Hace apenas un año, no podíamos imaginar que nuestras vidas estaban a punto de cambiar en todos los aspectos. A medida que COVID-19 creció y se extendió por todo el mundo, el ambiente del trabajo moderno experimentó una evolución drástica. Ahora ya no es sólo una ventaja dada a los empleados con problemas familiares o de salud, el trabajo a distancia/remoto se convirtió en la manera de hacer negocios. También se convirtieron en el camino para que los cibercriminales se asienten en sistemas sensibles.
Responder a la crisis de COVID ha puesto a prueba el mundo de la ciberseguridad. Desafortunadamente, hay una escasez significativa de profesionales capacitados en ciberseguridad, y los hackers lo saben.
Las organizaciones ahora deben ser cada vez más diligentes con respecto a la seguridad de extremo a extremo de todas sus operaciones remotas y en línea. Para mantenerse al día con los hackers, las empresas deben invertir en no sólo el fortalecimiento de sus programas de ciberseguridad, pero haciendo que la ciberseguridad esté en su ADN.
En este artículo, discutiremos algunos de los pasos que una organización debe tomar para abordar la evolución de las amenazas de ciberseguridad resultantes de la crisis de COVID. Los desafíos son enormes, pero, al igual que lo hará la gente del mundo, la industria de la ciberseguridad saldrá de la crisis más fuerte y ágil.
Garantizar que la seguridad forma parte del proceso de desarrollo
A medida que las organizaciones desarrollan más aplicaciones para ayudar a los trabajadores remotos, deben asegurarse de que la seguridad está adecuadamente integrada en el ciclo de vida de desarrollo de aplicaciones y software (SDLC). Ejecutar pruebas de seguridad en varios puntos durante el SDLC es una manera de asegurar que las vulnerabilidades se identifiquen y corrijan lo más rápido posible.
Hay una serie de herramientas disponibles, incluyendo pruebas de seguridad de aplicaciones estáticas (SAST), pruebas de seguridad de aplicaciones dinámicas (DAST) y pruebas de seguridad de aplicaciones interactivas (IAST), cada una de las cuales es más eficaz en puntos específicos del SDLC. La SAST, por ejemplo, se emplea mejor al principio del SDLC para analizar una aplicación de vulnerabilidades durante la codificación.
Como lo discutió el experto en ciberseguridad Mark Preston de Cloud Defense, SAST "permite a los equipos de desarrollo utilizar estos escáneres antes de finalizar varias funciones y funciones de código... [y] cualquier problema de seguridad puede ser identificado sin emplear tiempo extra y trabajo perdido."
Construir una cultura de ciberseguridad fuerte
Lamentablemente, al comienzo de la crisis de COVID, las industrias mundiales y las instituciones educativas no habían desarrollado una cultura que promoviera la ciberseguridad y simplemente no estaban dispuestas a pasar rápidamente a un nuevo modelo normal basado en el teletrabajo y el teleaprendizaje.
Aunque el trabajo a distancia, tanto formales como informales, ya habían ido aumentando lentamente en los años anteriores a la crisis de COVID, la explosión de estos a principios de 2020 no tenía precedentes. A finales de 2020, más del 40% de la mano de obra trabajaba a distancia y un estudio sugiere que más del 25% de la mano de obra seguirá trabajando a distancia a lo largo de 2021.
Pero las organizaciones que no habían desarrollado una cultura en la que la seguridad cibernética se había introducido en todas las actividades no podían responder eficazmente a las nuevas amenazas. Además de la falta de conocimiento de los empleados sobre cómo trabajar de forma segura, especialmente cuando las organizaciones remotas, carecían de personal de TI suficiente para una reestructuración general. También carecían de infraestructura suficiente y de los instrumentos y programas informáticos seguros necesarios para dar cabida a una fuerza de trabajo principalmente remota.
Una manera de aprender de las violaciones en el sitio web de su empresa es de los clientes. Es de vital importancia que tenga sistemas instalados para que los clientes puedan alertarle rápidamente si creen que ha habido problemas relacionados con la seguridad. Esta es la razón por la que debe configurar un sistema de software de mesa de ayuda automatizado que se puede integrar fácilmente con su correo electrónico para que reciba la notificación y pueda responder lo más rápido posible.
Incluso si la suposición de que el trabajo remoto es la nueva normalidad, pero al final resulta incorrecta, las organizaciones todavía necesitan enseñar a sus empleados que la ciberseguridad no es sólo una prioridad, sino algo que necesitan considerar todos los días, en todo lo que hacen.
Liderar desde la cima
Construir una cultura que reconozca la importancia de la ciberseguridad no es sencilla. A menudo requiere que los empleados hagan cosas que encuentran inconvenientes, como usar contraseñas fuertes que cambian con frecuencia y emplear autenticación de múltiples factores. Los problemas con la aceptación surgen en todos los niveles de la organización, incluyendo la alta gerencia.
