[et_pb_section fb_built=\u00bb1″ admin_label=\u00bbSection\u00bb _builder_version=\u00bb4.22.0″ _module_preset=\u00bbdefault\u00bb custom_margin=\u00bb0px||0px||false|false\u00bb custom_padding=\u00bb0px||0px||false|false\u00bb locked=\u00bboff\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_row column_structure=\u00bb1_4,3_4″ _builder_version=\u00bb4.27.0″ _module_preset=\u00bbdefault\u00bb custom_padding=\u00bb50px||||false|false\u00bb custom_css_main_element=\u00bbz-index:0!important;\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_column type=\u00bb1_4″ disabled_on=\u00bbon|on|off\u00bb _builder_version=\u00bb4.22.0″ _module_preset=\u00bbdefault\u00bb custom_padding=\u00bb||||false|false\u00bb sticky_position=\u00bbtop\u00bb sticky_offset_top=\u00bb100px\u00bb sticky_limit_bottom=\u00bbsection\u00bb motion_trigger_start=\u00bbtop\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_text admin_label=\u00bbindice\u00bb _builder_version=\u00bb4.27.0″ _module_preset=\u00bbdefault\u00bb custom_margin=\u00bb||0px||false|false\u00bb custom_padding=\u00bb||14px||false|false\u00bb link_option_url=\u00bb#1″ global_colors_info=\u00bb{}\u00bb]<\/p>\n
Secciones<\/strong><\/p>\n [\/et_pb_text][\/et_pb_column][et_pb_column type=\u00bb3_4″ _builder_version=\u00bb4.27.0″ _module_preset=\u00bbdefault\u00bb custom_css_main_element=\u00bbz-index:0!important;\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_text admin_label=\u00bbseccion\u00bb module_id=\u00bb1″ module_class=\u00bbittopicscontent\u00bb _builder_version=\u00bb4.27.0″ _module_preset=\u00bbdefault\u00bb z_index=\u00bb0″ custom_margin=\u00bb0px||0px||true|false\u00bb custom_padding=\u00bb0px||0px||false|false\u00bb custom_css_main_element=\u00bbfont-family:%22Pandora-Light%22;\u00bb locked=\u00bboff\u00bb global_colors_info=\u00bb{}\u00bb]El Nobel William Faulkner escribi\u00f3 que no puedes nadar hacia nuevos horizontes sin el riesgo y el coraje de perder de vista la playa. Buena suerte citando eso a RRHH durante el finiquito, porque inspir\u00f3 tu estrategia de ciberseguridad. En ella, mitigar riesgos es la premisa principal<\/strong> y lo dem\u00e1s es literatura. Por eso, veremos las claves de esa gesti\u00f3n de riesgos<\/a>, sus estrategias, herramientas, normativas y m\u00e1s.<\/p>\n En la vida, es imposible eliminar completamente los riesgos, pero como encargados de seguridad debemos caminar una fina l\u00ednea: reducirlos todo lo posible sin comprometer las operaciones de nuestra organizaci\u00f3n.<\/strong><\/p>\n Este es un equilibrio que trae bastantes quebraderos de cabeza, as\u00ed que mejor empezar por el principio.<\/p>\n Antes de nada, hablemos el mismo idioma. Cuando nos referimos a mitigar riesgos, debemos tener claros los conceptos principales.<\/p>\n Una estrategia de seguridad se basa en equilibrar esos tres conceptos, como si fu\u00e9ramos malabaristas tratando de mantener platos girando sin caerse. Eso implica asumir riesgos calculados, dedicando esfuerzos seg\u00fan el impacto y seriedad de las amenazas<\/strong>.<\/p>\n Tradicionalmente, hay 4 estrategias para afrontar riesgos y amenazas:<\/p>\n No solo el ransomware<\/i> acecha tras una esquina, hay toda una serie de amenazas a nuestra infraestructura IT<\/a> que podemos clasificar por:<\/p>\n Esas tipolog\u00edas no viven en compartimentos estancos<\/strong>, un fallo operativo o de seguridad pondr\u00e1 en riesgo la reputaci\u00f3n y puede acarrear sanciones tambi\u00e9n.<\/p>\n Por ejemplo, Gitlab tuvo un fallo operativo en 2017 con una base de datos de producci\u00f3n, provocando horas de downtime<\/i> y la p\u00e9rdida de 300 GB de informaci\u00f3n… y de reputaci\u00f3n. Igualmente, un apag\u00f3n en un centro de datos de AWS en 2021 dej\u00f3 sin servicio a empresas como Coinbase o Disney+, mostrando que, a pesar de la estrategia de transferencia, el riesgo no se crea ni se destruye, solo se transforma.