagando el seguro del coche y el seguro médico.

12:29 – 12:30

Es un punto interesante.

12:30 – 12:36

Si pensamos en el seguro médico o en el seguro de vida, ¿cómo se plantean?

12:36 – 12:42

No se plantean como seguros de enfermedad o de fallecimiento.

12:42 – 12:49

Así que, de nuevo, podemos aprender algo de esos sectores y del hecho de que eso no ha sucedido por casualidad.

12:49 – 12:52

Ahí hay un proceso de encuadre en juego.

12:52 – 12:54

Para ayudar a atraer al público.

12:54 – 12:56

En lugar de cuidar de tu familia.

12:56 – 12:56

Exacto.

12:56 – 12:57

Pintarlo hacia adelante.

12:57 – 12:58

Exacto.

12:58 – 12:58

Sí.

12:58 – 12:59

Puedes pensar en los anuncios que ves.

12:59 – 13:02

Puedes pensar en el contexto en el que se enmarca todo eso.

13:02 – 13:07

Todo ello es un enfoque muy optimista y positivo de cosas que, en esencia, son negativas.

13:07 – 13:08

Sí.

13:08 – 13:16

Solo quiero hacer una breve pausa para decirte que hemos subido el aire acondicionado aquí porque estábamos perdiendo libras muy rápido.

13:16 – 13:17

Puedo hablar por mí mismo.

13:17 – 13:20

Ha sido increíble, qué milagro acaba de ocurrir.

13:20 – 13:21

Vale

13:23 – 13:28

¿Te imaginas que State Farm te hiciera un seguro de vida?

13:28 – 13:29

Como un buen vecino.

13:29 – 13:36

Dios, qué bien suena.

13:36 – 13:39

Pero en ciberseguridad, a menudo planteamos las cosas al revés.

13:39 – 13:39

Es verdad.

13:39 – 13:40

Sí.

13:40 – 13:44

No estamos siguiendo el ejemplo de una empresa ya consolidada.

13:44 – 13:44

Sí.

13:44 – 13:46

Y esto no es ningún secreto mío.

13:46 – 13:52

Muchas de las cosas que aporto a la ciberseguridad no las invento ni reinvento la rueda.

13:53 – 14:04

Lo que hago es tomar conocimientos ya conocidos —ya sabes, investigaciones que están ahí fuera y a las que cualquiera puede recurrir, incluso en campos ajenos a la ciberseguridad— y aplicarlos aquí.

14:04 – 14:09

Y podríamos avanzar muchísimo si prestáramos más atención a esos campos.

14:09 – 14:14

Y creo que lo haremos, pero si pensamos en la neurociencia, la psicología, la sociología, el marketing… hay muchísimo que podemos aprender.

14:14 – 14:23

Así que, con ese fin, no te pido que lo des todo, porque sé que ganas un buen dineral, pero ¿y si hubiera un par de…

14:23 – 14:34

ideas clave, si tuvieras que resumir lo esencial cuando impartes una sesión, ¿cuáles serían las dos cosas más importantes que te gustaría que tu público se llevara consigo cuando impartes una de

14:34 – 14:35

estas sesiones?

14:35 – 14:46

Sí, varía, pero en lo que respecta a esta conversación en concreto, creo que una cosa es que, en ciberseguridad, a menudo recurrimos al miedo, ¿no es así?, para intentar difundir nuestro mensaje.

14:46 – 14:50

Y entiendo que la gente piense que podemos asustar.

14:51 – 14:53

a alguien a que adopte un determinado comportamiento.

14:53 – 14:55

En realidad, no funciona así.

14:55 – 14:58

Utilizar el miedo para intentar cambiar un comportamiento es muy complicado.

14:58 – 15:01

Y nosotros

15:01 – 15:04

lo utilizamos como una especie de martillo.

15:04 – 15:09

En cambio, lo que podemos plantearnos es cómo podemos enmarcar nuestro mensaje.

15:09 – 15:12

Podemos plantearnos trabajar con los sesgos humanos.

15:12 – 15:14

Porque el sesgo existe.

15:14 – 15:16

Entonces, ¿cómo podemos plantear nuestro mensaje?

15:16 – 15:28

Por ejemplo, si queremos que una junta directiva o un equipo practique la respuesta ante incidentes, en lugar de intentar asustarlos para que piensen que es importante, podemos ofrecer una presentación realista.

15:28 – 15:29

de la amenaza.

15:29 – 15:31

Pero si practicamos, eso nos hace más

15:31 – 15:33

resilientes.

15:33 – 15:35

Esa resiliencia proviene de la repetición.

15:35 – 15:37

Así que pensemos en ese enfoque más optimista.

15:37 – 15:42

Vale, ya hablamos un poco de esto, recuerdo que fue cuando estuvimos en Las Vegas.

15:43 – 15:51

Haces algo tan único que, si alguien dice: «Vaya, tengo que conseguir a Jessica o a alguien así…».

15:51 – 15:53

¿Cómo vendes esto a nivel interno?

15:53 – 15:55

Es un concepto realmente único.

15:55 – 16:02

No es algo que, probablemente, todos los que están aquí pensando: «Vaya, no tenía ni idea de que alguien hiciera esto», ¿verdad?

16:02 – 16:12

Cuando ves formas exitosas de vender tus servicios y llegar hasta el equipo directivo, ¿qué vías hay para conseguirlo?

16:12 – 16:16

Sí, llevo 15 años dedicándome a esto.

16:16 – 16:20

Al principio, sin duda me costaba mucho más.

16:21 – 16:31

Y creo que una de las cosas es que hemos visto cómo, en el sector de la ciberseguridad, cada vez se reconoce más que las personas son el núcleo de la ciberseguridad tanto como las herramientas o…

16:31 – 16:33

los procesos.

16:33 – 16:39

Pero, en esencia, a menudo se requiere un cierto nivel de madurez cultural en una organización.

16:39 – 16:50

Y, por desgracia, a menudo se necesita que se produzca un incidente, ya sea directamente o que una organización sea testigo de uno en otra organización similar, porque eso rompe la

16:50 – 16:51

sesgo de optimismo.

16:53 – 16:55

Supongo que se podría considerar un arma de doble filo.

16:55 – 17:03

Por un lado, es una pena que eso sea lo que hace falta, pero, por otro, si ese tiene que ser el catalizador —y no eres tú ni quizá un compañero—, hay que seguir adelante.

17:03 – 17:04

Exacto.

17:04 – 17:05

Fantástico.

17:05 – 17:06

Gracias.

17:08 – 17:13

No le he pedido a Jessica: «Oye, cuéntamelo todo con detalle, porque es fascinante».

17:13 – 17:17

Creo que para todos los que venimos del ámbito técnico, es estupendo.

17:17 – 17:19

Así que sí, sin duda.

17:20 – 17:21

De acuerdo.

17:21 – 17:27

Ricky, cuando hablamos, mencionaste el concepto de «mínimo viable».

17:27 – 17:35

Es interesante, hemos oído hablar mucho de ello en la ponencia de esta mañana, pero no hemos eliminado ese término a propósito; más bien ha quedado un poco relegado a un segundo plano.

