Preparación de herramientas para la respuesta ante incidentes

El comportamiento humano suele determinar los resultados durante las crisis. Preparar a los equipos para hacer frente al estrés, la incertidumbre y la toma de decisiones bajo presión contribuye a reducir considerablemente el riesgo. 

El sesgo de optimismo lleva a muchos equipos a creer que es poco probable que se produzcan ataques. Enmarcar el riesgo cibernético en términos empresariales y de misión contribuye a impulsar medidas significativas. 

Una cultura sólida fomenta la confianza, la comunicación abierta y una colaboración más ágil, lo que contribuye a reducir la confusión y los puntos ciegos durante los incidentes. 

Los ciberataques suelen dañar los sistemas y las credenciales. La reconstrucción a partir de puntos de referencia limpios y verificados evita que se produzca una nueva infección y refuerza la confianza en el proceso de Recovery. 

Los ejercicios y las simulaciones ayudan a desarrollar la memoria muscular, a detectar deficiencias ocultas y a reducir drásticamente el tiempo de respuesta durante los ataques reales. 

Consultaaquíel vídeo para ver la transcripción con marcas de tiempo

00:08 – 00:10

Bienvenidos a todos, gracias de nuevo.

00:10 – 00:11

Hay mucha gente aquí.

00:11 – 00:14

Primera sesión de trabajo, tras la sesión plenaria.

00:14 – 00:19

Eh… Estáis aquí, en el lugar adecuado, para prepararos para la gestión de incidentes.

00:19 – 00:24

Vamos a hablar de las personas, los procesos, las herramientas y la tecnología.

00:24 – 00:26

Y yo seré vuestro presentador, Chris Mierzwa.

00:26 – 00:31

Soy director sénior aquí, en Commvault, y me encargo de nuestros programas globales de resiliencia.

00:31 – 00:41

Y, por supuesto, soy un poco parcial porque se trata de nuestro panel, pero esto no tiene precedentes: seis horas sin parar para ir al baño.

00:41 – 00:46

Y tengo que decirte que estuvimos debatiendo si debíamos hacerlo o no.

00:46 – 00:49

Quizá vaya en contra de las normas, pero lo intentaremos.

00:49 – 00:49

No, es broma.

00:49 – 00:53

Una hora en vuestros calendarios, pero es una de las pocas.

00:53 – 00:53

Pues eso, gracias.

00:53 – 00:58

Sé que es un gran compromiso estar aquí durante 60 minutos, pero os prometo que merecerá la pena.

01:00 – 01:08

Hemos reunido a tres personas increíbles, y voy a hacer una breve presentación de cada una de ellas, porque puedo hacerlo con menos modestia que ellas mismas.

01:08 – 01:14

Pero quiero asegurarme de que, durante la próxima hora, os deis cuenta del nivel de talento que hay aquí.

01:14 – 01:16

Y espero que sintáis lo mismo que nosotros.

01:16 – 01:27

Estamos intentando abordar e integrar tres ámbitos únicos que, al menos desde mi punto de vista, quizá no se hayan tratado antes en lo que respecta a cómo debemos pensar y prepararnos

01:27 – 01:30

para la respuesta ante incidentes de formas nuevas y originales.

01:30 – 01:32

Y eso es precisamente lo que esperamos abordar.

01:33 – 01:36

Sin más preámbulos, voy a empezar por mi izquierda.

01:36 – 01:36

Dr.

01:36 – 01:38

Jessica Barker.

01:38 – 01:40

He tenido la oportunidad de conocerte un poco durante los últimos meses.

01:40 – 01:44

Eh… Esto es único.

01:44 – 01:51

Ella nos aporta una amplia experiencia en ciberseguridad y, además, la aborda desde un punto de vista humano.

01:51 – 01:59

Así que, aunque espero que todos tengamos algo único que aportar, os puedo asegurar que probablemente nunca hayáis oído hablar de lo que ella ha hecho antes, pero os voy a dar un poco más de información sobre ella.

01:59 – 02:03

Dos libros, debates en circuitos internacionales.

02:03 – 02:15

Está todo el tiempo en un avión, recorriendo el mundo, hablando con gente, hablando con empresas como la vuestra sobre cómo preparar a las personas para aquellas cosas a las que normalmente no estáis…

02:15 – 02:15

de las que no se suele hablar.

02:15 – 02:18

¿Cómo se gestionan realmente estas cosas, verdad?

02:18 – 02:20

Y vamos a profundizar en ello.

02:20 – 02:21

Gracias por estar aquí.

02:21 – 02:22

Sí, claro.

02:22 – 02:23

Muy bien.

02:23 – 02:24

Una más.

02:24 – 02:26

Pasemos a Ricky Mayer.

02:26 – 02:38

Oye, Ricky, acabas de incorporarte a Commvault, bienvenido a bordo, ¿verdad? Llevas unos meses con nosotros y vienes con más de 25 años de experiencia en TI como alto ejecutivo, y ahora eres nuestro vicepresidente de

02:38 – 02:42

servicios globales y profesionales de Commvault.

02:42 – 02:43

Pero…

02:43 – 02:54

una larga trayectoria profesional en IBM, Kyndral, VMware y, ya sabes, cuando tienes a gente dedicada a los servicios profesionales, no se pone a prueba tu capacidad cuando las cosas van bien.

02:54 – 02:56

La prueba de fuego llega cuando surgen los retos.

02:56 – 03:02

Y está claro que has vivido muchos de ellos, y hoy nos vas a transmitir gran parte de esa magia, así que gracias por estar aquí.

03:02 – 03:04

Muy bien, grandullón.

03:04 – 03:05

Por cierto,

03:05 – 03:11

Es originario del Reino Unido, pero ahora vive en EE. UU., en Dallas y Fort Worth, ¿verdad?

03:11 – 03:15

Zak ha venido de un pueblecito llamado Ciudad del Cabo, ¿verdad?

03:15 – 03:18

Un vuelo corto, pues.

03:18 – 03:19

Un pueblecito.

03:19 – 03:20

Sí, un pueblecito.

03:21 – 03:24

Zak y yo trabajamos juntos bastante a menudo.

03:24 – 03:27

Eh… Tenemos mucha suerte de poder contar con él.

03:27 – 03:34

Su amplia experiencia técnica sobre el terreno… ah, un auténtico talento técnico.

03:34 – 03:40

A lo largo de mi carrera he tenido el privilegio de trabajar con muchas personas que poseen una gran perspicacia técnica.

03:41 – 03:54

No pretendo exagerar, pero Zach está claramente en la cima de su carrera, y hoy nos va a aportar, ya sabes, una visión real desde el terreno de batalla y cómo abordar eso desde un

03:54 – 03:54

herramientas.

03:54 – 03:57

Así que espero haberle hecho justicia.

03:57 – 03:59

Hoy vais a sentir la magia aquí.

03:59 – 04:03

Dicho esto, quiero empezar contigo, Jessica.

04:03 – 04:11

Bueno, cuando estábamos preparando el programa, sacaste a colación un término sobre el que todos necesitamos aprender un poco, y es este

04:11 – 04:13

sesgo de optimismo.

04:13 – 04:18

Si pudieras explicárnoslo, nos serviría como un excelente punto de partida para la sesión.

04:18 – 04:19

Claro.

04:19 – 04:31

Hay algo que me parece realmente útil en materia de ciberseguridad, ya que siempre me fijo en el aspecto humano; creo que podemos aprender muchísimo de la neurociencia, la psicología y la sociología.

04:31 – 04:41

de estas disciplinas que estudian el comportamiento humano y las formas de pensar, lo que nos lleva a tomar decisiones y lo que nos hace actuar como lo hacemos. Entre

04:41 – 04:48

Los conceptos y los extensos trabajos de investigación en neurociencia giran en torno a esta idea del sesgo de optimismo.

04:48 – 04:55

Las investigaciones demuestran que el 80 % de las personas de todo el mundo tenemos una predisposición al optimismo.

04:55 – 05:04

Esto es así independientemente de dónde estemos, de nuestro género, edad, origen étnico o contexto socioeconómico.

05:06 – 05:10

Y miramos el mundo, el amplio mundo, y pensamos que las cosas van a peor.

05:10 – 05:17

Pero, ya sea desde la perspectiva individual, familiar o de equipo, tenemos esta tendencia al optimismo.

05:17 – 05:21

Básicamente, pensamos que lo malo no nos va a pasar a nosotros.

05:21 – 05:26

En cuanto a la investigación, se han llevado a cabo numerosos estudios al respecto, muchos de ellos dirigidos desde Londres por el Dr.

05:26 – 05:29

Tali Sharot, así que si quieres echarles un vistazo, te lo recomiendo encarecidamente.

05:30 – 05:35

Y esta investigación se centra, en general, en aspectos como la salud o el divorcio,

05:36 – 05:38

no creen que les vaya a pasar nada malo.

05:38 – 05:42

Creo que esto tiene una gran aplicabilidad a la ciberseguridad.

05:42 – 05:54

Cuando empecé a informarme sobre el tema, pensé que, por eso, cuando nos presentamos ante un consejo de administración con todas las estadísticas que indican que es probable que se produzca un incidente en algún momento, ¿por qué…

05:54 – 05:55

pueden restarle importancia.

05:55 – 05:58

Porque piensan que eso les pasa a los demás.

05:58 – 05:59

Pero eso no nos va a pasar a nosotros.