<\/p>\n Del mismo modo, tenemos la multa r\u00e9cord a Amazon de 746 millones de euros (la calderilla de Bezos en el bolsillo del pantal\u00f3n) por incumplimiento del RGPD. O los 18,5 millones de Target (m\u00e1s 202 por facturas legales, mostrando que los abogados son otra amenaza) por el robo de 40 millones de n\u00fameros de tarjetas de cr\u00e9dito e incumplimiento del PCI-DSS.<\/p>\n En cuanto a reputaci\u00f3n, el caso Cambridge Analytica<\/i> supuso un da\u00f1o a Facebook mayor que cualquier declaraci\u00f3n de Zuckerberg, mientras que el hackeo a Sony Pictures en 2014 dej\u00f3 la sensaci\u00f3n de que mejor no confiarles ni el nombre del gato.<\/p>\n En un escenario como este, todo lo que no sea un plan integral se va a quedar corto<\/strong>. Este no consiste en un documento est\u00e1tico que se quede en el caj\u00f3n susurrando que por qu\u00e9 lo hemos abandonado, sino una manera de actuar alineada con las mejores pr\u00e1cticas y est\u00e1ndares<\/strong>, como la ISO 31000 o la NIS SP 800-37 para gesti\u00f3n de riesgos<\/a>.<\/p>\n Partiendo de ah\u00ed, los pasos<\/strong> para nuestro plan ser\u00edan:<\/p>\n Analicemos cada paso.<\/p>\n La ciberseguridad es el continente m\u00e1s grande que existe y es imposible abarcarlo todo, pero tampoco es necesario. Cada organizaci\u00f3n tiene un modelo de amenazas diferente y el primer paso es identificar cu\u00e1les son las prioritarias para nuestros activos cr\u00edticos<\/strong> (datos, sistemas y servicios).<\/p>\n Como no tenemos presupuesto infinito, y no todos los riesgos son iguales, debemos:<\/p>\n El resultado material de este paso es una lista de riesgos asociados<\/strong> a nuestra infraestructura. Por ejemplo, que nuestro viejo ERP ya no recibe actualizaciones de seguridad, exponi\u00e9ndonos a ataques SQLi.<\/p>\n No todos los riesgos son iguales. Algunos pueden ser improbables y otros veros\u00edmiles, pero causar un impacto m\u00ednimo. Por eso, debemos determinar ambos factores y catalogar los riesgos detectados por probabilidad e impacto<\/strong>. Con eso tendr\u00edamos una tabla o clasificaci\u00f3n que indique si cada factor de riesgo es bajo, medio o alto.<\/p>\n Por ejemplo, si seguimos el principio 3-2-1 de backups<\/i>, la copia offsite<\/i> puede ser dif\u00edcil de acceder, con lo que la probabilidad de brecha es baja, pero su impacto en caso de suceder ser\u00eda alto.<\/p>\n Si trabajamos para una organizaci\u00f3n madura con datos hist\u00f3ricos, podemos hacer un an\u00e1lisis cuantitativo adem\u00e1s de cualitativo. Esto implica familiarizarse con conceptos de gesti\u00f3n de riesgos como:<\/p>\n El resultado tangible de esta fase debe ser una clasificaci\u00f3n de riesgos<\/strong> (cualitativa, cuantitativa o ambas) por nivel de criticidad<\/strong>.<\/p>\n Durante nuestra labor, sentiremos que tenemos mil frentes abiertos para unos pocos soldados. El paso anterior sirve para destinarlos a la trinchera adecuada. Es decir, asignar los recursos que poseemos a cubrir las amenazas con mayor impacto<\/strong>.<\/p>\n Por ejemplo, tenemos una lista que r\u00edete de la de la compra semanal. En ella, detectamos un riesgo DDoS con un ALE calculado de 300.000 euros, porque somos una tienda online y cada segundo de downtime<\/i> cuenta. Del mismo modo, analizamos que, por los datos de clientes a conservar, el RGPD puede ponernos una cuantiosa multa de m\u00e1s de 100000 euros si no los cuidamos bien.<\/p>\n El resultado de este paso ser\u00eda un listado de acciones inmediatas<\/strong>, como, por ejemplo, implementar un WAF (Web Application Firewall)<\/i> y\/o hablar con Cloudflare para mitigar ese DDoS, adem\u00e1s de repasar bien los puntos del RGPD que minimicen la posible multa.<\/p>\n Y luego, seguiremos con los otros riesgos que no tienen tanto cero detr\u00e1s.<\/p>\n Vaciar el mar a cubos es m\u00e1s f\u00e1cil que contener todas las amenazas. Adem\u00e1s, estas se reproducen m\u00e1s r\u00e1pido que los tribbles<\/i> (referencia para verdaderos geeks<\/i> que delatan mi edad y obsesiones). Por eso, tras los pasos anteriores, el trabajo no ha hecho m\u00e1s que empezar<\/strong>.