17:35 – 17:38

¿Quieres hablar un poco sobre eso?

17:38 – 17:38

Claro.

17:38 – 17:42

Entonces, se trata de que la práctica hace al maestro, ¿no?

17:42 – 17:44

Pero, ¿cómo se practica y en qué se practica?

17:44 – 17:57

Si nos fijamos en un gran ecosistema, nos encontramos ante un sistema tan enorme y dispar de tecnologías que hacen funcionar tu negocio, ¿cómo sabes por dónde empezar a practicar?

17:57 – 17:59

y con qué frecuencia hay que practicar, ¿verdad?

17:59 – 18:08

Por eso, en Commvault hablamos del concepto de «mínimo viable», y lo que realmente significa es aprovechar herramientas como la evaluación BIA que llevamos realizando desde hace muchos años.

18:08 – 18:09

años.

18:09 – 18:11

Empiezas a definir qué es fundamental para tu negocio.

18:11 – 18:16

Así pues, Active Directory podría ser crítico para la misión, un sistema de atención al paciente podría ser crítico para la misión.

18:16 – 18:26

Y lo defines y dices: «¿Sabes qué? Voy a empezar por ahí, porque si se produce una brecha de seguridad y me quedo sin servicio, esto es lo primero que quiero volver a poner en marcha».

18:26 – 18:35

Y luego pasar a mis sistemas, ya sabes, de los sistemas críticos para la misión a los críticos para el negocio, que podrían ser tu correo electrónico, tus comunicaciones, tus otras aplicaciones y cargas de trabajo.

18:35 – 18:38

Y después defines las aplicaciones de apoyo

18:38 – 18:45

una vez que estén en funcionamiento; junto con las aplicaciones de misión crítica, de negocio crítico y de apoyo, ya tienes todo tu entorno operativo.

18:45 – 18:50

Recuerda que, a menudo, cuando hablamos de respuesta ante incidentes, pensamos en seguridad.

18:50 – 18:58

La respuesta a incidentes es necesaria como proceso o como conocimiento institucional, no solo para los incidentes de seguridad.

18:58 – 19:01

Podrías tener un software defectuoso que te dejara fuera de combate.

19:01 – 19:08

Podrías tener una IA, un software de IA autónoma que podría hacer algo, podría llamar…

19:08 – 19:10

y apagar tu entorno.

19:10 – 19:13

Para mí, la respuesta ante incidentes va más allá de la simple seguridad.

19:13 – 19:17

Realmente te ayuda a definir la capacidad operativa de tu empresa, ¿verdad?

19:17 – 19:27

Y por eso entra en juego el concepto de protocolo de misión o de viabilidad mínima, para ayudarte a definir realmente tus aplicaciones y tus cargas de trabajo y, a continuación, empezar a crear pruebas y

19:27 – 19:28

procedimientos en torno a ellas.

19:28 – 19:37

Otra cosa que quiero destacar brevemente es que, si nos fijamos en el marco del NIST para la respuesta a incidentes, la publicación especial 861,

19:38 – 19:51

a menudo divide la respuesta a incidentes en cuatro fases bien definidas: preparación, detección; luego pasa a contención, erradicación y Recovery; y, por último, reevaluación y revisión de tu

19:51 – 19:52

línea de base.

19:52 – 19:58

Bueno, el problema con todo este concepto de recuperación, como hemos oído hoy mismo, es que crea puntos ciegos.

19:58 – 19:59

Porque, ¿qué es lo que realmente se está recuperando?

19:59 – 20:01

¿Hasta qué punto confías en lo que estás recuperando?

20:01 – 20:04

¿Son esos datos totalmente fiables?

20:04 – 20:07

¿Incluyen comprobaciones de integridad?

20:07 – 20:13

Y creo que por eso el NIST tiene que replantearse lo que dice sobre la «recuperación» y quizá plantearse una «reconstrucción».

20:13 – 20:19

Porque, ya sabes, para mí, «recuperar» me parece, en esencia, como si tuvieras una pared dañada y le estuvieras poniendo parches.

20:19 – 20:22

Bueno, no es tan elegante: estás poniendo parches en la pared.

20:22 – 20:25

Reconstruir es, en esencia, volver a construir esa pared a partir de un plano conocido.

20:26 – 20:37

Y por eso, si te fijas en nuestras soluciones, como Cloud Rewind y otras, lo que hacemos es ayudarte a reconstruir toda la pila de aplicaciones, ¿verdad?, con datos conocidos, con datos de calidad.

20:37 – 20:42

Y ahora tienes un nivel de confianza en tu Recovery gracias a este proceso riguroso.

20:42 – 20:50

Así que, en definitiva, no hay que pensar en la respuesta ante incidentes como si fuera únicamente una cuestión de seguridad.

20:50 – 20:53

Es cualquier cosa que pueda dejar tu negocio fuera de línea.

20:53 – 20:57

No se puede restablecer todo en el primer minuto, ¿verdad?

20:57 – 21:05

El objetivo de la respuesta a incidentes es, básicamente, detectar en segundos lo que se mitiga en minutos y mantener la resiliencia para siempre.

21:05 – 21:09

Y para eso hay que definir qué es lo mínimo viable para tu empresa.

21:09 – 21:12

Así que en ese sentido…

21:12 – 21:14

solo quiero hacer una votación a mano alzada aquí.

21:14 – 21:17

Usemos la «Wayback Machine» y elijamos cualquier momento de hace 10 años.

21:17 – 21:23

Y íbamos por ahí diciéndole a todo el mundo: «Oye, tenemos este servicio increíble», no nosotros, Commvault, sino el sector.

21:23 – 21:25

Vamos a hacer un mapeo de aplicaciones.

21:25 – 21:32

Porque antes incluso de poder pasar a un debate más amplio sobre eso, primero hay que entender el nivel de interconectividad.

21:33 – 21:34

Y yo estoy

21:34 – 21:38

decir que soy de los que ven el vaso medio lleno, solo para que Jessica lo sepa.

21:39 – 21:45

Pero lo intentamos con todas nuestras fuerzas como sector y fracasamos en tantas iniciativas.

21:45 – 21:53

Si me preguntáis —de hecho, ni siquiera voy a preguntar porque la gente va a querer levantar la mano—: «Oye, ¿tenéis un mapa completo de aplicaciones?».

21:53 – 21:56

Apuesto a que no se levantarán muchas manos.

21:56 – 22:04

Y eso está bien, quizá, porque ahora que lo hemos planteado así, podemos recuperarlo en un nivel diferente de abstracción.

22:04 – 22:09

Pero tengo curiosidad por saber qué opinas al respecto, porque probablemente ya pasaste por eso, ¿verdad?, en esa primera ronda.

22:09 – 22:10

¿Te sirve de ayuda?

22:11 – 22:17

Aún tienes que definir qué es «mínimamente viable», pero ¿te ayuda el hecho de haber abstraído esa asignación más detallada de la aplicación?

22:17 – 22:20

No solo la correspondencia de aplicaciones, sino también la de datos.

22:20 – 22:23

Tus aplicaciones son, en esencia, consumidoras de los datos.