05:59 – 06:06

Y creo que esto tiene un gran impacto en todo tipo de aspectos de la ciberseguridad

06:06 – 06:08

entre los que destaca la respuesta ante incidentes.

06:08 – 06:15

Y supongo que ese sesgo se agrava aún más cuando pasan cosas, cosas malas.

06:15 – 06:15

Sí.

06:15 – 06:19

Porque piensan: «Esto va en contra de todo lo que podría haber imaginado».

06:19 – 06:20

Sí, eso es.

06:20 – 06:30

Socava ese tipo de memoria muscular, esa resiliencia —tanto individual como de equipo e incluso organizativa—, porque pensamos: «Bueno, no creíamos que esto fuera a…»

06:30 – 06:30

«suceder».

06:30 – 06:35

Así que hay cierto revuelo y, ya sabes, las herramientas, los procesos y el…

06:35 – 06:41

El factor humano en la respuesta ante incidentes: simplemente no están preparados, porque nunca se había previsto.

06:41 – 06:42

Ya veo.

06:42 – 06:43

Y tengo curiosidad por una cosa.

06:43 – 06:48

Probablemente todos conocemos a personas en nuestra vida que ven el vaso medio lleno o medio vacío.

06:48 – 06:54

Según tus datos, el 80 % de la gente, en este sentido, ve el vaso medio lleno.

06:54 – 06:55

Sí.

06:55 – 06:57

% de ocupación, por usar la analogía.

06:57 – 07:05

Pero conoces a gente y hay personas que están por debajo de la mitad de su capacidad, pero tú piensas para tus adentros que, cuando lo analizan, eso es…

07:05 – 07:07

donde siguen estando en ese 80.

07:07 – 07:15

Y también esa diferencia entre un cinismo —quizá generalizado en todo el mundo— y pensar en cómo te van a salir las cosas.

07:15 – 07:17

m

07:17 – 07:21

Y, a nivel personal, conocer tus expectativas y mantener el optimismo es algo positivo.

07:21 – 07:25

No estoy diciendo que debamos intentar eliminar el optimismo del diseño.

07:25 – 07:31

Yo mismo soy una persona optimista y, a menudo, reconozco que el sesgo optimista me influye.

07:31 – 07:32

El optimismo es

07:32 – 07:41

Genial. No habríamos llegado a donde estamos como seres humanos si no fuéramos optimistas y, además, ya sabes, francamente nos costaría mucho superar el día a día si no tuviéramos algo de

07:41 – 07:46

optimismo. Así que, en lugar de intentar, eh… diseñarlo

07:47 – 07:51

una cosa es reconocerlo y otra muy distinta es aprovecharlo cuando podamos.

07:52 – 08:02

Así que, en lugar de, ya sabes, recurrir al dicho de «no es cuestión de si sucederá, sino de cuándo» e intentar asustar a la gente, podemos decir: «¿Sabes qué? Es probable que se produzca un incidente, pero podemos estar

08:02 – 08:03

«preparados».

08:03 – 08:05

Hay cosas que podemos hacer para tener, eh…

08:05 – 08:12

las herramientas necesarias y los procesos adecuados, y cuanto más nos preparemos, más resilientes seremos.

08:12 – 08:17

Así que hay que darle un enfoque optimista a algo que supone un reto.

08:18 – 08:26

Y a la hora de allanar el camino para las personas que forman parte de ese 20 %, ¿hasta qué punto resulta difícil?

08:26 – 08:31

¿O en qué medida están preparados, teniendo en cuenta que tienen un sesgo en sentido contrario?

08:31 – 08:35

Tener una predisposición en contra del optimismo puede suponer, por sí misma, todo un reto.

08:35 – 08:41

Porque puedes pensar: «Bueno, siempre va a pasar algo malo, así que ¿para qué me voy a molestar?».

08:41 – 08:48

Así que ese tipo de mensaje sobre estar preparado, por extraño que parezca, funciona para ambas partes, lo cual resulta bastante útil.

08:48 – 08:53

Sí, Ricky, estoy seguro de que los grandes proyectos, cuando salen mal, ¿verdad?

08:53 – 08:55

¿En qué situaciones has visto que esto ocurra?

08:55 – 09:09

Mira, durante una crisis, a menudo no estamos a la altura de nuestros planes de relaciones con los inversores ni de ningún otro plan. A menudo nos limitamos al nivel de nuestra práctica de ejecución; los comportamientos ensayados suelen ser mejores que

09:09 – 09:18

Las grandes intenciones y la respuesta ante los incidentes —o, como yo la llamo, la resiliencia ante los incidentes— es precisamente eso: un objetivo

09:19 – 09:25

pero sin práctica y sin comportamientos ensayados en ese modelo mental y en esa memoria muscular mental.

09:27 – 09:35

Y si tu primer desastre es el lugar donde realizas tu primer simulacro, el resultado no será la resiliencia, sino mala prensa.

09:36 – 09:50

Así que, retomando lo que decía Jessica sobre el sesgo optimista, a menudo tendemos a olvidar que, como seres humanos, tenemos que fijarnos en los procesos y en las herramientas de las que disponemos, y aplicarlas

09:50 – 09:54

en este mundo tan complejo en el que vivimos hoy en día.

09:55 – 10:01

Y esta mañana hemos oído a nuestros ponentes principales decir que la tecnología, el panorama y todo lo que nos rodea se está volviendo cada vez más complejo.

10:02 – 10:06

Y en ese entorno tan diverso y complejo,

10:06 – 10:17

tener, en primer lugar, un sesgo optimista y, en segundo lugar, esa falsa sensación de seguridad de que tenemos planes, pero que, en realidad, no los hemos ensayado ni puesto en práctica, lo que solo nos está abocando a más

10:17 – 10:19

fracasos y éxitos.

10:20 – 10:30

Eso me recuerda que estoy seguro de que, si hiciéramos una votación a mano alzada o fuéramos a charlar con todos vosotros, mucha gente diría: «Oye, mira, podría ser tan optimista como quisiera y quiero serlo».

10:30 – 10:34

«Estamos preparados, pero no tenemos presupuesto, no tenemos tiempo, no tenemos personal».

10:34 – 10:36

Así que voy a suponer que cuando esos

10:36 – 10:41

Si hay fuerzas que se opongan a ese sesgo optimista, eso también será un factor a tener en cuenta, ¿verdad?

10:41 – 10:47

Por ejemplo, quiero hacer esto, pero la institución para la que trabajo no se lo puede permitir, no puede llevarlo a cabo.

10:47 – 10:52

Así que quizá podríamos profundizar un poco en eso a medida que avancemos, porque probablemente tú lo ves así, ¿verdad, Zak?

10:52 – 10:58

Quiero decir, cuando surgen dificultades, ¿qué les pasa a estas personas?

10:58 – 11:04

¿Cómo reaccionan en medio de la situación, en esa olla a presión, por así decirlo?

11:05 – 11:08

Porque hay que entender que todos seguimos siendo humanos.

11:08 – 11:11

No importa cuántas veces hayas ensayado algo.

11:11 – 11:19

Aunque el ejercicio y la práctica ayudan mucho, esa es, en esencia, la forma de desarrollar tu resiliencia.

11:19 – 11:23

Pero la gente se esconde cuando ocurren incidentes.

11:23 – 11:24

Se esconden.

11:24 – 11:27

Intentan borrar sus huellas.

11:28 – 11:33

y comprueban si ha sido culpa suya, para luego empezar a echarse la culpa unos a otros, y así sucesivamente.

11:33 – 11:40

Y eso se debe, básicamente, a que, desde el principio, no se probó lo suficiente.

11:41 – 11:46

Un plan de resiliencia cibernética o de Recovery cibernética: tienes el plan, pero no se ha probado lo suficiente.

11:46 – 11:56

Y en cuanto lo incorporas, se convierte en memoria muscular y todo el mundo sabe exactamente qué va a hacer a continuación en cuanto se dé la señal,

11:56 – 12:00

ya no se produce ese tipo de comportamiento.

12:00 – 12:06

Lo cual también es interesante porque he oído tus estadísticas y ojalá hubiera traído algunas propias.

12:07 – 12:10

Pero, ¿qué papel desempeña entonces el seguro en todo esto?

12:10 – 12:17

Ah, bueno, como has dicho, no queremos… no queremos pagar un seguro, ¿verdad?

12:17 – 12:20

Ya tenemos ese tipo de gastos.

12:20 – 12:23

Pero, ¿cómo encaja eso en el sesgo de optimismo?

12:23 – 12:25

Porque, eh…

12:25 – 12:28

Porque seguimos pagando el seguro del coche y el seguro médico.

12:29 – 12:30

Es un punto interesante.

12:30 – 12:36

Si pensamos en el seguro médico o en el seguro de vida, ¿cómo lo ven?

12:36 – 12:42

No se plantean como seguros de enfermedad o de fallecimiento.

12:42 – 12:49

Así que, una vez más, podemos aprender algo de esos sectores y del hecho de que eso no ha sucedido por casualidad.

12:49 – 12:52

Ahí hay que ajustar el encuadre.

12:52 – 12:54

Para ayudar a atraer al público.

12:54 – 12:56

En lugar de cuidar de tu familia.

12:56 – 12:56

Exacto.

12:56 – 12:57

Pintarlo hacia adelante.

12:57 – 12:58

Exacto.

12:58 – 12:58

Sí.

