Tal vez estamos tratando de resolver el problema equivocado
Título original: Maybe We’re Trying To Solve The Wrong Problem
Fuente: LinkedIn/ Steve King, CISM – CEO at CubicPrism
Resumen:
Los hechos son que seguimos intentando gestionar la ciberseguridad sin gestionar el riesgo cibernético.
Nos enfocamos completamente en el ruido sin una idea de si el volumen de ataque se dirige a los activos cuya integridad nos pagan para proteger. Si Equifax hubiera sabido que la probabilidad y el impacto del ataque en la vulnerabilidad de “Apache Struts” habría sido de más de $4 mil millones, ¿cree usted por un minuto que no habrían hecho lo que fuera necesario para mitigar esa amenaza antes de que ocurriera la infracción?
La gestión del riesgo cibernético consiste en gestionar amenazas a los activos más valorados y no a los dispositivos más atacados. Los SIEM convencionales y otras soluciones de seguridad solo pueden decirnos qué dispositivos están siendo atacados y no pueden decirnos qué activos de alto valor están siendo atacados.
TI es la única organización en la compañía que aún no ha sido capaz de cuantificar el riesgo de los activos dentro de su responsabilidad de custodia.
Si llevamos el resultado de nuestra evaluación de amenazas a la junta e incluso si contiene valores de riesgo cuantificados y les mostramos un alto grado de riesgo asociado con un conjunto de vulnerabilidades que podemos solucionar con un aumento en nuestro presupuesto, aún no podemos responder a la lógica la siguiente pregunta: «¿Está seguro de que esta solución curará la exposición?»
Lo que la junta desea es una evaluación continua y cuantificada de ese riesgo que describimos, particularmente en un entorno que cambia cada minuto. Sin esa información, nunca obtendremos ese aumento en el presupuesto.
Mientras tanto, seguimos persiguiendo amenazas independientemente de los activos de información que puedan afectar. Gastamos decenas de miles cada mes en tecnologías que pasan por alto las amenazas más letales, mientras que dejamos expuestos los activos de alto valor exactamente de la misma forma que Equifax conscientemente optó por ignorar la corrección de la vulnerabilidad de su aplicación web.
Hasta que colectivamente cambiemos nuestro enfoque a los activos de información en riesgo y alejados de las vulnerabilidades más ruidosas, continuaremos exponiendo los datos más valiosos a los depredadores más hábiles y casi garantizando una entrada personal en el camino de la vergüenza de la seguridad cibernética.
En Alternativas en Computación le ayudaremos a tomar conciencia de su nivel de seguridad y conocer qué problemas de seguridad son más importantes para su organización. Contamos con un servicio de administración de seguridad y monitoreo que le permitirá poner en marcha su estrategia en breve y orientar sus recursos en labores operativas propias del negocio.
¡Si desea agendar una cita, por favor déjenos sus datos!