22:23 – 22:31

Y, al fin y al cabo, un programa malicioso de ransomware o cualquier adversario que intente atacarte no lo hace porque le encante tu aplicación.

22:31 – 22:34

Esos son los esfuerzos de Power Tools, que son los datos, ¿verdad?

22:34 – 22:39

Así que de ninguna manera son tus datos los que deciden, y nuestros servicios de ataque simplemente se están descontrolando.

22:39 – 22:43

Y tú nos estás preguntando si alguna vez supimos dónde está nuestra aplicación.

22:44 – 22:51

Quizá en los años 70 y 80, cuando había aplicaciones cliente-servidor o se enviaba un terminal a un mainframe.

22:51 – 22:55

Hoy en día estás creando una de esas… estás pasando de crear

22:57 – 22:59

estás poniendo en marcha máquinas virtuales.

22:59 – 23:06

Tenéis todo el proceso de desarrollo, seguridad y operaciones que pone en marcha aplicaciones sobre la marcha y los datos residen en todas partes.

23:06 – 23:15

Y creo que por eso es tan importante contar con esa visibilidad de extremo a extremo: quién tiene los datos, quién accede a ellos y dónde se encuentran los controles.

23:15 – 23:19

Y esos principios básicos de «comerse las verduras de la seguridad» han avanzado mucho.

23:19 – 23:22

Aún así, hay que asegurarse de que se cumplen las medidas básicas de seguridad.

23:22 – 23:26

El control de acceso desde la gestión de identidades,

23:26 – 23:32

demostró que no se puede confiar en que todos esos movimientos laterales entre los puntos de datos sean seguros.

23:32 – 23:43

Porque tu capacidad de respuesta ante incidentes —o, como yo la llamo, «resiliencia ante incidentes», que se compone de respuesta, recuperación e integración en la resiliencia ante incidentes— depende de cómo

23:43 – 23:44

dispuesto que estés a adaptarte al entorno.

23:45 – 23:48

Vale, Zach, tengo que hacerte una pregunta.

23:49 – 23:51

Todo el mundo está saturado, ¿verdad?

23:51 – 23:58

Todos tus compañeros de trabajo, y cuando llegas, les aportas tus increíbles habilidades, habilidades que ellos no tienen.

23:58 – 24:00

¿Es que la gente no tiene tiempo para hacer esto?

24:00 – 24:10

Quiero decir, son cosas importantes, como señala Ricky, pero cuando te pones manos a la obra, ¿qué pasa? ¿Por qué no podemos llevar a cabo algunas de estas cosas?

24:10 – 24:13

¿Qué es lo que impide a la gente definir esto?

24:13 – 24:16

Bueno, porque en realidad hay un montón de cosas.

24:16 – 24:20

Yo diría que, en primer lugar, la cultura.

24:21 – 24:32

Están esos departamentos que, sobre todo en empresas más antiguas, y quiero hacer hincapié en el mapeo de aplicaciones: si tu aplicación tiene dos meses,

24:32 – 24:34

sabes exactamente de qué va.

24:34 – 24:42

Pero cuando llega a los dos años y tiene ramificaciones por todas partes, entonces ya no tienes ni idea de lo que está pasando.

24:42 – 24:47

Y así, sin más, en las empresas más antiguas se crean estas culturas.

24:48 – 24:53

El de seguridad, el de copias de seguridad, el de terminales… y no se mezclan.

24:53 – 24:57

Te relacionas con los de tu propio equipo, ¿verdad?

24:57 – 25:05

Ayer le dije a alguien que tengo 30 años de experiencia en TI y que 17 de ellos los he dedicado a la seguridad.

25:06 – 25:18

Ni un solo día de esos 17 años he conocido a mis compañeros de respaldo, lo cual es una locura porque, al fin y al cabo, si lo piensas bien, ¿qué estoy haciendo como responsable de seguridad?

25:18 – 25:23

No me encargo de proteger a la gente ni sus coches.

25:23 – 25:27

También protejo los datos, igual que los chicos de copias de seguridad.

25:29 – 25:38

Creo que, en las empresas y en nuestras culturas, tenemos que cambiar la forma en que concebimos las funciones de los demás y lo que realmente hacemos allí.

25:38 – 25:49

Estoy ahí para instalar un cortafuegos, un IPS, un SIM, un SOC y todas esas cosas tan interesantes, además de encargarme del análisis forense, las pruebas de estrés y la arquitectura.

25:49 – 25:54

La razón de todo ello se reduce a lo que cada uno hace allí.

25:54 – 26:04

Y se trata de generar esos datos, desarrollar las aplicaciones y prestar el servicio a la gente de a pie, o bien ofrecerlo al exterior,

26:05 – 26:08

Jessica, notaba que estabas al borde de la silla.

26:08 – 26:10

¿Cómo se supera eso?

26:10 – 26:17

Lo que quiero decir es que, de nuevo, hay que venderlo a un nivel muy diferente para cambiar ese aspecto cultural.

26:17 – 26:19

Me encanta que Sark haya sacado el tema de la cultura.

26:20 – 26:28

Y también en relación con lo que ha dicho Ricky sobre que, cuando ocurre un incidente o cuando nos preparamos para uno, se trata de mucho más que de seguridad.

26:28 – 26:35

Y sí, claro, hablamos de infraestructura, hablamos de copias de seguridad, pero también pensamos en toda la organización.

26:37 – 26:40

Pensamos en la cultura y en cómo puede verse afectado todo el mundo.

26:40 – 26:46

Así que, mientras Ricky hablaba, yo pensaba en lo que ha estado pasando este año en el Reino Unido.

26:46 – 26:56

Soy del Reino Unido, ahora vivo en Las Vegas, pero este año he pasado mucho tiempo en el Reino Unido, y uno de mis sitios favoritos es Marks & Spencer.

26:57 – 27:03

Las tiendas de Marks & Spencer son muy grandes, como todo el mundo sabe, muy grandes y muy largas.

27:03 – 27:14

Este año, el primer día que fui, intenté comprar algo de comida con mi tarjeta, pero no funcionaba, y pensé: «No, ¿qué está pasando aquí?», y resultó que era el día…

27:14 – 27:20

en el que se produjo un ciberataque que dejó fuera de servicio su página web; he perdido la cuenta de cuánto tiempo, pero estamos hablando de meses.

27:20 – 27:23

La cadena de suministro, no había nada en las estanterías.

27:23 – 27:31

Entré en Marks & Spencer y las estanterías estaban vacías, o solo había un producto que ocupaba toda una estantería.

27:31 – 27:35

Así que había, por ejemplo, un centenar de botellas de Coca-Cola en lugar de la variedad habitual.

27:35 – 27:39

Así que me puse a charlar con todo el mundo que había en la tienda.

27:39 – 27:42

Entro en la cafetería y charlo con la gente que trabaja allí.

27:42 – 27:46

No les digo que trabajo en ciberseguridad, sino que simplemente les digo: «Oh…»

27:46 – 27:47

no tenéis aguacates.

27:47 – 27:50

¿Tiene esto algo que ver con el incidente cibernético?

27:50 – 27:53

Y me pareció muy interesante cómo respondieron.

