Kaspersky Lab encuestó a 250 directores de seguridad informática de todo el mundo, sus opiniones resultaron muy interesantes.

Por ejemplo, cuando se les pregunta acerca de los indicadores de ejecución claves de un CISO (Director de Seguridad de la Información), no sorprende que la mayoría de encuestados afirmara que su criterio laboral principal es la calidad y la velocidad con la que se gestiona la respuesta a un incidente.

En las empresas modernas, ya no se piensa que los ciberincidentes sean fallos de seguridad. Resulta positivo comprobar que la mayoría de los especialistas empiezan a comprender que los incidentes son sucesos normales e inevitables.

Hoy, la ciberseguridad consiste básicamente en la supervivencia de la compañía. Tomando por supervivencia contar con un nivel de protección avanzada en un ataque de amenaza persistente, filtración de datos o DDoS masivos. Que permita a la empresa recuperarse por sí misma sin daños o pérdidas serias, a excepción del mínimo predefinido.

En otras palabras, el objetivo actual de los CISO apunta hacia la respuesta a incidentes.

La mayoría de los CISO coinciden en que el mayor riesgo al que se expone una organización tras una brecha es la pérdida de reputación.

El daño reputacional es la base del resto de consecuencias: disminución de existencias, confianza del cliente o ventas.

La reputación es la razón real por la que no escuchamos sobre la mayoría de los incidentes de seguridad. Una empresa puede ocultar un ciberincidente, aunque en algunos países la ley las obliga a revelar cualquier información sobre problemas de seguridad a sus accionistas y clientes.

Resultó interesante comprobar el nivel de implicación de los directores de seguridad en la toma de decisiones empresariales. Básicamente, existen dos estrategias, la seguridad puede controlar cada paso que toma la empresa, aprobando cada movimiento o en su lugar, pueden ejercer de asesores y que la compañía les pregunte si van por el camino correcto.

A simple vista, el control total parece más efectivo y lo sería si la ciberseguridad fuera el objetivo en sí.

En realidad, esta estrategia requiere mucho más personal y puede frenar el desarrollo del negocio. Esto puede ser un auténtico reto para las empresas innovadoras que utilizan procesos comerciales que no cuenten aún con las mejores prácticas para la protección.

En las respuestas a la pregunta “Sin un ROI claro, ¿cómo justifican su presupuesto?” La mayoría se justifica mostrando informes de brechas de ciberseguridad y evaluaciones de daños de ataques que ha sufrido la compañía en el pasado.

Funciona, al menos la primera vez y puede que la segunda, pero en la tercera lo normal es que respondan: “Has conseguido asustarnos, pero ¿cómo se enfrentan los demás a esta situación?”.

Las empresas deben conocer las experiencias de otras compañías. Desafortunadamente, los “puntos de referencia de la industria y las mejores prácticas” ocuparon el séptimo lugar en la lista de resultados de la encuesta.

Informe What it takes to be a CISO realizado por Kaspersky Lab.

Fuente https://www.kaspersky.es/blog/ciso-report/17241/

Los ciberatacantes generalmente tienen una ventana de oportunidad promedio de siete días para explotar una vulnerabilidad conocida, antes de que los defensores se logren percatar de haber sido vulnerables.

Así lo informó Tenable, tras resaltar que la falta de visibilidad hace difícil encontrar vectores de amenaza aislados y aún más complicado abordarlos una vez que se encuentran. Esto se debe a que en la mayoría de los casos, las herramientas y tácticas disponibles solo están diseñadas para abordar áreas específicas y no integradas.

“Los  profesionales de TI y seguridad cibernética expresan continuamente el gran reto de  proteger  todas las aplicaciones aisladas, así como los dispositivos de tecnología operacional (OT) e Internet de las Cosas  (IoT) que se están implementando fuera del departamento de TI”, destacó Luis Isselin, director general de Tenable México.