12:58 – 12:59

Puedes pensar en los anuncios que ves.

12:59 – 13:02

Puedes pensar en el contexto en el que se enmarca todo eso.

13:02 – 13:07

Todo ello es un enfoque muy optimista y positivo de cosas que, en esencia, son negativas.

13:07 – 13:08

Sí.

13:08 – 13:16

Solo quiero hacer una breve pausa para decirte que hemos subido la temperatura del aire acondicionado aquí porque estábamos perdiendo libras muy rápido.

13:16 – 13:17

Puedo hablar por mí mismo.

13:17 – 13:20

Ha sido increíble, ¡qué milagro acaba de ocurrir!

13:20 – 13:21

Vale

13:23 – 13:28

¿Te imaginas que State Farm te hiciera un seguro de vida?

13:28 – 13:29

Como un buen vecino.

13:29 – 13:36

Dios, qué bien suena.

13:36 – 13:39

Pero en ciberseguridad, a menudo planteamos las cosas al revés.

13:39 – 13:39

Es verdad.

13:39 – 13:40

Sí.

13:40 – 13:44

No estamos siguiendo el ejemplo de una empresa ya consolidada.

13:44 – 13:44

Sí.

13:44 – 13:46

Y esto no es ningún secreto mío.

13:46 – 13:52

Muchas de las cosas que aporto a la ciberseguridad no las invento ni reinvento la rueda.

13:53 – 14:04

Lo que hago es tomar conocimientos ya conocidos —ya sabes, investigaciones que hay ahí fuera y a las que cualquiera puede recurrir, incluso en campos ajenos a la ciberseguridad— y aplicarlos aquí.

14:04 – 14:09

Y podríamos avanzar muchísimo si prestáramos más atención a esos ámbitos.

14:09 – 14:14

Y creo que lo conseguiremos, pero si pensamos en la neurociencia, la psicología, la sociología, el marketing… hay muchísimo que podemos aprender.

14:14 – 14:23

Así que, con ese fin, no te pido que lo des todo, porque sé que ganas un buen dineral, pero ¿y si hubiera un par de…

14:23 – 14:34

Ideas clave: si tuvieras que resumir lo esencial al impartir una sesión, ¿cuáles serían las dos cosas principales que te gustaría que tu público se llevara consigo al impartir una de

14:34 – 14:35

estas sesiones?

14:35 – 14:46

Sí, varía, pero en lo que respecta a esta conversación en concreto, creo que una cosa es que, en ciberseguridad, a menudo recurrimos al miedo, ¿no es así?, para intentar difundir nuestro mensaje.

14:46 – 14:50

Y entiendo que la gente piense que podemos asustar.

14:51 – 14:53

a alguien para que adopte un comportamiento concreto.

14:53 – 14:55

En realidad, no funciona así.

14:55 – 14:58

Utilizar el miedo para intentar cambiar un comportamiento es muy complicado.

14:58 – 15:01

Y nosotros

15:01 – 15:04

lo utilizamos como una especie de martillo.

15:04 – 15:09

En cambio, lo que podemos plantearnos es cómo podemos plantear nuestro mensaje.

15:09 – 15:12

Podemos plantearnos trabajar con los sesgos humanos.

15:12 – 15:14

Porque los sesgos están ahí.

15:14 – 15:16

Entonces, ¿cómo podemos plantear nuestro mensaje?

15:16 – 15:28

Por ejemplo, si queremos que un consejo de administración o un equipo practique la respuesta ante incidentes, en lugar de intentar asustarlos para que piensen que es importante, podemos ofrecerles una presentación realista.

15:28 – 15:29

de la amenaza.

15:29 – 15:31

Pero si practicamos, eso nos hace más

15:31 – 15:33

resilientes.

15:33 – 15:35

Esa resiliencia proviene de la repetición.

15:35 – 15:37

Así que pensemos en ese enfoque más optimista.

15:37 – 15:42

Vale, ya hablamos un poco de esto, recuerdo que fue cuando estuvimos en Las Vegas.

15:43 – 15:51

Haces algo tan único que, si alguien dice: «Vaya, tengo que conseguir a Jessica o a alguien así…».

15:51 – 15:53

¿Cómo vendes esto a nivel interno?

15:53 – 15:55

Es un concepto realmente único.

15:55 – 16:02

No es algo que… Probablemente todos los que estáis aquí pensáis: «Vaya, no tenía ni idea de que alguien hiciera esto», ¿verdad?

16:02 – 16:12

Cuando ves formas eficaces de vender tus servicios y llegar hasta el equipo directivo, ¿qué pasos hay que seguir para conseguirlo?

16:12 – 16:16

Sí, llevo 15 años dedicándome a esto.

16:16 – 16:20

Al principio, sin duda me costaba mucho más.

16:21 – 16:31

Y creo que una de las cosas es que hemos visto cómo, en el sector de la ciberseguridad, cada vez se reconoce más que las personas son tan fundamentales para la ciberseguridad como las herramientas o…

16:31 – 16:33

los procesos.

16:33 – 16:39

Pero, en esencia, a menudo se requiere un cierto nivel de madurez cultural en una organización.

16:39 – 16:50

Y, por desgracia, a menudo es necesario que se produzca un incidente, ya sea directamente o que una organización sea testigo de uno ocurrido en otra organización similar, porque eso rompe la

16:50 – 16:51

sesgo de optimismo.

16:53 – 16:55

Supongo que se podría considerar un arma de doble filo.

16:55 – 17:03

Por un lado, es una pena que eso sea lo que hace falta, pero, por otro, si ese tiene que ser el catalizador —y no eres tú ni quizá un compañero—, hay que seguir adelante.

17:03 – 17:04

Exacto.

17:04 – 17:05

Fantástico.

17:05 – 17:06

Gracias.

17:08 – 17:13

No le he dicho a Jessica: «Oye, cuéntamelo todo con detalle, porque es fascinante».

17:13 – 17:17

Creo que para todos los que venimos del ámbito técnico, es estupendo.

17:17 – 17:19

Pues sí, sin duda.

17:20 – 17:21

De acuerdo.

17:21 – 17:27

Ricky, cuando hablamos, mencionaste el concepto de «mínimo viable».

17:27 – 17:35

Es interesante, hemos oído hablar mucho de ello en la ponencia de esta mañana, pero no hemos eliminado ese término a propósito; más bien es que ha quedado un poco relegado a un segundo plano.

17:35 – 17:38

¿Quieres hablar un poco de eso?

17:38 – 17:38

Claro.

17:38 – 17:42

Entonces, se trata de que la práctica hace al maestro, ¿no?

17:42 – 17:44

Pero, ¿cómo se practica y en qué se practica?

17:44 – 17:57

Si nos fijamos en un gran ecosistema, nos encontramos ante un sistema tan enorme y variado de tecnologías que hacen funcionar tu negocio, ¿cómo sabes por dónde empezar a ponerlo en práctica?

17:57 – 17:59

y con qué frecuencia hay que practicar, ¿verdad?

17:59 – 18:08

Por eso, en Commvault hablamos del concepto de «mínimo viable», y lo que realmente significa es aprovechar herramientas como la evaluación BIA, que llevamos realizando desde hace muchos años.

18:08 – 18:09

años.

18:09 – 18:11

Empiezas a definir qué es lo esencial para tu negocio.

18:11 – 18:16

Así pues, Active Directory podría ser un sistema crítico para la misión, al igual que un sistema de atención al paciente.

18:16 – 18:26

Y lo defines y dices: «¿Sabes qué? Voy a empezar por ahí, porque si se produce una brecha de seguridad y me dejan fuera de servicio, esto es lo primero que quiero volver a poner en marcha».

18:26 – 18:35

Y luego pasar a mis sistemas, ya sabes, desde los sistemas críticos para la misión hasta los críticos para el negocio, que podrían ser tu correo electrónico, tus comunicaciones, tus otras aplicaciones y cargas de trabajo.

18:35 – 18:38

Y luego defines las aplicaciones de apoyo

18:38 – 18:45

una vez que estén en funcionamiento; junto con las aplicaciones de misión crítica, de negocio crítico y de apoyo, ya dispones de todo tu entorno operativo.

18:45 – 18:50

Recuerda que, a menudo, cuando hablamos de respuesta ante incidentes, pensamos en seguridad.

18:50 – 18:58

La respuesta a incidentes es necesaria como proceso o como conocimiento institucional, no solo para los incidentes de seguridad.

18:58 – 19:01

Podrías tener un programa defectuoso que te dejara fuera de combate.

19:01 – 19:08

Podrías tener una IA, un programa de IA autónoma que podría hacer algo, podría llamar…

19:08 – 19:10

y apagar tu entorno.

19:10 – 19:13

Para mí, la respuesta ante incidentes va más allá de la simple seguridad.

19:13 – 19:17

Realmente te ayuda a definir la capacidad operativa de tu empresa, ¿verdad?

19:17 – 19:27

Y por eso entra en juego el concepto de protocolo de misión o de viabilidad mínima, para ayudarte a definir realmente tus aplicaciones y tus cargas de trabajo y, a continuación, empezar a crear pruebas y

19:27 – 19:28

procedimientos en torno a ellas.

19:28 – 19:37

Otra cosa que quiero destacar brevemente es que, si te fijas en el marco del NIST para la respuesta a incidentes, la publicación especial 861,

19:38 – 19:51

A menudo se divide la respuesta a incidentes en cuatro fases bien definidas: preparación y detección; a continuación, se pasa a la contención, la erradicación y Recovery; y, por último, la reevaluación y la revisión de tu

19:51 – 19:52

línea de base.