27:54 – 28:00

En primer lugar, y esto ocurrió con todas las personas con las que hablé, reconocieron lo difícil que les resultaba.

28:00 – 28:02

Y decían: «Venimos todos los días».

28:02 – 28:04

No sabemos a qué nos enfrentamos.

28:04 – 28:14

No sabemos si nos vamos a encontrar sin existencias que dar a los clientes o que ofrecerles, o si nos vamos a encontrar en una situación como la de la semana antes de Navidad y estamos desbordados con

28:14 – 28:15

stock.

28:15 – 28:21

Hay clientes que nos preguntan si tenemos XYZ y no podemos comprobarlo en los sistemas, así que no lo sabemos.

28:21 – 28:23

Así que reconocían lo grave que era la situación.

28:23 – 28:29

Y luego decían: «Pero tenemos mucha suerte porque trabajamos muy bien en equipo».

28:29 – 28:31

Todos nos apoyamos mutuamente».

28:31 – 28:34

La sede central nos mantiene informados constantemente.

28:34 – 28:41

Y he oído en varias ocasiones distintas lo mucho que respetan al equipo de seguridad.

28:41 – 28:45

Decían cosas como: «El equipo técnico está trabajando muy duro para que todo salga bien».

28:45 – 28:47

Y están trabajando sin descanso.

28:47 – 28:52

He oído que duermen en la oficina y que les traen pizza a domicilio.

28:52 – 28:54

Y esto, por cierto, no estaba ni mucho menos cerca de la sede central.

28:54 – 28:57

Esto está en el noreste de Inglaterra, en comparación con Londres.

28:57 – 28:59

Y pensé que hay mucho que podemos aprender de eso.

28:59 – 29:02

Y no dejaba de pensar en Wang.

29:02 – 29:03

Y pensé: «Bueno, ¿por qué yo…?»

29:03 – 29:04

me encanta ir a Marks & Spencer?

29:04 – 29:10

Es que tiene una imagen de confianza y tiene personalidad.

29:10 – 29:17

Y solo puedo deducir de esto que eso es algo interno, además de algo que se proyecta hacia el exterior.

29:17 – 29:20

Así que la comunicación es algo de lo que podemos aprender.

29:20 – 29:27

El respeto que venía desde la cúpula de la organización y se extendía a todos los niveles se refleja a su vez en los demás.

29:27 – 29:30

Y esto no se construye de la noche a la mañana.

29:30 – 29:33

Esto se construye a lo largo de los años en la cultura de la empresa.

29:33 – 29:36

cuando las cosas van bien, y se pone a prueba cuando las cosas van mal.

29:36 – 29:38

Qué interesante.

29:38 – 29:44

Otro factor que complica mucho todo esto es que hoy en día vivimos en un mundo de responsabilidad compartida, ¿verdad?

29:44 – 29:54

Así que hoy en día las empresas no solo se enfrentan a los silos que tienen dentro de su equipo de TI, de soporte jurídico y de bases de datos de aplicaciones.

29:54 – 29:59

sino que ahora también gestionan un entorno en el que las cargas de trabajo son cost-

30:05 – 30:09

Además, contáis con integradores de sistemas (SI) que os ayudan a realizar integraciones personalizadas y cosas por el estilo.

30:09 – 30:12

Entonces, ¿dónde empieza realmente la responsabilidad?

30:12 – 30:23

Porque hay que tener en cuenta el modelo de responsabilidad compartida en el que nos hemos situado intencionadamente, en el que tenemos la seguridad de la infraestructura, la seguridad de las nubes, de la

30:23 – 30:25

aplicaciones y de los entornos locales.

30:25 – 30:35

Y en la matriz de responsabilidad compartida, aunque todo el mundo entiende la necesidad de crear una cultura de buenas prácticas, se trata de un problema contradictorio.

30:35 – 30:41

Y eso impide que la gente elabore realmente estos planes de respuesta a incidentes y los ponga a prueba.

30:41 – 30:47

Y creo que las empresas que van a ganar esta batalla son aquellas que se proponen deliberadamente crear una audiencia compartida.

30:47 – 30:54

Así que, ¿sabes qué? Es importante que todos nuestros socios colaboren con nosotros para elaborar estos planes y, a continuación, ponerlos en práctica.

30:54 – 30:59

Porque, en momentos de crisis, tendréis que recurrir a la matriz de responsabilidad compartida.

30:59 – 31:03

Y de todos los que participan en ella para ayudaros a recuperaros.

31:04 – 31:09

Sí, es un punto interesante, y Zach, cuando dijiste: «Oye, no he hablado con ellos».

31:09 – 31:11

No es que te cayesen mal.

31:11 – 31:14

No es que tuvieras ningún prejuicio negativo ni nada por el estilo hacia ellos.

31:14 – 31:16

Es solo que pensabas: «Tengo mucho trabajo que hacer».

31:16 – 31:19

Esto es lo que hago.

31:19 – 31:25

Y tiene que trascender un ámbito mucho más amplio dentro de la propia organización.

31:25 – 31:26

Chicos, nosotros, los de seguridad.

31:26 – 31:30

Pensamos mucho en nosotros mismos, ¿verdad?

31:30 – 31:30

Sí.

31:33 – 31:33

la línea.

31:33 – 31:35

Lo mejor de la gama.

31:35 – 31:35

Exacto.

31:35 – 31:39

Y también me pregunto si se incluyó algo para animarte a hablar.

31:39 – 31:40

Para nada.

31:40 – 31:42

O para aprender juntos.

31:42 – 31:47

Podemos decir que podemos verlo como que no lo hicimos.

31:47 – 31:49

Pero, ¿lo facilitó la organización?

31:49 – 31:53

¿Era algo que se había diseñado para fomentar eso?

31:53 – 31:55

Sí, claro, ni hablar.

31:55 – 32:01

Y por eso le digo a la gente que hay que…

32:01 – 32:07

reunir a tus personas clave de toda la infraestructura e invitarlas a una cerveza cada semana.

32:07 – 32:10

Tienen que hablar entre ellos.

32:10 – 32:19

Aunque no se trate de colaboración ni nada por el estilo, tienen que saber el nombre, el número de teléfono y qué función desempeñan en la organización para que todo funcione sin problemas.

32:19 – 32:30

Porque estás creando divisiones, sin darte cuenta, estás separando a toda tu organización de dentro hacia fuera y no hay forma de… no hay…

32:30 – 32:34

vínculos de comunicación abierta real entre ellos.

32:34 – 32:45

Recuerdo que, durante el confinamiento, una organización con la que trabajé tenía muchas dificultades para conseguir que estos equipos interactuaran entre sí, sobre todo ahora que no estaban en la

32:45 – 32:48

oficina, ya sabes, y acabaron montando construcciones con Lego.

32:48 – 32:59

Enviaron un pequeño paquete de Lego a cada uno por separado, los reunieron en Zoom, Teams o lo que fuera, y todos construyeron con Lego en casa, cada uno por su cuenta, pero

32:59 – 33:00

juntos.

33:00 – 33:01

Y funcionó.

33:01 – 33:04

Sencillo, a un precio razonable, y que fomenta el trabajo en equipo.

33:04 – 33:05

Qué irónico.