De acuerdo con Isselin, los CISO (Chief Information Security Officer) deben crear una estrategia integral de ciberseguridad que les permita establecer cuatro acciones básicas para evitar un ciberataque:

1. Visibilidad. El CISO requiere visibilidad en todos los aspectos de la superficie de ataque de la organización, incluidos los recursos de la Nube, contenedores, sistemas de control industrial y  dispositivos móviles, que pueden estar o no en el radar de TI. El tener conocimiento sobre dónde están las exposiciones o dónde es probable que se encuentren, revela un panorama mucho más amplio de lo que está en riesgo en la empresa.
2. Prioridad. El CISO debe comprender el problema y la criticidad de los activos. Deberá dar prioridad en función de la importancia de los activos afectados para el negocio y la probabilidad de que se explote una vulnerabilidad determinada.
3. Medir el progreso. Evaluar el progreso de cada decisión tomada como parte de las estrategias de ciberseguridad es esencial. Los CISO deberán identificar las métricas y los KPI (Key Performance Indicator) con los que medirá sus esfuerzos;  dichas métricas deben ser visibles por unidad de negocio, geografía y tipo de activo. El objetivo es comprender cómo cambia el perfil de exposición diario, semanal, mensual, de modo que pueda ayudar a comprender si las inversiones de la empresa en ciberseguridad están dando frutos.
4. Comparar prácticas de seguridad (Benchmarking). Es importante conocer las experiencias de otros colegas en materia de seguridad; el CISO deberá investigar sobre otras prácticas de ciberseguridad que se estén llevando a cabo en su mismo rubro, así como en otras industrias fuera del ámbito de su empresa.

¨La  capacidad de los CISO de llevar a cabo una estrategia de ciberseguridad integral y dar seguimiento a estas 4 acciones básicas  será  vital para comprender la exposición total al riesgo y la efectividad de sus medidas de ciberseguridad en la organización ¨ finalizó Luis Isselin.

Fuente http://computerworldmexico.com.mx/prevencion-para-ciberataque-tenable/

Reconocer la vulnerabilidad, trabajar en el rezago de los diversos sectores, así como mayor atención en sistemas tecnológicos, son algunos de los retos en el tema de ciberseguridad en México.

De acuerdo con Forbes México, representantes de bancos y entidades financieras como Banco de México, Santander, Banorte y Finamex, coinciden en que las vulnerabilidades de seguridad y específicamente el caso SPEI (Sistema de Pagos Electrónicos Interbancarios), dejaron enseñanzas básicas. Como reconocer que existe displicencia en el tema de ciberseguridad en el país.

El 22 de mayo, Banxico emitió un documento en donde señala que registró 5 participantes con vulneraciones de ciberseguridad:

“Los ataques que se han observado fueron dirigidos hacia los bancos, casas de bolsa y otros participantes del sistema de pagos. Estos han estado enfocados en los sistemas de los participantes con los que se conectan al SPEI”.

En este sentido, representantes de diversas entidades financieras, señalan que se debe reconocer las vulnerabilidades en diversos sectores de México para trabajar ante este tipo de amenazas.

Octavio Berges, director general de tecnologías de la información del Banco de México, detalló que todavía existe un rezago en el tema de seguridad cibernética:

“Lo que nos dejó y descubrimos del acontecimiento de SPEI, fue que existe displicencia en el tema de ciberseguridad. Sí se habla mucho de inversión, pero cuando se presentó el escenario crítico, descubrimos un rezago muy importante en todos los participantes”.

Por su parte, Ricardo Morales, director ejecutivo de seguridad de la información de Banorte, señaló que el caso SPEI sirvió para tener mejores candados de seguridad y trabajar más rápido en la implementación de soluciones.

En su participación José Luis Cisneros, CIO de Casa de Bolsa Finamex y presidente del Consejo de Seguridad AMIB, llamó a crear conciencia en los diferentes niveles organizacionales de las empresas porque sin esto, dijo, ninguna estrategia puede funcionar.

“Aprendimos que somos vulnerables, comprendimos esa parte. Creo que en el pasado pudimos haber pensado que esto era una película y que no iba a suceder. Ahora hemos visto que somos vulnerables. Como sugerencia, se debe hacer conciencia con los comités ejecutivos, presidentes y accionistas, porque estas estrategias no se pueden implementar de la mejor manera, si no tenemos el apoyo de las cabezas de las organizaciones”, detalló.

Raúl Gómez Voguel, director de riesgo informático y operacional de Santander, se refirió a que “las amenazas y vulnerabilidades, que sólo imaginábamos, se hicieron reales”. Ante esto hay que dejar de pensar que no nos puede pasar.

Fuente https://www.forbes.com.mx/que-aprendieron-los-bancos-en-mexico-del-caso-spei/