19:52 – 19:58

Bueno, el problema con todo este concepto de recuperación, como hemos oído hoy mismo, es que crea puntos ciegos.

19:58 – 19:59

Porque, ¿qué es lo que realmente se está recuperando?

19:59 – 20:01

¿Hasta qué punto confías en lo que estás recuperando?

20:01 – 20:04

¿Son esos datos totalmente fiables?

20:04 – 20:07

¿Incluyen comprobaciones de integridad?

20:07 – 20:13

Y creo que por eso el NIST tiene que replantearse lo que dice sobre la «recuperación» y quizá plantearse la «reconstrucción».

20:13 – 20:19

Porque, ya sabes, para mí la «recuperación» es, en esencia, como si tuvieras una pared estropeada y le estuvieras poniendo parches.

20:19 – 20:22

Bueno, no es tan elegante: estás poniendo parches en la pared.

20:22 – 20:25

Reconstruir es, en esencia, volver a construir esa pared a partir de un plano conocido.

20:26 – 20:37

Y por eso, si te fijas en nuestras soluciones, como Cloud Rewind y otras, en realidad te ayudamos a reconstruir toda la pila de aplicaciones, ¿verdad?, con datos conocidos, con datos de calidad.

20:37 – 20:42

Y ahora tienes confianza en tu Recovery gracias a este proceso tan riguroso.

20:42 – 20:50

Así que, en definitiva, no pienses en la respuesta a incidentes como una cuestión de seguridad únicamente.

20:50 – 20:53

Es cualquier cosa que pueda hacer que tu negocio deje de funcionar.

20:53 – 20:57

No se puede arreglar todo en el primer minuto, ¿verdad?

20:57 – 21:05

El objetivo de la gestión de incidentes es, básicamente, detectar en segundos lo que se mitiga en minutos y mantener la resiliencia de forma permanente.

21:05 – 21:09

Y para ello es necesario definir cuál es el mínimo viable para tu empresa.

21:09 – 21:12

Así que, en ese sentido…

21:12 – 21:14

Solo quiero hacer una votación a mano alzada aquí.

21:14 – 21:17

Usemos la «Wayback Machine» y elijamos cualquier momento de hace 10 años.

21:17 – 21:23

Y íbamos por ahí diciéndole a todo el mundo: «Oye, tenemos este servicio increíble», no nosotros, sino Commvault, pero sí el sector.

21:23 – 21:25

Vamos a hacer un mapeo de aplicaciones.

21:25 – 21:32

Porque, antes incluso de poder pasar a un debate más amplio sobre este tema, primero hay que comprender el nivel de interconectividad.

21:33 – 21:34

Y yo estoy

21:34 – 21:38

decir que soy de los que ven el vaso medio lleno, solo para que Jessica lo sepa.

21:39 – 21:45

Pero lo intentamos con todas nuestras fuerzas como sector y fracasamos con tantas empresas.

21:45 – 21:53

Si me preguntáis —«de hecho, ni siquiera voy a preguntar porque la gente va a querer levantar la mano»—, ¿tenéis un mapa completo de aplicaciones?

21:53 – 21:56

Apuesto a que no se levantarán muchas manos.

21:56 – 22:04

Y eso está bien, quizá, porque ahora que lo hemos planteado así, podemos retomarlo en un nivel diferente de abstracción.

22:04 – 22:09

Pero tengo curiosidad por saber qué opinas al respecto, porque probablemente ya pasaste por eso, ¿verdad?, en esa primera ronda.

22:09 – 22:10

¿Te resulta útil?

22:11 – 22:17

Aún tienes que definir qué es «mínimamente viable», pero ¿te ayuda el hecho de haber abstraído esa asignación más detallada de la aplicación?

22:17 – 22:20

No solo la correspondencia entre aplicaciones, sino también la correspondencia entre datos.

22:20 – 22:23

Tus aplicaciones son, en esencia, consumidoras de los datos.

22:23 – 22:31

Y, al fin y al cabo, un programa malicioso de tipo ransomware o cualquier adversario que intente atacarte no lo hace porque le encante tu aplicación.

22:31 – 22:34

Esos son los esfuerzos de Power Tools, que son los datos, ¿no?

22:34 – 22:39

Así que, en ningún caso son tus datos los que deciden, y nuestros servicios de ataque simplemente se están descontrolando.

22:39 – 22:43

Y tú nos estás preguntando si alguna vez supimos dónde está nuestra aplicación.

22:44 – 22:51

Quizás en los años 70 y 80, cuando existían las aplicaciones cliente-servidor o se enviaba un terminal a un mainframe.

22:51 – 22:55

Hoy en día estás creando una de esas… estás dejando de crear

22:57 – 22:59

Estás poniendo en marcha máquinas virtuales.

22:59 – 23:06

Tenéis todo el proceso de desarrollo, seguridad y operaciones que permite poner en marcha aplicaciones sobre la marcha, y los datos se encuentran dispersos por todas partes.

23:06 – 23:15

Y creo que por eso es tan importante contar con esa visibilidad de principio a fin: quién tiene los datos, quién accede a ellos y dónde residen los controles.

23:15 – 23:19

Y esos principios básicos de «comerse las verduras de la seguridad» han avanzado mucho.

23:19 – 23:22

Aun así, hay que asegurarse de que se cumplan las medidas básicas de seguridad.

23:22 – 23:26

El control de acceso desde la gestión de identidades,

23:26 – 23:32

demostró que no se puede dar por sentado que todos esos movimientos laterales entre los puntos de datos sean seguros.

23:32 – 23:43

Porque vuestra capacidad de respuesta ante incidentes —o, como yo la llamo, «resiliencia ante incidentes», que se compone de respuesta, recuperación e integración en la resiliencia ante incidentes— depende de cómo

23:43 – 23:44

siempre que estés dispuesto a adaptarte al entorno.

23:45 – 23:48

Vale, Zach, tengo que hacerte una pregunta.

23:49 – 23:51

Todo el mundo está harto, ¿verdad?

23:51 – 23:58

Todos tus compañeros de trabajo, y cuando llegas, les aportas tus increíbles habilidades, habilidades que ellos no tienen.

23:58 – 24:00

¿Es que la gente no tiene tiempo para hacer esto?

24:00 – 24:10

Quiero decir, son cosas importantes, como señala Ricky, pero cuando te pones manos a la obra, ¿qué pasa? ¿Por qué no podemos llevar a cabo algunas de estas cosas?

24:10 – 24:13

¿Qué es lo que impide a la gente definirlo?

24:13 – 24:16

Bueno, porque, en realidad, hay un montón de cosas.

24:16 – 24:20

Yo diría que, en primer lugar, la cultura.

24:21 – 24:32

Hay algunos departamentos que, sobre todo en las empresas más antiguas, y quiero hacer hincapié en el mapeo de aplicaciones: si tu aplicación tiene dos meses,

24:32 – 24:34

sabes exactamente de qué va.

24:34 – 24:42

Pero cuando cumple dos años y tiene ramificaciones por todas partes, entonces ya no tienes ni idea de lo que está pasando.

24:42 – 24:47

Y así, sin más, en las empresas más antiguas se crean estas culturas.

24:48 – 24:53

El de seguridad, el de copias de seguridad, el de terminales… y no se mezclan.

24:53 – 24:57

Te relacionas con la gente de tu entorno, ¿no?

24:57 – 25:05

Ayer le dije a alguien que tengo 30 años de experiencia en TI y que 17 de ellos los he dedicado a la seguridad.

25:06 – 25:18

Ni un solo día de esos 17 años he conocido a mis compañeros de apoyo, lo cual es una locura porque, al fin y al cabo, si lo piensas bien, ¿qué estoy haciendo como responsable de seguridad?

25:18 – 25:23

No me encargo de proteger a la gente ni a sus coches.

25:23 – 25:27

Además, protejo los datos, igual que los chicos de las copias de seguridad.

25:29 – 25:38

Creo que, en las empresas y en nuestras culturas, tenemos que cambiar la forma en que concebimos las funciones de los demás y lo que realmente hacemos allí.

25:38 – 25:49

Estoy aquí para instalar un cortafuegos, un IPS, un SIM, un SOC y todas esas cosas tan útiles, además de encargarme del análisis forense, las pruebas de estrés y la arquitectura.

25:49 – 25:54

La razón de todo ello se reduce a lo que cada uno hace allí.

25:54 – 26:04

Y se trata de generar esos datos, desarrollar las aplicaciones y prestar el servicio a la gente de a pie, o bien ofrecerlo al exterior,

26:05 – 26:08

Jessica, notaba que estabas al borde de la silla.

26:08 – 26:10

¿Cómo se supera eso?

26:10 – 26:17

Lo que quiero decir es que, de nuevo, hay que venderlo a un nivel muy diferente para cambiar ese aspecto cultural.

26:17 – 26:19

Me encanta que Sark haya sacado el tema de la cultura.

26:20 – 26:28

Y también en relación con lo que ha dicho Ricky sobre que, cuando se produce un incidente o cuando nos preparamos para uno, se trata de mucho más que de seguridad.

26:28 – 26:35

Y sí, claro, hablamos de infraestructura, hablamos de copias de seguridad, pero también pensamos en toda la organización.