33:05 – 33:06

Estamos en la ponencia principal.

33:06 – 33:09

Hay agentes que hacen cosas de forma automática.

33:09 – 33:11

Habrá gente en Marte.

33:11 – 33:16

Y nosotros, literalmente, solo estamos hablando de Legos, pizza y cómo sacar tiempo.

33:16 – 33:18

Pero es verdad, ¿no?

33:18 – 33:24

Pensamos en un nivel más elevado, pero hay algunas cosas básicas a las que tenemos que volver.

33:24 – 33:28

Bueno, Zach, hablando de eso, eh… hemos oído hablar de las operaciones de recursos.

33:28 – 33:30

Está de moda.

33:30 – 33:32

en lo más profundo de Twitter o X.

33:32 – 33:34

Lo siento, Dios mío, he usado el término anticuado.

33:34 – 33:35

Bueno.

33:35 – 33:37

Cuéntanos algo más sobre eso.

33:37 – 33:44

Quiero decir, sé que es algo que está de moda, que intentamos crear, pero hay algo real detrás de todo eso, ¿verdad?

33:44 – 33:54

Porque las herramientas, la interconexión, llámalo como quieras, siguen teniendo elementos reales que hacen que las operaciones de recursos sean una realidad.

33:54 – 34:03

Así que, quizá desde la perspectiva de las herramientas y de cómo vemos estas operaciones de resiliencia, ¿podrías darnos una idea de lo que realmente significa en la práctica?

34:06 – 34:09

Entonces, las operaciones de resiliencia son…

34:10 – 34:17

Bueno, tienes las herramientas, el personal y los procesos, pero si no lo pones a prueba… Voy a volver al tema de las pruebas, Chris.

34:17 – 34:24

Tienes que seguir… Si no lo pones a prueba, te quedas con todas esas herramientas a las que llevas años y años suscrito.

34:24 – 34:30

Es como mi… eh… abono a un… eh… campo de prácticas de golf donde…

34:30 – 34:31

eh

34:31 – 34:38

He ido allí dos veces en dos años y al final me he gastado miles por esas dos veces.

34:38 – 34:47

Así que tienes todas estas herramientas por las que pagas, a las que te suscribes y para las que compras servidores, y están funcionando allí en segundo plano.

34:47 – 34:50

Eh…

34:50 – 35:00

Si no sabes cómo utilizarlas y te encuentras con un incidente, lo único que harán es ralentizar tu recuperación.

35:00 – 35:08

Francamente, esas herramientas también son algo que hay que restablecer cuando las cosas se tuercen, ¿no?

35:08 – 35:16

Eh… Bueno, las herramientas no son nada que… Francamente, yo les diría a las empresas que ni siquiera se preocupen por las herramientas por el momento porque…

35:17 – 35:24

Porque si no lo hacéis, si vuestra gente no sabe cómo actuar, por ejemplo, si os encontráis en medio de un incidente ahora mismo, ¿qué vais a hacer?

35:24 – 35:25

¿Cómo se actúa?

35:25 – 35:27

¿Qué es lo siguiente que vas a hacer?

35:27 – 35:30

Bueno, entiendo lo del optimismo.

35:30 – 35:40

Es solo que, para que el cliente adopte esa mentalidad, no puedes decir que todo es simplemente…

35:40 – 35:41

eh

35:42 – 35:44

de color de rosa, ¿no?

35:44 – 35:46

Tienes que decir qué va a pasar.

35:46 – 35:54

Si no, si sigues siendo optimista, lo único que dirán es: «Entonces, parece que no necesitamos nada de esto, ¿verdad?».

35:54 – 35:56

Sí, y estoy de acuerdo.

35:56 – 35:59

No se trata de negar que vaya a pasar algo malo.

35:59 – 36:06

Se trata de cómo hablar de algo negativo de una forma que siga convenciendo a la gente.

36:06 – 36:08

Lo mismo ocurre cuando advierto de las amenazas.

36:08 – 36:10

Ya sabes, voy y hago campaña de concienciación.

36:10 – 36:12

Elaboro material de sensibilización.

36:13 – 36:13

y

36:13 – 36:16

Y, obviamente, hablo de las cosas malas.

36:16 – 36:20

No puedo concienciar sobre la ciberseguridad sin hablar de la amenaza.

36:20 – 36:27

Pero hay que hacerlo de forma proporcionada, para que la gente no piense que estás exagerando en tu propio beneficio.

36:27 – 36:37

Y luego hay que pensar en cómo se puede capacitar y empoderar a la gente, incluso cuando se habla de algo negativo, para que sientan que aún así pueden implicarse en ello.

36:37 – 36:39

Y en cuanto…

36:39 – 36:41

pues, obviamente, no vas a esperar a que se produzca el incidente.

36:41 – 36:43

Pero en cuanto haces algo como un…

36:43 – 36:55

simulacro de incidente virtual como el que tenemos en el ámbito de Recovery, entonces vas a entenderlo, vas a ver todas estas 10 herramientas, de 20 a 100 herramientas, y dirás: «Bueno, nosotros…»

36:55 – 37:03

ni siquiera hemos utilizado ninguna de ellas para recuperar nuestro entorno, ¿verdad? Eh, si llegas a ese punto

37:04 – 37:16

entonces, obviamente, podrás deshacerte de todo ese lastre y, con el tiempo, llegarás a ser un tipo ágil, del estilo MVC, capaz de recuperarse fácilmente.

37:16 – 37:21

Bueno, sabes lo que quieres hacer y has entrenado a tu gente lo suficientemente bien.

37:21 – 37:27

No puedes, así que no puedes llevar a cabo esos ejercicios sin la comunicación entre esos equipos.

37:27 – 37:28

Y ese es un término.

37:28 – 37:28

Así que.

37:29 – 37:33

Si no quieres mandarlos a por cerveza, al menos haz que entren en la sala.

37:33 – 37:42

Y empieza con esos ejercicios en los que simuláis situaciones en las que las cosas fallan en vuestro entorno.

37:42 – 37:44

Después, pregúntales: «¿Qué vais a hacer?».

37:44 – 37:45

¿Qué vas a hacer?

37:45 – 37:49

Y eso también es otro ejercicio de señalar con el dedo.

37:49 – 37:51

Es como si tuviéramos que sentarnos a hablar de ello, ¿no?

37:52 – 37:56

Hay que sacar a la gente de su zona de confort de forma adecuada.

37:56 – 37:59

Tienen que darse cuenta de qué son las mesas de juego en el parque.

37:59 – 38:03

Quiero decir que una mesa es solo una de las cosas que también hay que utilizar.

38:04 – 38:05

Hay simulacros de mesa.

38:05 – 38:07

Hay simulacros de evacuación.

38:07 – 38:10

También tenéis los ejercicios de «llave roja» y «llave morada», ¿verdad?

38:10 – 38:12

Y cada uno tiene su lugar en una organización.

38:12 – 38:20

Digamos que una organización es una empresa consolidada, que tiene claro cómo debe ser su «empresa mínima viable», que tiene todos sus procesos establecidos, que…

38:20 – 38:27

tienen la responsabilidad compartida bien definida y también han comprendido que, ya sabes, sí, tenemos que mirar más allá del cuerpo humano.

