En entrevista con Mercado, Luciano Meléndez, BDM de Seguridad de Logicalis Argentina, da cuenta de las principales tendencias y factores a tener en cuenta en la batalla contra el cibercrimen.
–¿Cómo imagina el nuevo escenario que se abre con los riesgos de seguridad en cuanto a las violaciones de datos y privacidad que involucrarán a teletrabajadores y dispositivos móviles fuera de las instalaciones?
–Cuando un usuario trabaja en forma remota, el primer desafío es que efectivamente pueda hacerlo y que tenga los medios necesarios. Para esto hace falta combinar factores que involucran principalmente al proveedor de servicios de Internet (ISP). En un futuro inmediato podría ser el propio ISP quien brinde el servicio seguro de acceso a aplicaciones corporativas, soportado por socios expertos –como Logicalis– que garanticen integridad y compliance sobre tecnologías de acceso privilegiado, por ejemplo. A este servicio se le puede incorporar disponibilidad del 100% pensando en tecnologías de balanceo en la nube y protección contra ataques DDoS Volumétricos; así como también capacidad de cifrado y aceleración del contenido; para mejorar la experiencia del empleado.
Respecto de los riesgos, según la Cybersecurity and Infrastructure Security Agency (CISA), en marzo 2020 se vio un incremento importante de ataques aprovechando vulnerabilidades de soluciones de VPN y configuraciones débiles en O365. Esto no nos dice demasiado, pero si le sumamos algunas falencias en la educación de los usuarios y procedimientos de backup defectuosos o planes de continuidad de negocios poco eficientes, estaremos más expuestos a diversos vectores de ataques.
Si se logra un equilibrio entre el esfuerzo que demanda la ejecución de este plan de manera recurrente –sostenible en el tiempo– y el beneficio de poder realizar nuestras tareas con la misma dedicación, desde diferentes espacios; la productividad de todos debiera incluso, crecer.
Segmentación lógica de perímetro
–¿Qué capacidades estratégicas de largo plazo esenciales requeriría diseñar un sistema sólido de ciberseguridad?
–El desafío es considerar un enfoque de la seguridad centrada en los datos, a diferencia del enfoque tradicional basado en la Red o en los dispositivos. En el enfoque tradicional se podría hacer la analogía de las instalaciones de la empresa como un castillo; que debe ser protegido contra intentos de intrusión externos (atacantes desconocidos) o internos (empleados malintencionados). Este enfoque obliga a pensar en un esquema de seguridad basado en la segmentación lógica de perímetro, Datacenter, nube, endpoints, etc. Si bien puede ser efectivo en determinados escenarios, no es resiliente: no es capaz de adaptarse a ciertos cambios como, por ejemplo, una pandemia global, que de un día para el otro cambia el sentido en el que la información circula y, por ende, cambia el modo en que los servicios se consumen.
Entonces establecemos un nuevo foco, la información: definimos qué debe ser accedido, por quién y desde dónde, con un abordaje centrado en los datos. Para esto hace falta desarrollar un plan, en fases que como mínimo deben cubrir:
- Descubrimiento, gobierno y clasificación de datos.
- Estrategias de DLP (Data Loss Prevention) y cifrado.
- Gestión de accesos e identidades.
- Concientización.
Hasta tanto logremos un buen nivel de educación en ciberseguridad común a todos los usuarios, hará falta un organismo de control interno que articule.
–¿Cómo incidirá en la seguridad financiera la extraordinaria concentración de actividades online gracias al confinamiento y a que los móviles a menudo trabajan sin ninguna seguridad de perímetro de red?
–Una de las ventajas de vernos forzados a resolver algunos trámites sin recurrir a la sucursal es a largo plazo una reducción del costo operativo. Esa eficiencia le brinda al cliente la posibilidad de pagar menos por un servicio que, en definitiva, ya casi no utiliza, como se evidencia con los bancos nativos digitales y sus propuestas. El perímetro, como ya vimos, se vuelve difuso y pierde relevancia, también frente a la disponibilidad y la eficiencia. Hoy estas APPs tienen detrás muchas horas de desarrollo: análisis de comportamiento para impedir que un usuario acceda desde Shangai y Buenos Aires el mismo día, inteligencia artificial para limitar las transferencias, múltiples factores de autenticación para acreditar la identidad del cliente en forma fehaciente y, además, diseño y usabilidad, para garantizar la adopción que es también muy importante.
Estrategia punta a punta
Por Juan Bonora (*)
La ciberseguridad y la protección de datos personales son del máximo nivel estratégico de la compañía. El departamento específico tiene poder de veto por encima de cualquier otra área respecto del lanzamiento de cualquier producto o solución.
Huawei es una de las primeras empresas a escala mundial en mencionar y aplicar el concepto de ciberseguridad en la cadena de provisión y distribución punta a punta.
Todas las empresas de tecnología hacen uso de proveedores externos a la vez, la cadena de distribución hacia el cliente final también suele ser provista en parte por proveedores externos.
Se realiza un exhaustivo proceso de selección, seguimiento y control de las cadenas de provisión y distribución.
El proceso de selección de un proveedor externo tiene un enorme componente respecto al chequeo de la ciberseguridad y la protección de los datos personales.
Asimismo, se requiere la constante capacitación del personal de dichas compañías y un control estricto del cumplimiento de las normas de ciberseguridad y protección de datos personales.
Entrenamiento y evaluaciones
Tanto la ciberseguridad como la protección de datos personales son aspectod que recorren en paralelo todas las áreas y procesos, desde los recursos humanos hasta el soporte técnico pasando por el diseño, la fabricación, prueba, promoción, etc.
Cada nuevo empleado es entrenado sobre estos temas y asume el compromiso de respetar los procedimientos y normas internas al respecto. Se realizan entrenamientos y evaluaciones periódicas.
Consideramos que la capacitación del personal es clave.
Cada nueva tecnología ha ido aumentando los niveles de seguridad a los máximos niveles conocidos al día de hoy aplicados al 5G.
Pero siempre existe la vulnerabilidad relacionada al uso que le da cada persona.
Al final, la mayoría de las aplicaciones son utilizadas por seres humanos. Eso lleva a que la ingeniería social se haya especializado y existan cada vez más tipos de ataques.
Hoy es muy importante la capacitación respecto a temas como fishing, baiting, malware, pretexting, etc.
(*) Director de Relaciones Públicas de Huawei Argentina