26:37 – 26:40

Pensamos en la cultura y en cómo puede verse afectado todo el mundo.

26:40 – 26:46

Así que, mientras Ricky hablaba, yo pensaba en lo que ha estado pasando este año en el Reino Unido.

26:46 – 26:56

Soy del Reino Unido, ahora vivo en Las Vegas, pero este año he pasado mucho tiempo en el Reino Unido, y uno de mis sitios favoritos es Marks & Spencer.

26:57 – 27:03

Las tiendas de Marks & Spencer son muy grandes, como todo el mundo sabe, muy grandes y muy largas.

27:03 – 27:14

Este año, el primer día que fui, intenté comprar algo de comida con mi tarjeta, pero no funcionaba, y pensé: «No, ¿qué está pasando aquí?», y resultó que era el día

27:14 – 27:20

en el que se produjo un ciberataque que dejó fuera de servicio su página web; ya he perdido la cuenta de cuánto tiempo, pero estamos hablando de meses.

27:20 – 27:23

La cadena de suministro: no había nada en las estanterías.

27:23 – 27:31

Entré en Marks & Spencer y las estanterías estaban vacías, o solo había un producto que ocupaba toda una estantería.

27:31 – 27:35

Así que había, por ejemplo, un centenar de botellas de Coca-Cola en lugar de la variedad habitual.

27:35 – 27:39

Así que me puse a charlar con todo el mundo que había en la tienda.

27:39 – 27:42

Entro en la cafetería y charlo con la gente que trabaja allí.

27:42 – 27:46

No les digo que trabajo en ciberseguridad, sino que simplemente digo: «Oh…»

27:46 – 27:47

«No tenéis aguacates».

27:47 – 27:50

¿Tiene esto algo que ver con el incidente cibernético?

27:50 – 27:53

Y me pareció muy interesante cómo respondieron.

27:54 – 28:00

En primer lugar, y esto ocurrió con todas las personas con las que hablé, reconocieron lo difícil que les resultaba.

28:00 – 28:02

Y decían: «Venimos todos los días».

28:02 – 28:04

No sabemos a qué nos enfrentamos.

28:04 – 28:14

No sabemos si nos vamos a quedar sin existencias que entregar a los clientes o que ofrecerles, o si nos vamos a encontrar en una situación como la de la semana antes de Navidad y nos vemos desbordados con

28:14 – 28:15

existencias.

28:15 – 28:21

Hay clientes que nos preguntan si tenemos XYZ y no podemos comprobarlo en los sistemas, así que no lo sabemos.

28:21 – 28:23

Así que eran conscientes de lo grave que era la situación.

28:23 – 28:29

Y luego decían: «Pero tenemos mucha suerte porque trabajamos muy bien en equipo».

28:29 – 28:31

Todos nos apoyamos unos a otros.

28:31 – 28:34

La sede central nos mantiene informados constantemente.

28:34 – 28:41

Y lo he oído en varias ocasiones distintas lo mucho que respetan al equipo de seguridad.

28:41 – 28:45

Decían cosas como: «El equipo técnico está trabajando muy duro para que todo salga bien».

28:45 – 28:47

Y están trabajando sin descanso.

28:47 – 28:52

He oído que duermen en la oficina y que les traen pizza a domicilio.

28:52 – 28:54

Y esto, por cierto, no estaba ni mucho menos cerca de la sede central.

28:54 – 28:57

Esto se encuentra en el noreste de Inglaterra, en comparación con Londres.

28:57 – 28:59

Y pensé que hay mucho que podemos aprender de eso.

28:59 – 29:02

Y no dejaba de pensar en Wang.

29:02 – 29:03

Y pensé: «Bueno, ¿por qué yo…?»

29:03 – 29:04

me encanta ir a Marks & Spencer?

29:04 – 29:10

Es que tiene una imagen de confianza y tiene personalidad.

29:10 – 29:17

Y de esto solo puedo deducir que se trata de algo interno, además de algo que se proyecta hacia el exterior.

29:17 – 29:20

Así que la comunicación es algo de lo que podemos aprender.

29:20 – 29:27

El respeto que partía de la cúpula de la organización y se extendía a todos los niveles se refleja, a su vez, en los demás.

29:27 – 29:30

Y esto no se construye de la noche a la mañana.

29:30 – 29:33

Esto se va forjando a lo largo de los años en la cultura de la empresa.

29:33 – 29:36

cuando las cosas van bien, y se pone a prueba cuando las cosas van mal.

29:36 – 29:38

Qué interesante.

29:38 – 29:44

Otro factor que complica mucho todo esto es que hoy en día vivimos en un mundo de responsabilidad compartida, ¿verdad?

29:44 – 29:54

Por eso, hoy en día las empresas no solo se enfrentan a los silos que existen dentro de sus propios equipos de TI, de asistencia jurídica y de bases de datos de aplicaciones.

29:54 – 29:59

sino que ahora también gestionan un entorno en el que las cargas de trabajo son cost-

30:05 – 30:09

Además, contáis con integradores de sistemas (SI) que os ayudan a realizar integraciones personalizadas y cosas por el estilo.

30:09 – 30:12

Entonces, ¿dónde empieza realmente la responsabilidad?

30:12 – 30:23

Porque hay que tener en cuenta el modelo de responsabilidad compartida en el que nos hemos situado de forma intencionada, en el que contamos con la seguridad de la infraestructura, la seguridad de las nubes y la de los…

30:23 – 30:25

aplicaciones y de los entornos locales.

30:25 – 30:35

Y en el marco de la responsabilidad compartida, aunque todo el mundo entiende la necesidad de crear una cultura de buenas prácticas, se trata de un problema contradictorio.

30:35 – 30:41

Y eso impide que la gente elabore realmente estos planes de respuesta a incidentes y los ponga a prueba.

30:41 – 30:47

Y creo que las empresas que van a ganar esta batalla son aquellas que se proponen deliberadamente crear una audiencia compartida.

30:47 – 30:54

Así que, ¿sabes qué? Es importante que todos nuestros socios colaboren con nosotros para elaborar estos planes y, a continuación, ponerlos en práctica.

30:54 – 30:59

Porque, en momentos de crisis, tendréis que recurrir al modelo de responsabilidad compartida.

30:59 – 31:03

Y a todos los que participan en ella para ayudarte a recuperarte.

31:04 – 31:09

Sí, es un punto interesante, y Zach, cuando dijiste: «Oye, no he hablado con ellos».

31:09 – 31:11

No es que te cayeran mal.

31:11 – 31:14

No es que tuvieras ningún prejuicio negativo ni nada por el estilo hacia ellos.

31:14 – 31:16

Es solo que pensabas: «Tengo mucho trabajo que hacer».

31:16 – 31:19

Esto es lo que hago.

31:19 – 31:25

Y tiene que extenderse a un ámbito mucho más amplio dentro de la propia organización.

31:25 – 31:26

Chicos, nosotros, los de seguridad.

31:26 – 31:30

Pensamos mucho en nosotros mismos, ¿verdad?

31:30 – 31:30

Sí.

31:33 – 31:33

la línea.

31:33 – 31:35

Lo mejor de la gama.

31:35 – 31:35

Exacto.

31:35 – 31:39

Y también me pregunto si se ha incluido algo para animarte a hablar.

31:39 – 31:40

Para nada.

31:40 – 31:42

O para aprender juntos.

31:42 – 31:47

Podríamos decir que podemos considerarlo como si no hubiéramos hecho eso.

31:47 – 31:49

Pero, ¿lo facilitó la organización?

31:49 – 31:53

¿Era algo que se había diseñado para ayudar a fomentar…?

31:53 – 31:55

Sí, claro, ni hablar.

31:55 – 32:01

Y por eso le digo a la gente que tiene que…

32:01 – 32:07

reunir a los miembros clave de toda la infraestructura e invitarlos a tomar una cerveza cada semana.

32:07 – 32:10

Tienen que hablar entre ellos.

32:10 – 32:19

Aunque no se trate de una colaboración ni nada por el estilo, es necesario que sepan el nombre, el número de teléfono y qué función desempeñan en la organización para que todo funcione a la perfección.

32:19 – 32:30

Porque estás creando divisiones; sin darte cuenta, estás dividiendo a toda tu organización desde dentro hacia fuera y no hay forma de… no hay…

32:30 – 32:34

vínculos de comunicación abierta y auténtica entre ellos.

32:34 – 32:45

Recuerdo que, durante el confinamiento, había una organización que tenía muchas dificultades para conseguir que estos equipos interactuaran entre sí, sobre todo ahora que no estaban en la

32:45 – 32:48

oficina, ya sabes, y acabaron montando construcciones con Lego.

32:48 – 32:59

Enviaron un pequeño paquete de Lego a cada uno por separado, los reunieron en Zoom, Teams o lo que fuera, y todos construyeron con Lego en casa, cada uno por su cuenta, pero

32:59 – 33:00

juntos.

33:00 – 33:01

Y funcionó.

33:01 – 33:04

Sencillo, a un precio razonable, y que fomenta el trabajo en equipo.

33:04 – 33:05

Qué irónico.

33:05 – 33:06

Estamos en la ponencia principal.

33:06 – 33:09

Hay agentes que hacen cosas de forma automática.

33:09 – 33:11

Habrá gente en Marte.

33:11 – 33:16

Y nosotros, literalmente, solo estamos hablando de Legos, pizza y de cómo sacar tiempo.