38:27 – 38:30

¿Cómo se empieza a hacer eso?

38:30 – 38:31

¿Qué te ayuda a prepararte?

38:31 – 38:37

Así que los ejercicios de simulación son, en esencia, ejercicios de bajo nivel de estrés.

38:37 – 38:38

No son módulos de formación.

38:38 – 38:48

Son sesiones reales de medio día o un día completo en las que se supone que os reunís con la responsabilidad compartida de hacer que la gente practique uno de los escenarios más probables a los que os

38:48 – 38:51

empresa tiene más probabilidades de vivir.

38:51 – 38:53

Y eso te ayuda a tener las ideas más claras.

38:55 – 38:57

Los equipos rojos son de una naturaleza totalmente diferente.

38:57 – 38:58

Son luchadores por la vida.

38:58 – 39:02

Y los equipos rojos, en esencia, te ayudan a construir una comunidad.

39:02 – 39:07

Así que hay una distinción real entre lo que aporta claridad y lo que fomenta la humildad.

39:07 – 39:08

Me gusta eso.

39:08 – 39:11

Y luego, los ejercicios de reconstrucción son, en esencia, una fuente de verdad.

39:11 – 39:16

Es una reflexión en la que te planteas tus evaluaciones de madurez en materia de ciberresiliencia.

39:16 – 39:17

Y te dices: «¿Sabes qué?».

39:17 – 39:20

Tenemos todos estos planes que hemos elaborado basándonos en nuestra evaluación.

39:20 – 39:23

¿Hasta qué punto se van al traste nuestros planes?

39:23 – 39:27

Esa es la verdad: que el ejercicio de Weibull es totalmente diferente.

39:28 – 39:34

Todo esto tiene que encajar para que te hagas una idea real de lo preparado que estás.

39:36 – 39:38

Así que estás diciendo que es fácil.

39:38 – 39:40

Déjame apuntarlo.

39:40 – 39:42

En cierto modo, lo es.

39:42 – 39:43

Por favor, por favor.

39:43 – 39:44

Te he cortado.

39:44 – 39:45

No

39:51 – 39:52

Lo primero

40:03 – 40:09

Las otras dos veces al mes que nos reunimos, hablamos de negocios.

40:09 – 40:13

Qué podría pasar, qué pasa, quién está al mando, con quién hay que ponerse en contacto.

40:13 – 40:19

Y he establecido una comunicación entre todos ellos para que cada departamento lo viera exactamente de la misma manera.

40:19 – 40:25

Cada uno sabía, ya sabes, que él no es tan mala persona aunque trabaje por allí, o que ella no lo sea aunque trabaje por allí.

40:25 – 40:28

Ahora sé que somos una familia, somos una empresa.

40:28 – 40:29

Todos tenemos algo en juego.

40:29 – 40:31

Si algo sale mal…

40:31 – 40:33

Sabemos cómo solucionarlo.

40:33 – 40:34

Confiamos los unos en los otros.

40:34 – 40:39

En cambio, he trabajado en empresas en las que la gente te dice: «Ese es tu problema».

40:39 – 40:40

«Eso no es cosa nuestra».

40:40 – 40:45

Y entonces la empresa empieza a toparse con un muro. Todos los beneficios caen en picado.

40:45 – 40:46

El dinero se agota.

40:46 – 40:52

Entonces, si se trata de un ciberataque, la compañía de seguros vendrá y dirá: «Ya sabes, no estás siguiendo el procedimiento».

40:52 – 40:53

Te vamos a dar de baja.

40:54 – 41:00

Lo he planteado así para que no nos desviemos hablando de cerveza, porque no voy a fomentar el consumo de alcohol.

41:03 – 41:04

Nos vamos a comer.

41:04 – 41:05

No hablemos de negocios.

41:05 – 41:07

Simplemente conocéos un poco.

41:07 – 41:09

Mantén la conversación en un plano humano, ¿no?

41:09 – 41:09

Exacto.

41:09 – 41:10

Que se mantenga en un plano humano.

41:10 – 41:13

Y cuando te sientes, les digo…

41:15 – 41:15

servicio.

41:21 – 41:23

Así que cada uno es alguien diferente.

41:23 – 41:25

Ahora estáis hablando todos.

41:25 – 41:26

Todos hablando.

41:26 – 41:27

Y os estáis conociendo.

41:27 – 41:31

La semana que viene, cuando tengamos la reunión, vale, ahora vamos a sentarnos.

41:31 – 41:32

Vamos a hablar.

41:36 – 41:40

Le dije: «¿Eso fue todo?».

41:40 – 41:42

Y, eh, el Hospital Lennox Hill.

41:42 – 41:43

¿Qué opinas?

41:43 – 41:48

¿Qué es lo que hicieron mal que nos puede ayudar a mejorar, que nos ayudó a mejorar?

41:48 – 41:55

Porque ahora estamos utilizando un ataque externo para desarrollar un procedimiento que podamos utilizar para hacernos más fuertes.

41:56 – 41:58

En los ocho meses que han pasado desde que ocurrió eso…

42:04 – 42:06

se sienten bien consigo mismos.

42:06 – 42:12

Dije: «Ojalá hubiera leído el libro de Jessica en aquel momento».

42:12 – 42:14

Y les digo que todo gira en torno a la comunicación humana.

42:14 – 42:18

Porque ahora todos se comunican entre sí.

42:18 – 42:22

¿Lo han oído todos? ¿Lo ha oído todo el mundo? ¿Lo han oído todos?

42:22 – 42:24

Quiero decir, es sencillo.

42:24 – 42:26

se puede aplicar y es repetible, ¿verdad?

42:26 – 42:29

Porque lo hiciste mes tras mes tras mes, ¿verdad?

42:29 – 42:30

Sí, claro.

42:31 – 42:32

Fantástico.

42:32 – 42:34

Ahí había un par de cosas realmente clave.

42:34 – 42:42

Uno: utilizas la palabra «confianza», generar confianza en esas relaciones, no solo confianza en el ámbito profesional, sino también como personas.

42:42 – 42:43

Y luego eso…

42:43 – 42:52

cultura de aprendizaje en la que, una vez que hayamos generado algo de esa confianza y nos hayamos conocido y nos sintamos cómodos los unos con los otros, entonces nos sentaremos y…

42:52 – 42:53

vamos a hablar de un incidente.

42:53 – 42:59

Vamos a hablar de lo que quizá salió bien, de lo que salió mal, y vamos a reflexionar sobre nosotros mismos y sobre lo que podemos hacer de otra manera.

42:59 – 43:05

Como has construido esas relaciones de confianza, la gente se sentirá más cómoda para hacerlo.

43:05 – 43:12

Así que confianza, aprendizaje, cultura y, sobre todo, construir esa cultura de comunicación más amplia.

43:12 – 43:13

Creo que eso es muy importante.

43:13 – 43:23

Además, si algo sale mal y, como individuo, no sabes a quién acudir, pero conoces a algunas personas aquí y allá, puedes ir y decir: «Oye, ha pasado esto».

43:23 – 43:24

Esto me preocupa».

