Las modas cegadoras de la seguridad

seguridadManuel Barrios, CISO en Informática El Corte Inglés

Cada poco tiempo surgen nuevos escenarios de riesgos donde los responsables de seguridad deben dar respuesta. Esto lleva a la difícil tarea de los responsables de seguridad de estudiar cuidadosamente donde centrar los esfuerzos y presupuestos anuales en seguridad. ¿Protejo el perímetro? ¿Me centro en los puestos de trabajo? ¿En los servidores internos? ¿En concienciación de los usuarios? ¿Protección contra APTs? ¿En implantar un SIEM? ¿En los nuevos elementos de la red que ahora tienen IP?…

Hay quien dice que quien mucho abarca poco aprieta, pero lo cierto es que en seguridad aun sabiendo que es imposible proteger todo y que la seguridad al 100% no existe, si no es abordado de una manera estratégica y no de manera táctica, posiblemente se esté malgastando presupuesto o dejando de lado el proteger activos vitales para el negocio.

Cada año aparecen nuevas tendencias que opacan al resto de escenarios de riesgo dando la sensación de que las  amenazas tradicionales hayan dejado de existir. En 2015 fueron los  APTs, durante 2016 fue el año del ransomware, 2017 el IoT y GDPR viene pisando fuerte… ¿Quién se acuerda ya de los tradicionales antivirus, los sistemas de usuarios privilegiados, la gestión de identidades, las infraestructuras PKI y sus HSM, los sistemas IRM o DLP para evitar y controlar la fuga de información? ¿Han dejado de estar de moda? ¿Ya no son necesarios? ¿Están ya resueltas por completo las problemáticas para las que fueron creadas estas soluciones?

En ocasiones el cibercrimen o incluso los fabricantes de seguridad, diría que actúan como lo hacen los magos, consiguen dirigir la atención a un punto para que no mires a otro donde realmente está ocurriendo “la magia”… hacen que te deslumbres y te preocupes por lo nuevo  pareciendo que las amenazas y riesgos del pasado dejaron de existir.

Nivel de madurez en materia de seguridad

Es momento de pararse a pensar el nivel de madurez en materia de seguridad de la información que se tiene en la organización y plantear la estrategia de seguridad a seguir en pro de no dejarse llevar por los “modismos” en seguridad.

No tiene sentido plantearse una protección avanzada contra APTs con la última suite completa antimalware si gran parte del parque de equipos en la organización son Windows XP y, por tanto, aunque se despliegue esa fantástica suite que promete proteger del último ransomware, la organización seguirá siendo vulnerable a un ataque de “botón gordo”  ejecutado por un script kiddie, consiguiendo ser administrador de la máquina y comprometiendo todo el sistema por estar haciendo uso de un sistema operativo del que el fabricante ha dejado de proporcionar parches de seguridad.

No tiene sentido plantearse una estrategia de protección de dispositivos IoT si antes no has planteado una estrategia de concienciación de los usuarios y si no tienes una arquitectura de seguridad perimetral lo suficientemente robusta y madura que permita controlar qué entra y sale de la red.

Ahora viene el tsunami del GDPR y muchas empresas están más preocupadas en nombrar o buscar un DPO antes que evaluar los riesgos reales a los que se va a tener que enfrentar el propio DPO….

Por lo que quizá sea un buen momento para pararse a pensar cual es el estado actual de tu organización en materia de seguridad y plantearse si se tienen todos los escenarios de riesgos “tradicionales” cubiertos antes de verse obligado a  afrontar un proyecto “de moda”.

En ocasiones dar un paso atrás, sirve para tomar el impulso adecuado…

Un pensamiento en “Las modas cegadoras de la seguridad

  1. Pingback: Las modas cegadoras de la seguridad – informatic68

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s