33:16 – 33:18

Pero es verdad, ¿no?

33:18 – 33:24

Pensamos a un nivel más elevado, pero hay algunas cosas básicas a las que tenemos que volver.

33:24 – 33:28

Bueno, Zach, ya que hablamos de eso, eh… hemos oído hablar de las operaciones de recuperación.

33:28 – 33:30

Está de moda.

33:30 – 33:32

en lo más recóndito de Twitter o X.

33:32 – 33:34

Lo siento, Dios mío, he utilizado un término anticuado.

33:34 – 33:35

Bueno.

33:35 – 33:37

Cuéntanos algo más sobre eso.

33:37 – 33:44

Quiero decir, sé que es algo que está de moda, que intentamos crear, pero hay algo real detrás de todo eso, ¿verdad?

33:44 – 33:54

Porque las herramientas, la interconexión, llámalo como quieras, siguen teniendo elementos reales que hacen que las operaciones con recursos sean una realidad.

33:54 – 34:03

Entonces, quizá desde el punto de vista de las herramientas y de cómo vemos estas operaciones de resiliencia, ¿podrías darnos una idea de lo que realmente significa en la práctica?

34:06 – 34:09

Entonces, las operaciones de resiliencia son…

34:10 – 34:17

Bueno, tienes las herramientas, el personal y los procesos, pero si no lo pones a prueba… Voy a volver al tema de las pruebas, Chris.

34:17 – 34:24

Tienes que seguir… Si no lo pones a prueba, te quedas con todas esas herramientas a las que llevas años suscrito.

34:24 – 34:30

Es como mi… eh… abono a un campo de prácticas de golf donde…

34:30 – 34:31

eh

34:31 – 34:38

He ido allí dos veces en dos años y al final me he gastado miles por esas dos veces.

34:38 – 34:47

Así que tienes todas estas herramientas por las que pagas, a las que te suscribes y para las que compras servidores, y están funcionando allí en segundo plano.

34:47 – 34:50

Eh…

34:50 – 35:00

Si no sabes cómo utilizarlas y te encuentras con un incidente, lo único que harán es ralentizar tu recuperación.

35:00 – 35:08

Francamente, esas herramientas también son algo que hay que restablecer cuando las cosas se tuercen, ¿verdad?

35:08 – 35:16

Eh… Bueno, las herramientas no son algo que… Francamente, yo diría a las empresas que ni siquiera se preocupen por las herramientas por el momento porque…

35:17 – 35:24

Porque si no lo hacéis, si vuestra gente no sabe cómo actuar, por ejemplo, si os encontráis en medio de un incidente ahora mismo, ¿qué vais a hacer?

35:24 – 35:25

¿Cómo se actúa?

35:25 – 35:27

¿Qué es lo siguiente que vas a hacer?

35:27 – 35:30

Bueno, entiendo lo del optimismo.

35:30 – 35:40

Es solo que, para que el cliente adopte esa mentalidad, no puedes decir que todo es simplemente…

35:40 – 35:41

eh

35:42 – 35:44

de color de rosa, ¿no?

35:44 – 35:46

Tienes que decir qué va a pasar.

35:46 – 35:54

Si no, si sigues siendo optimista, lo único que dirán es: «Entonces no parece que necesitemos nada de esto, ¿verdad?».

35:54 – 35:56

Sí, y estoy de acuerdo.

35:56 – 35:59

No se trata de negar que vaya a pasar algo malo.

35:59 – 36:06

Se trata de cómo hablar de algo negativo de una forma que siga convenciendo a la gente.

36:06 – 36:08

Lo mismo ocurre cuando advierto de las amenazas.

36:08 – 36:10

Ya sabes, voy y hago campaña de sensibilización.

36:10 – 36:12

Elaboro material de sensibilización.

36:13 – 36:13

y

36:13 – 36:16

Y, obviamente, hablo de las cosas malas.

36:16 – 36:20

No puedo concienciar sobre la ciberseguridad sin hablar de la amenaza.

36:20 – 36:27

Pero hay que hacerlo de una forma proporcionada, para que la gente no piense que estás exagerando en tu propio beneficio.

36:27 – 36:37

Y luego hay que pensar en cómo se puede capacitar y empoderar a las personas, incluso cuando se habla de algo negativo, para que sientan que aún así pueden involucrarse en ello.

36:37 – 36:39

Y en cuanto…

36:39 – 36:41

pues, obviamente, no vas a esperar a que ocurra el incidente.

36:41 – 36:43

Pero en cuanto haces algo como un…

36:43 – 36:55

simulacro de incidente virtual como el que tenemos en el ámbito de Recovery, entonces vas a entenderlo, vas a ver todas estas 10 herramientas, de 20 a 100 herramientas, y dirás: «Bueno, nosotros…»

36:55 – 37:03

ni siquiera hemos utilizado ninguna de ellas para recuperar nuestro entorno, ¿verdad? Eh, si llegas a ese punto

37:04 – 37:16

entonces, obviamente, podrás deshacerte de toda esa «piel muerta» y, con el tiempo, llegar a un punto en el que seas un tipo ágil, del estilo MVC, capaz de recuperarse fácilmente.

37:16 – 37:21

Bueno, sabes lo que quieres hacer y has entrenado a tu gente lo suficientemente bien.

37:21 – 37:27

No puedes, así que no puedes llevar a cabo esos ejercicios sin la comunicación entre esos equipos.

37:27 – 37:28

Y ese es un término.

37:28 – 37:28

Así que.

37:29 – 37:33

Si no quieres mandarlos a por cerveza, al menos haz que se metan en la habitación.

37:33 – 37:42

Y empieza con esos ejercicios en los que simuláis situaciones en las que las cosas salen mal en vuestro entorno.

37:42 – 37:44

Después, pregúntales: «¿Qué vais a hacer?».

37:44 – 37:45

¿Qué vas a hacer?

37:45 – 37:49

Y eso también es otro ejercicio de señalar con el dedo.

37:49 – 37:51

Es como si tuviéramos que sentarnos a hablar de ello, ¿no?

37:52 – 37:56

Hay que sacar a la gente de su zona de confort de forma adecuada.

37:56 – 37:59

Tienen que darse cuenta de qué son las mesas de juego en el parque.

37:59 – 38:03

Quiero decir que una mesa es solo una de las cosas que también hay que utilizar.

38:04 – 38:05

Hay simulacros de mesa.

38:05 – 38:07

Hay simulacros de evacuación.

38:07 – 38:10

También tenéis los ejercicios «clave roja» y «clave morada», ¿verdad?

38:10 – 38:12

Y cada uno tiene su lugar en una organización.

38:12 – 38:20

Digamos que una organización es una empresa consolidada, que tiene claro cómo debe ser su «empresa mínima viable», que tiene todos sus procesos establecidos y que…

38:20 – 38:27

tienen la responsabilidad compartida bien definida y también han comprendido que, ya sabes, sí, tenemos que mirar más allá del cuerpo humano.

38:27 – 38:30

¿Cómo se empieza a hacer eso?

38:30 – 38:31

¿Qué te ayuda a prepararte?

38:31 – 38:37

Así que los ejercicios de simulación son, en esencia, ejercicios de bajo nivel de estrés.

38:37 – 38:38

No son módulos de formación.

38:38 – 38:48

Son sesiones reales de medio día o un día completo en las que se supone que os reunís con la responsabilidad compartida de hacer que la gente practique uno de los escenarios más probables a los que os

38:48 – 38:51

empresa tiene más probabilidades de vivir.

38:51 – 38:53

Y eso te ayuda a tener las ideas más claras.

38:55 – 38:57

Los equipos rojos son de una naturaleza totalmente diferente.

38:57 – 38:58

Son luchadores por la vida.

38:58 – 39:02

Y los equipos rojos, en esencia, te ayudan a construir una comunidad.

39:02 – 39:07

Así que hay una distinción real entre lo que aporta claridad y lo que fomenta la humildad.

39:07 – 39:08

Me gusta eso.

39:08 – 39:11

Y luego, los ejercicios de reconstrucción son, en esencia, una fuente de verdad.

39:11 – 39:16

Es una reflexión en la que te planteas tus evaluaciones de madurez en materia de ciberresiliencia.

39:16 – 39:17

Y te dices: «¿Sabes qué?».

39:17 – 39:20

Tenemos todos estos planes que hemos elaborado basándonos en nuestra evaluación.

39:20 – 39:23

¿Hasta qué punto se van al traste nuestros planes?

39:23 – 39:27

Esa es la verdad: que el ejercicio de Weibull es totalmente diferente.

39:28 – 39:34

Todo esto tiene que encajar para que te hagas una idea real de lo preparado que estás.

39:36 – 39:38

Así que estás diciendo que es fácil.

39:38 – 39:40

Déjame apuntarlo.

39:40 – 39:42

En cierto modo, lo es.

39:42 – 39:43

Por favor, por favor.

39:43 – 39:44

Te he cortado.

39:44 – 39:45

No

39:51 – 39:52

Lo primero

40:03 – 40:09

Las otras dos veces al mes que nos reunimos, hablamos de negocios.

40:09 – 40:13

Qué podría pasar, qué pasa, quién está al mando, con quién hay que ponerse en contacto.

40:13 – 40:19

Y he establecido una comunicación entre todos ellos para que cada departamento lo viera exactamente de la misma manera.