43:24 – 43:25

¿Qué podemos hacer?

43:25 – 43:27

Y poned vuestras mentes a trabajar.

43:27 – 43:30

Pero gran parte de eso tiene que ver con la cultura y con que la gente se sienta segura.

43:30 – 43:34

Eh…

43:34 – 43:40

Tengo que reconocerlo, porque lo que voy a decir ahora lo saqué de un podcast que grabé esta misma mañana.

43:40 – 43:49

Y ese señor era el ingeniero de protección de datos y resiliencia de Blue Cross Blue Shield South Carolina Hillman.

43:49 – 43:49

Está aquí.

43:49 – 43:51

Es un tipo estupendo.

43:51 – 43:58

Y cuando estábamos terminando, le dije: «Oye, ¿hay algo que te gustaría dejarles a todos en el podcast?».

43:58 – 44:02

Porque lleva 25 años en el ámbito de la protección de datos.

44:02 – 44:04

Eh…

44:04 – 44:05

Le encanta lo que hace.

44:06 – 44:14

Y dijo: «Ya sabes, desde que empecé de chaval, recién salido de la universidad, en el servicio de asistencia técnica, hasta ahora».

44:14 – 44:19

Esfuérzate y ponte en medio de la situación.

44:20 – 44:24

No tengas miedo, porque te sorprendería saber quién te sigue.

44:24 – 44:35

Y pensé que, ya sabes, no es nada del otro mundo, pero la pasión, no tener miedo de meterte en el meollo de la acción, y luego es increíble a quién consigues que te acompañe cuando eso…

44:35 – 44:36

sucede.

44:36 – 44:45

Y si tienes eso, además de lo que ya has hecho, cuando se reúnen y llegan a conocerse, todo encaja a la perfección

44:45 – 44:47

y surgen cosas buenas, ¿verdad?

44:47 – 44:58

Creo que mi única objeción a eso, y probablemente se deba en parte a la cultura, es que depende del entorno en el que lo hagas, de si la gente te seguirá o…

44:58 – 45:09

si, y si la gente se sentirá cómoda situándose en medio de ese entorno o si pensará, como ha dicho Zak antes, que la gente les va a señalar con el dedo.

45:09 – 45:13

¿Voy a asomar la cabeza y voy a convertirme en el único al que se culpará?

45:13 – 45:14

Oh

45:14 – 45:19

Y además, esto podría plantear problemas de agotamiento.

45:19 – 45:24

Si siempre soy yo quien tiene que correr a arreglar las cosas, ¿cuándo empezará eso a pasarme factura?

45:24 – 45:27

Se necesita algo de compañerismo ahí, en el cuerpo de bomberos.

45:28 – 45:32

Y si tienes la cultura adecuada que te respalde, entonces estoy totalmente de acuerdo.

45:32 – 45:43

Pero en organizaciones donde no se forjan esas relaciones, donde no hay esa empatía y confianza, y donde no existe esa seguridad psicológica de no tener que preocuparse por

45:43 – 45:44

que te culpen,

45:44 – 45:47

creo que se trata de un escenario muy diferente.

45:47 – 45:49

Es una observación muy acertada.

45:49 – 45:52

Requiere múltiples niveles en la pirámide.

45:52 – 45:55

No es por ser negativo, solo estoy hablando del sesgo de optimismo.

45:55 – 45:58

Dios mío, ¿qué ha pasado con el 80 %?

45:58 – 45:59

¿Te acuerdas?

46:07 – 46:08

un entorno estabilizado.

46:10 – 46:15

de TI que están a cargo del equipo corporativo y de los responsables de las unidades de negocio.

46:17 – 46:21

servicios o aspectos en los que se producen solapamientos.

46:21 – 46:25

Así que, simplemente, hay una línea muy, muy fina en cuanto a cuánto quieres reducir.

46:28 – 46:31

separar las cosas, porque es algo muy complicado.

46:31 – 46:36

Somos casi como ocho unidades de negocio diferentes, cada una con sus propios objetivos y sus propias prioridades.

46:36 – 46:39

Tu mercado corporativo centralizado es uno solo.

46:43 – 46:50

Si te pones de acuerdo antes incluso de hacer un solo cambio y las cosas se tuercen, todos, en sus respectivos grupos, están listos para atacarte en ese mismo momento.

46:50 – 46:54

Es una línea muy fina, en lo que respecta a las respuestas compartidas, especialmente en la nube y todo lo demás.

46:54 – 46:58

Por ejemplo, si tienes un inquilino con varias suscripciones en Azure.

47:01 – 47:03

¿Y has separado esas cosas, verdad?

47:08 – 47:18

Por eso mencioné lo de la responsabilidad compartida, porque ese es el quid de la cuestión, donde estamos fallando como sector, y creo que es por eso por lo que tenemos tantos obstáculos en

47:18 – 47:23

normativas de las que se habla ahora, como la DORA en Europa y todas esas otras cuestiones.

47:25 – 47:38

están obligando a los consejos de administración a tomarse en serio la resiliencia y a disponer de métricas demostrables que pongan de manifiesto que, efectivamente, como organización, estamos haciendo lo correcto

47:38 – 47:45

en lo que respecta a mantener la seguridad de los datos y ser capaces de demostrar resiliencia cuando se producen brechas de seguridad.

47:45 – 47:58

Y creo que, a medida que las normativas se vuelven más estrictas y las sanciones más severas, parte de esa población interorganizacional no deseada, pero muy necesaria, y

48:03 – 48:16

Y quizá no sea por forzar, ya sabes, no pretendo forzar el término «IA», pero si nos fijamos en los aspectos positivos, tenemos que liberar algo de tiempo para que la gente pueda dedicarse a eso.

48:16 – 48:17

Ese es el verdadero problema.

48:17 – 48:24

Quiero decir, creo que, entre líneas, no solo podría ir a peor, sino que hay que distribuir el tiempo entre esos equipos.

48:41 – 48:41

¿Algo más?

48:41 – 48:43

Os agradezco a los dos que hayáis puesto esto en marcha.

48:43 – 48:45

Íbamos justo a eso, así que esto es genial.

48:45 – 48:47

¿Alguna otra pregunta?

48:47 – 48:48

¿Sí?

49:14 – 49:15

tema.

49:18 – 49:18

Entonces.

49:31 – 49:32

¿Puedo verlo?

49:32 – 49:41

Bueno, sí, ¿qué pasa cuando hacéis estos ejercicios juntos con todo el equipo, verdad?

49:41 – 49:50

La confianza que se está forjando ahí no es una confianza que pueda romperse por un incidente, porque eso es precisamente lo que se está poniendo a prueba.

49:50 – 49:54

Estás simulando un incidente que va a ocurrir en el futuro.

49:54 – 49:58

Así que, con ese antecedente, entonces…

49:58 – 50:15

¿por qué, bueno, solo es una pregunta mía, por qué iba a sospechar alguno de los miembros del equipo de otra persona del equipo si hacéis dos de estos ejercicios al año y a ellos no se les dice más de

50:15 – 50:16

eso.

50:16 – 50:21

Se reúnen todos y ven cómo ocurre el incidente.