La alta gerencia debe dar ejemplo para el resto de la organización. Los ejecutivos de nivel C deben entender que no sólo deben tomar la decisión de invertir en ciberseguridad (incluyendo personal, aplicaciones y servicios), sino también deben implementar plenamente las políticas de la organización personalmente y luego vender su valor a todos los demás en la organización.
Automatizar la ciberseguridad
Si bien es muy deseable crear una cultura de seguridad que se aplique por sí misma, también es valioso considerar cómo hacer que ciertos esfuerzos de seguridad cibernética sean esencialmente invisibles. Una forma valiosa de aliviar la carga de ciberseguridad tanto para la alta gerencia como para otros empleados es aumentar el nivel de automatización en el programa de ciberseguridad de la organización.
Los filtros de spam eficaces son un ejemplo muy simple de automatización, y su utilidad sigue aumentando a medida que sus algoritmos de filtrado se mejoran mediante el uso de inteligencia artificial y aprendizaje automático.
La automatización de la ciberseguridad también es importante en áreas que los empleados nunca ven. El gran número de ataques que se producen diariamente exige que los controles de ciberseguridad de una organización puedan funcionar con rapidez y preferiblemente sin una amplia intervención manual.
Esto es doblemente cierto dada la falta de profesionales disponibles. Una organización puede utilizar utilidades como orquestación de seguridad y respuesta automatizada (SOAR) y automatización robótica de procesos (RPA) para mejorar eficazmente sus operaciones de seguridad.
Capacitar rutinariamente a los empleados
A medida que los trabajadores de una organización se extienden por toda su ciudad, estado, país o incluso por todo el mundo, la necesidad de capacitación efectiva en ciberseguridad aumenta sustancialmente. Los ataques de phishing, donde los ciberdelincuentes se disfrazarán de entidades de confianza y pedirán inocentemente información sensible, han aumentado drásticamente desde que Covid atacó.
Por ejemplo, el año pasado Google informó de que sólo Gmail estaba recibiendo más de 240 millones de correos electrónicos de spam todos los días, y estaba bloqueando más de 18 millones de correos electrónicos de phishing sólo relacionados con COVID. Y, naturalmente, esto no significa que los correos spam y phishing que no estaban relacionados con COVID se detuvieran durante ese período de tiempo.
La falta de una formación adecuada de los empleados sigue siendo un problema, especialmente teniendo en cuenta la prevalencia de BYOD y entornos de trabajo remotos. El grado de fracaso para capacitar a los empleados sobre los riesgos de ciberseguridad es impresionante, dado que la gran mayoría de los ataques cibernéticos exitosos implican ingeniería social. Y el peligro sólo ha aumentado durante la crisis de COVID.
Los empleados deben ser informados de las medidas que deben tomar personalmente para garantizar la seguridad de la organización, recibir las herramientas necesarias para tomar esas medidas y recibir estructuras de apoyo apropiadas para que puedan implementar adecuadamente las medidas.
Y las herramientas no se limitan a proteger las redes, sino que también pueden y deben aplicarse a las tareas cotidianas. Como ejemplo, los empleados deben ser entrenados para trabajar con firmas digitales seguras, que se pueden utilizar para verificar a las personas y asegurar que un mensaje sin papel es realmente auténtico. Junto con los certificados S/MIME para la seguridad del correo electrónico, estas herramientas pueden ayudar mucho a proteger a sus empleados de ataques de phishing.
Recuerde que la capacitación no será eficaz si se trata de un evento único; la organización debe aprovechar todas las oportunidades razonables para reforzar y actualizar la capacitación y proporcionar nuevas herramientas a medida que estén disponibles. Sin una capacitación eficaz, una organización puede terminar desperdiciando todos los demás recursos que ha invertido para asegurar sus sistemas.
Conclusión
Aunque es posible que COVID-19 no haya alterado de forma permanente la industria de la seguridad cibernética, sin duda ha motivado a las organizaciones para reforzar y ampliar sus esfuerzos de ciberseguridad existentes y creado una necesidad sustancial de profesionales de ciberseguridad más capacitados.
Con sus empleados ampliamente distribuidos, las organizaciones deben invertir tanto en el personal de ciberseguridad como en los avances en la tecnología de ciberseguridad para proporcionar el entorno más seguro posible. Y así como las personas han tenido que ajustar la forma en que manejan sus vidas cotidianas para lidiar con COVID, también las organizaciones deben ajustar las culturas de sus organizaciones para que la ciberseguridad sea un pensamiento de frente todos los días.
Nota: Este artículo de blog fue escrito por un colaborador invitado con el propósito de ofrecer una mayor variedad de contenido para nuestros lectores. Las opiniones expresadas en este artículo de autor invitado son únicamente las del colaborador y no reflejan necesariamente las de GlobalSign.