40:19 – 40:25

Cada uno sabía, ya sabes, que él no es tan mala persona aunque trabaje por allí, o que ella no lo sea aunque trabaje por allí.

40:25 – 40:28

Ahora sé que somos una familia, somos una empresa.

40:28 – 40:29

Todos tenemos algo en juego.

40:29 – 40:31

Si algo sale mal…

40:31 – 40:33

Sabemos cómo solucionarlo.

40:33 – 40:34

Confiamos los unos en los otros.

40:34 – 40:39

En cambio, he trabajado en empresas en las que la gente te dice: «Ese es tu problema».

40:39 – 40:40

«Eso no es cosa nuestra».

40:40 – 40:45

Y entonces la empresa empieza a toparse con un muro. Todos los beneficios caen en picado.

40:45 – 40:46

El dinero se agota.

40:46 – 40:52

Entonces, si se trata de un ciberataque, la compañía de seguros vendrá y dirá: «Ya sabes, no estás siguiendo el procedimiento».

40:52 – 40:53

Te vamos a dar de baja.

40:54 – 41:00

Lo he planteado así para que no nos desviemos del tema de la cerveza, porque no voy a fomentar el consumo de alcohol.

41:03 – 41:04

Nos vamos a comer.

41:04 – 41:05

No hablemos de negocios.

41:05 – 41:07

Simplemente conocéos un poco.

41:07 – 41:09

Mantén la conversación a un nivel humano, ¿no?

41:09 – 41:09

Exacto.

41:09 – 41:10

Que se mantenga en un plano humano.

41:10 – 41:13

Y cuando te sientes, les digo…

41:15 – 41:15

servicio.

41:21 – 41:23

Así que cada uno es alguien diferente.

41:23 – 41:25

Ahora estáis hablando todos.

41:25 – 41:26

Todos hablando.

41:26 – 41:27

Y os estáis conociendo.

41:27 – 41:31

La semana que viene, cuando tengamos la reunión, vale, ahora vamos a sentarnos.

41:31 – 41:32

Vamos a hablar.

41:36 – 41:40

Le dije: «¿Eso fue todo?».

41:40 – 41:42

Y, eh, el Hospital Lennox Hill.

41:42 – 41:43

¿Qué opinas?

41:43 – 41:48

¿Qué es lo que hicieron mal que nos puede ayudar a mejorar, que nos ayudó a mejorar?

41:48 – 41:55

Porque ahora estamos utilizando un ataque externo para desarrollar un procedimiento que podamos utilizar para hacernos más fuertes.

41:56 – 41:58

En los ocho meses que han pasado desde que ocurrió eso…

42:04 – 42:06

se sienten bien consigo mismos.

42:06 – 42:12

Dije: «Ojalá hubiera leído el libro de Jessica en aquel momento».

42:12 – 42:14

Y les digo que todo gira en torno a la comunicación humana.

42:14 – 42:18

Porque ahora todos se comunican entre sí.

42:18 – 42:22

¿Lo han oído todos? ¿Lo ha oído todo el mundo? ¿Lo han oído todos?

42:22 – 42:24

Quiero decir, es sencillo.

42:24 – 42:26

se puede aplicar y es repetible, ¿verdad?

42:26 – 42:29

Porque lo hiciste mes tras mes tras mes, ¿verdad?

42:29 – 42:30

Sí, claro.

42:31 – 42:32

Fantástico.

42:32 – 42:34

Ahí había un par de cosas realmente clave.

42:34 – 42:42

Uno: has utilizado la palabra «confianza», generar confianza en esas relaciones, no solo confianza en el ámbito profesional, sino también como personas.

42:42 – 42:43

Y luego eso…

42:43 – 42:52

cultura de aprendizaje: una vez que hayamos construido algo de esa confianza y nos hayamos conocido y nos sintamos cómodos los unos con los otros, entonces nos sentaremos y…

42:52 – 42:53

vamos a hablar de un incidente.

42:53 – 42:59

Vamos a hablar de lo que quizá salió bien, de lo que salió mal, y vamos a reflexionar sobre nosotros mismos y sobre lo que podemos hacer de otra manera.

42:59 – 43:05

Como has construido esas relaciones de confianza, la gente se sentirá más cómoda para hacerlo.

43:05 – 43:12

Así que confianza, aprendizaje, cultura y, sobre todo, construir esa cultura de comunicación más amplia.

43:12 – 43:13

Creo que eso es muy importante.

43:13 – 43:23

Además, si algo sale mal y, como individuo, no sabes a quién acudir, pero conoces a algunas personas aquí y allá, puedes ir y decir: «Oye, ha pasado esto».

43:23 – 43:24

Esto me preocupa».

43:24 – 43:25

¿Qué podemos hacer?

43:25 – 43:27

Y poned vuestras mentes a trabajar.

43:27 – 43:30

Pero gran parte de eso tiene que ver con la cultura y con que la gente se sienta segura.

43:30 – 43:34

Eh…

43:34 – 43:40

Tengo que reconocerlo, porque lo que voy a decir ahora lo saqué de un podcast que grabé esta misma mañana.

43:40 – 43:49

Y ese señor era el ingeniero de protección de datos y resiliencia de Blue Cross Blue Shield South Carolina Hillman.

43:49 – 43:49

Está aquí.

43:49 – 43:51

Es un tipo estupendo.

43:51 – 43:58

Y cuando estábamos terminando, le dije: «Oye, ¿hay algo que te gustaría dejarles a todos en el podcast?».

43:58 – 44:02

Porque lleva 25 años en el ámbito de la protección de datos.

44:02 – 44:04

Eh…

44:04 – 44:05

Le encanta lo que hace.

44:06 – 44:14

Y dijo: «Ya sabes, desde que empecé de chaval, recién salido de la universidad, en el servicio de asistencia técnica, hasta ahora».

44:14 – 44:19

Esfuérzate y ponte en medio de la situación.

44:20 – 44:24

No tengas miedo, porque te sorprendería saber quién te sigue.

44:24 – 44:35

Y pensé que, ya sabes, no es nada del otro mundo, pero la pasión, no tener miedo de meterte en el fuego cruzado, y luego es increíble a quién consigues que te siga cuando eso…

44:35 – 44:36

sucede.

44:36 – 44:45

Y si tienes eso, además de lo que ya has hecho, donde se reúnen y llegan a conocerse, todo encaja a la perfección

44:45 – 44:47

y surgen cosas buenas, ¿verdad?

44:47 – 44:58

Creo que mi única objeción a eso, y probablemente se deba en parte a la cultura, es que depende del entorno en el que lo hagas, de si la gente te seguirá o…

44:58 – 45:09

si, y si la gente se sentirá cómoda situándose en medio de ese entorno o si tendrá la sensación, como dijo Zak antes, de que la gente le va a señalar con el dedo.

45:09 – 45:13

¿Voy a asomar la cabeza y voy a convertirme en el único al que se culpará?

45:13 – 45:14

Oh

45:14 – 45:19

Y además, esto podría plantear problemas de agotamiento.

45:19 – 45:24

Si siempre soy yo quien tiene que correr a arreglar las cosas, ¿cuándo empezará eso a pasarme factura?

45:24 – 45:27

Se necesita algo de compañerismo ahí, en el cuerpo de bomberos.

45:28 – 45:32

Y si tienes la cultura adecuada que te respalde, entonces estoy totalmente de acuerdo.

45:32 – 45:43

Pero en organizaciones donde no se forjan esas relaciones, donde no hay esa empatía y confianza, y donde no existe esa seguridad psicológica de no tener que preocuparse por

45:43 – 45:44

que te culpen,

45:44 – 45:47

creo que se trata de un escenario muy diferente.

45:47 – 45:49

Es una observación muy acertada.

45:49 – 45:52

Requiere múltiples niveles en la pirámide.

45:52 – 45:55

No es por ser negativo, solo estoy hablando del sesgo de optimismo.

45:55 – 45:58

Dios mío, ¿qué ha pasado con el 80 %?

45:58 – 45:59

¿Te acuerdas?

46:07 – 46:08

un entorno estabilizado.

46:10 – 46:15

de TI que están a cargo del equipo corporativo y de los responsables de las unidades de negocio.

46:17 – 46:21

servicios o aspectos en los que se producen solapamientos.

46:21 – 46:25

Así que, simplemente, hay una línea muy, muy fina en cuanto a hasta qué punto quieres fusionar.

46:28 – 46:31

separar las cosas, porque es algo muy complicado.

46:31 – 46:36

Somos casi como ocho unidades de negocio diferentes, cada una con sus propios objetivos y sus propias prioridades.

46:36 – 46:39

Tu mercado corporativo centralizado es uno solo.

46:43 – 46:50

Si te pones de acuerdo antes incluso de hacer un solo cambio y las cosas se tuercen, todos, en sus respectivos grupos, están listos para atacarte en ese mismo momento.

46:50 – 46:54

Es una línea muy fina, en lo que respecta a las respuestas compartidas, especialmente en la nube y todo lo demás.

46:54 – 46:58

Por ejemplo, si tienes un inquilino con varias suscripciones en Azure.

47:01 – 47:03

¿Y has separado esas cosas, verdad?

47:08 – 47:18

Por eso mencioné lo de la responsabilidad compartida, porque ese es el quid de la cuestión, donde estamos fallando como sector, y creo que es por eso por lo que tenemos tantos obstáculos en

47:18 – 47:23

normativas de las que se habla ahora, como la DORA en Europa y todo lo demás.