50:22 – 50:33

Se celebra una reunión virtual en la que se habla de lo que ha ocurrido, de cómo se ha desarrollado, de qué normas se han incumplido y de cómo se ha llevado a cabo.

50:33 – 50:35

Y se analiza todo ello con todo el equipo.

50:35 – 50:40

Así, cada uno de ellos ve realmente el ataque, venga de donde venga.

50:40 – 50:52

Así que, cuando ocurra, cuando suceda de verdad, dudo mucho que esa confianza se rompa a causa del accidente.

50:55 – 50:56

Sí, claro.

50:56 – 51:01

Ah, eso es si no has construido esa confianza antes.

51:01 – 51:02

Sin duda.

51:02 – 51:05

Entonces, eso es, de hecho, una observación muy acertada.

51:05 – 51:13

Es una observación muy acertada: si antes de eso no te has ganado la confianza, la situación va a ser mucho peor.

51:13 – 51:14

Un problema exponencial.

51:14 – 51:21

Porque cuando hablábamos de esto, sé por una de las empresas en las que he estado…

51:21 – 51:30

En Sudáfrica, había toda una división de la empresa; estamos hablando de unos cuatro mil quinientos empleados en una sola sede.

51:30 – 51:44

Toda esa sección quedó aislada de cualquier red y el responsable de seguridad —yo no era el responsable de seguridad por entonces—, pero señalaba al técnico de redes y este, el técnico de redes, simplemente…

51:44 – 51:45

señalaba a su vez hacia él.

51:45 – 51:49

Durante unos días, toda esa ala estuvo sin conexión porque no pudieron…

51:50 – 51:53

No dejan de discutir sobre de quién es la culpa.

51:53 – 52:00

Y eso es la red y la seguridad, que en realidad uno pensaría que están bastante interrelacionadas.

52:00 – 52:01

Sí.

52:10 – 52:15

Probablemente sea bueno plantearse buscar una solución y creo que debe venir de arriba abajo.

52:15 – 52:21

Es decir, cuando los niveles más altos de la dirección te apoyan para sacarte de esa situación.

52:30 – 52:34

De que la alta dirección nos respalde y nos apoye en esto.

52:34 – 52:37

Quiero decir que se trataba, sin duda, de una falta de seguridad en la red.

52:37 – 52:42

Eran dos empresas diferentes, pero eran como filiales de la misma organización matriz.

52:43 – 52:44

Tenían un túnel de extremo a extremo.

52:45 – 52:49

Cualquier conexión abierta entre las redes de las dos empresas la teníamos a través de la VPN.

52:49 – 52:53

La empresa asociada solo necesitaba acceso a un par de aplicaciones.

53:00 – 53:04

Los chicos del equipo de redes son los mismos que forman parte del equipo de seguridad.

53:04 – 53:06

Exactamente la misma situación.

53:10 – 53:21

Ah, y esta es la idea de una cultura justa y de que sea restaurativa o retributiva.

53:21 – 53:26

Así que, cuando algo sale mal, ¿te fijas en lo que ha salido mal o en quién tiene la culpa?

53:30 – 53:34

Yo… Buena, buena pregunta.

53:34 – 53:36

Creo que es una buena pregunta.

53:36 – 53:37

Creo que es una buena pregunta.

53:37 – 53:53

Me parece bien, me parece bien, me parece bien, me parece bien, creo que… creo que es buena, creo que es buena, creo que es buena…

53:57 – 54:00

¿Estás señalando con el dedo o estás intentando llegar a la raíz del problema?

54:00 – 54:05

Creo que todos hemos estado hablando de defensa y profundidad.

54:05 – 54:15

Creo que ahora es el momento de cambiar nuestra mentalidad —ya que estamos en SHIFT— y pasar de la defensa y la profundidad a la confianza y la profundidad.

54:15 – 54:24

Lo que quiero decir con esto es que confíes en que tu equipo hará lo correcto, que confíes en que tus procesos se consolidarán y que también confíes en las herramientas tecnológicas de las que dispones

54:24 – 54:25

disposición.

54:25 – 54:28

Para actuar tal y como has planeado.

54:28 – 54:35

Por ejemplo, estás recuperando algo, pero ¿qué pasaría si el ataque de ransomware o el ataque de malware hubiera inhabilitado o comprometido tu plan de Recovery?

54:37 – 54:42

Supongamos que no dispones de una solución de aislamiento físico y que ahora tu entorno de Recovery está comprometido.

54:42 – 54:45

Así que estás recuperando datos desde un entorno infectado hacia un entorno fraudulento.

54:45 – 54:48

Así que, en realidad, no puedes confiar en esos datos, ¿verdad?

54:48 – 54:54

Y creo que por eso vamos a analizar: «Genial, tenemos todas estas defensas, reanudemos la brecha».

54:54 – 55:00

Y si se reanuda la violación, entonces se está diciendo: «Voy a confiar en todo, implícita o explícitamente».

55:00 – 55:06

Y entonces tengo que asimilar en mi mente esta idea de que quiero confiar en ello a fondo, lo que significa que todo mi…

55:06 – 55:11

procesos de apoyo deben ser fiables para llevarme a un estado de confianza.

55:12 – 55:16

Y entonces creo que lo preestablecido —y perdón, no me refiero a mí—, todo eso debería desaparecer.

55:16 – 55:18

Deberían desaparecer, ¿verdad?

55:18 – 55:20

Bueno, yo,

55:21 – 55:23

solo nos quedan un par de minutos.

55:23 – 55:24

Os agradezco de todo corazón a todos.

55:24 – 55:25

cantando.

55:25 – 55:26

Agradezco de verdad las preguntas.

55:26 – 55:32

Teníamos la esperanza de que… pensábamos: «Dios mío, después de todos esos rollitos de pollo, ¿la gente va a tener preguntas?».

55:32 – 55:33

Y ahí estaban.

55:33 – 55:36

Así que no podríamos haber pedido un final mejor.

55:36 – 55:40

Pero quiero dar las gracias de todo corazón a dos grupos.

55:40 – 55:41

En primer lugar, a Jessica.

55:41 – 55:43

Gracias, Ricky, Zak.

55:43 – 55:45

Me refiero a las millas recorridas hasta aquí.

55:45 – 55:47

Increíble, ¿verdad?

55:48 – 55:53

Espero que hayáis podido entendernos bien a Ricky y a mí, con nuestros acentos.

55:53 – 55:55

Es que tienen los mejores.

55:55 – 56:00

Es que, ya sabes, Dallas y Phoenix… Vamos, por favor.

56:00 – 56:02

Pero, lo más importante, quiero darte las gracias.

56:02 – 56:03

Gracias por dedicarme tu tiempo.

56:03 – 56:07

Sé que ha sido una sesión larga, sobre todo justo después de comer.

56:07 – 56:12

Y, lo que es aún más importante, gracias por venir a SHIFT, por ser clientes de Commvault y por depositar vuestra confianza en nosotros.

56:12 – 56:14

Os lo agradecemos muchísimo.

56:14 – 56:15

Bueno.

56:15 – 56:19

Que disfrutéis del resto de las sesiones y nos vemos por ahí.