47:25 – 47:38

están obligando a los consejos de administración a tomarse en serio la resiliencia y a disponer de métricas demostrables que demuestren que, efectivamente, como organización, estamos haciendo lo correcto

47:38 – 47:45

en lo que respecta a mantener la seguridad de los datos y ser capaces de demostrar resiliencia cuando se producen brechas de seguridad.

47:45 – 47:58

Y creo que, a medida que las normativas se vuelven más estrictas y las sanciones más severas, parte de esa población interorganizacional no deseada, pero muy necesaria, y

48:03 – 48:16

Y quizá no sea por forzar, ya sabes, no intento forzar el término «IA», pero si nos fijamos en los aspectos positivos, tenemos que liberar algo de tiempo para que la gente pueda hacer eso.

48:16 – 48:17

Ese es el verdadero problema.

48:17 – 48:24

Quiero decir, creo que, entre líneas, no solo podría ir a peor, sino que simplemente hay que distribuir el tiempo entre esos equipos.

48:41 – 48:41

¿Algo más?

48:41 – 48:43

Os agradezco a los dos que hayáis puesto esto en marcha.

48:43 – 48:45

Íbamos justo a eso, así que esto es genial.

48:45 – 48:47

¿Alguna otra pregunta?

48:47 – 48:48

¿Sí?

49:14 – 49:15

tema.

49:18 – 49:18

Entonces.

49:31 – 49:32

¿Puedo verlo?

49:32 – 49:41

Bueno, sí, ¿qué pasa cuando hacéis estos ejercicios juntos con todo el equipo, verdad?

49:41 – 49:50

La confianza que se está forjando ahí no es una confianza que pueda romperse por un incidente, porque eso es precisamente lo que se está poniendo a prueba.

49:50 – 49:54

Estás simulando un incidente que va a ocurrir en el futuro.

49:54 – 49:58

Así que, partiendo de esa premisa, entonces

49:58 – 50:15

¿por qué, bueno, solo es una pregunta mía, por qué iba a sospechar alguno de los miembros del equipo de otra persona del equipo si hacéis dos de estos ejercicios al año y se les dice que no más de

50:15 – 50:16

eso.

50:16 – 50:21

Se reúnen todos y ven cómo ocurre el incidente.

50:22 – 50:33

Se celebra una reunión virtual en la que se habla de lo que ha ocurrido, de cómo se ha desarrollado, de qué normas se han incumplido y de cómo se ha llevado a cabo.

50:33 – 50:35

Y se analiza todo ello con todo el equipo.

50:35 – 50:40

Así, cada uno de ellos ve realmente el ataque, venga de donde venga.

50:40 – 50:52

Así que, cuando ocurra, cuando suceda de verdad, dudo mucho que esa confianza se rompa a causa de un accidente.

50:55 – 50:56

Sí, claro.

50:56 – 51:01

Ah, eso es si no has construido esa confianza antes.

51:01 – 51:02

Sin duda.

51:02 – 51:05

Entonces, eso es, de hecho, una observación muy acertada.

51:05 – 51:13

Es una observación muy acertada: si no has creado confianza antes de eso, la situación va a ser mucho peor.

51:13 – 51:14

Un problema exponencial.

51:14 – 51:21

Porque cuando hablábamos de esto, sé por una de las empresas en las que he estado…

51:21 – 51:30

En Sudáfrica, había toda una división de la empresa; estamos hablando de unos cuatro mil quinientos empleados en una sola sede.

51:30 – 51:44

Toda esa sección quedó aislada de cualquier red y el responsable de seguridad —yo no era el responsable de seguridad por entonces—, pero señalaba al técnico de redes y este, el técnico de redes, simplemente…

51:44 – 51:45

señalaba a su vez hacia él.

51:45 – 51:49

Durante unos días, toda esa ala estuvo sin conexión porque no pudieron…

51:50 – 51:53

No dejan de discutir sobre de quién es la culpa.

51:53 – 52:00

Y eso es la red y la seguridad, que en realidad uno pensaría que están bastante interrelacionadas.

52:00 – 52:01

Sí.

52:10 – 52:15

Probablemente sea bueno plantearse buscar una solución y creo que debe venir de arriba abajo.

52:15 – 52:21

Es decir, cuando los niveles más altos de la dirección te apoyan para sacarte de esa situación.

52:30 – 52:34

De que la alta dirección nos respalde y nos apoye en esto.

52:34 – 52:37

Quiero decir que se trataba, sin duda, de un problema de seguridad de la red.

52:37 – 52:42

Eran dos empresas diferentes, pero eran como empresas asociadas dentro de la misma organización matriz.

52:43 – 52:44

Tenían un túnel de extremo a extremo.

52:45 – 52:49

Cualquier conexión abierta entre las redes de las dos empresas la teníamos a través de la VPN.

52:49 – 52:53

La empresa asociada solo necesitaba acceso a un par de aplicaciones.

53:00 – 53:04

Los chicos del equipo de redes son los mismos que forman parte del equipo de seguridad.

53:04 – 53:06

Exactamente la misma situación.

53:10 – 53:21

Ah, y esta es la idea de una cultura justa y de si se opta por un enfoque restaurativo o retributivo.

53:21 – 53:26

Así que, cuando algo sale mal, ¿te fijas en lo que ha salido mal o en quién tiene la culpa?

53:30 – 53:34

Yo… Buena, buena pregunta.

53:34 – 53:36

Creo que es una buena pregunta.

53:36 – 53:37

Creo que es una buena pregunta.

53:37 – 53:53

Me parece bien, me parece bien, me parece bien, me parece bien, creo que… creo que es buena, me parece bien, creo que es buena, me parece bien…

53:57 – 54:00

¿Estás señalando con el dedo o estás intentando llegar a la raíz del problema?

54:00 – 54:05

Creo que todos hemos estado hablando de defensa y profundidad.

54:05 – 54:15

Creo que ahora es el momento de cambiar nuestra mentalidad —ya que estamos en SHIFT— y pasar de la defensa y la profundidad a la confianza y la profundidad.

54:15 – 54:24

Lo que quiero decir con esto es que confíes en que tu equipo hará lo correcto, que confíes en que tus procesos se consolidarán y que también confíes en las herramientas tecnológicas de las que dispones

54:24 – 54:25

disposición.

54:25 – 54:28

Para actuar tal y como has planeado.

54:28 – 54:35

Por ejemplo, estás recuperando algo, pero ¿qué pasaría si el ataque de ransomware o el ataque de malware hubiera inhabilitado o comprometido tu plan de Recovery?

54:37 – 54:42

Supongamos que no dispones de una solución de aislamiento físico y que ahora tu entorno de Recovery está comprometido.

54:42 – 54:45

Así que estás recuperando datos desde un entorno infectado hacia un entorno fraudulento.

54:45 – 54:48

Así que, en realidad, no puedes confiar en esos datos, ¿verdad?

54:48 – 54:54

Y creo que por eso vamos a analizar: «Genial, tenemos todas estas defensas, reanudemos la brecha».

54:54 – 55:00

Y si se reanuda la violación, entonces se está diciendo: «Voy a confiar en todo, implícita o explícitamente».

55:00 – 55:06

Y entonces tengo que asimilar en mi mente esta idea de que quiero confiar en ello a fondo, lo que significa que todo mi…

55:06 – 55:11

procesos de apoyo deben ser fiables para llevarme a un estado de confianza.

55:12 – 55:16

Y entonces creo que lo preestablecido —y perdón, no me refiero a mí—, todo eso debería desaparecer.

55:16 – 55:18

Deberían desaparecer, ¿verdad?

55:18 – 55:20

Bueno, yo,

55:21 – 55:23

solo nos quedan un par de minutos.

55:23 – 55:24

Os agradezco de todo corazón a todos.

55:24 – 55:25

cantando.

55:25 – 55:26

Agradezco mucho las preguntas.

55:26 – 55:32

Teníamos la esperanza, pensábamos: «Dios mío, después de todos esos rollitos de pollo, ¿la gente va a tener preguntas?».

55:32 – 55:33

Y ahí estaban.

55:33 – 55:36

Así que no podríamos haber pedido un final mejor.

55:36 – 55:40

Pero quiero dar las gracias de todo corazón a dos grupos.

55:40 – 55:41

En primer lugar, a Jessica.

55:41 – 55:43

Gracias, Ricky, Zak.

55:43 – 55:45

Me refiero a las millas recorridas hasta aquí.

55:45 – 55:47

Increíble, ¿verdad?

55:48 – 55:53

Espero que hayáis podido entendernos bien a Ricky y a mí, con nuestros acentos.

55:53 – 55:55

Es que tienen los mejores.

55:55 – 56:00

Es que, ya sabes, Dallas y Phoenix… Venga ya.

56:00 – 56:02

Pero, lo más importante, quiero darte las gracias.

56:02 – 56:03

Gracias por dedicarme tu tiempo.

56:03 – 56:07

Sé que ha sido una sesión larga, sobre todo justo después de comer.

56:07 – 56:12

Y, lo que es aún más importante, gracias por venir a SHIFT, por ser clientes de Commvault y por depositar vuestra confianza en nosotros.

56:12 – 56:14

Os lo agradecemos muchísimo.

56:14 – 56:15

Bueno.

56:15 – 56:19

Que disfrutéis del resto de las sesiones y nos vemos por ahí.