<\/p>\n En este paso debemos validar la eficacia de las medidas y seguir adapt\u00e1ndonos<\/strong> a las nuevas amenazas que emergen cada d\u00eda.<\/p>\n O sea, hacer nuestro trabajo, cuyo rendimiento se suele valorar con m\u00e9tricas como:<\/p>\n Esperar no es manera de vivir, ni de defender nuestra infraestructura IT. Por eso, la gesti\u00f3n de riesgos tiene que ser proactiva y anticipatoria<\/strong>, asumiendo que no es cuesti\u00f3n de si alguno se har\u00e1 realidad, sino cu\u00e1ndo<\/strong>, y poner en marcha estrategias que mitiguen al instante. Siguiendo el esquema de las 4 cl\u00e1sicas que hemos visto, podemos implementar:<\/p>\n Reducci\u00f3n de riesgos<\/strong>. Minimizando la probabilidad de que ocurra la brecha y el da\u00f1o con:<\/p>\n Transferencia de riesgos<\/strong>. Que implica estrategias como:<\/p>\n Eliminaci\u00f3n de riesgos<\/strong>. Que es imposible, pero se puede reducir much\u00edsimo en algunos aspectos con t\u00e1cticas como:<\/p>\n Aceptaci\u00f3n de riesgos<\/strong>. Cuando estos tienen bajo impacto o un coste prohibitivo de mitigar. Por ejemplo, asumiendo que un porcentaje de phishing<\/i> atravesar\u00e1 nuestras defensas.<\/p>\n Gran parte de la ciberseguridad cotidiana se basa en manejar herramientas especializadas. Sin ellas, es imposible hacer frente al panorama actual<\/strong> de riesgos.<\/p>\n IDS<\/a>, firewalls<\/i>, SOAR<\/a>… las opciones son muchas y debemos implantar las necesarias seg\u00fan el an\u00e1lisis de riesgos de los pasos anteriores, pero en el centro de esas herramientas est\u00e1 el SIEM<\/strong>, el centro del mando, el ordenador central del Enterprise, que permite proactividad y actuaci\u00f3n instant\u00e1nea ante brechas. Eso se debe a la capacidad de un SIEM como el de Pandora para:<\/p>\n La clave es que el SIEM act\u00faa como el ojo de Sauron que todo lo ve y primera l\u00ednea de defensa activa, enviando las primeras respuestas automatizadas al frente de batalla.<\/p>\n Sin \u00e9l, las dem\u00e1s aplicaciones realizar\u00e1n una defensa fragmentada, sin perspectiva amplia ni comunicarse con el resto de herramientas, lo que permitir\u00e1 que ataques sofisticados, con muchas piezas m\u00f3viles, pasen por debajo de nuestro radar.<\/p>\n En tecnolog\u00eda hay que atender a muchos amos, y uno de los m\u00e1s importantes es la legislaci\u00f3n sobre ciberseguridad, especialmente, en estos tiempos revueltos.<\/p>\n Todo responsable debe ponerse el traje de abogado, teniendo muy clara la legislaci\u00f3n que le afecta<\/strong>.<\/p>\n Por ejemplo, la NIS2<\/a> europea se aplica a empresas consideradas cr\u00edticas, como las de energ\u00eda, por ejemplo, mientras que la PCI-DSS nos afectar\u00e1 en caso de que procesemos pagos online, el RGPD nos ata\u00f1e a todos y la ISO 27001<\/a> no es ley obligatoria, pero s\u00ed un marco de excelencia y buenas pr\u00e1cticas que nos otorgar\u00e1 reputaci\u00f3n y confianza de clientes e instituciones.<\/p>\n Estas leyes demandan auditor\u00edas, monitorizaci\u00f3n<\/a> activa, mantenimiento de logs<\/strong>… Debemos conocer sus exigencias, pero esta es la clave para cumplir con todas ellas:<\/p>\n Si aplicamos las mejores pr\u00e1cticas de ciberseguridad, permaneciendo en la punta de lanza de la excelencia, e implantamos herramientas profesionales que nos ayuden, iremos por delante de los requisitos y los cumpliremos<\/strong>.<\/p>\n La ley suele ir algo por detr\u00e1s de la innovaci\u00f3n y es normal, con lo que si nos aseguramos de conocer y aplicar dicha innovaci\u00f3n, nos aseguraremos de cumplir.<\/p>\n No importa que seas el mejor en esto, no podr\u00e1s detener el tsunami constante de amenazas sin herramientas especializadas<\/strong>. Buena suerte dej\u00e1ndote los ojos en logs o desperdiciando tu experiencia en mitigar DDoS y el en\u00e9simo phishing<\/i>, mientras actores maliciosos usan ataques complejos que hacen brecha porque no tienes tiempo de mirar.<\/p>\n Por eso es necesario usar herramientas que tambi\u00e9n apliquen mejores pr\u00e1cticas y tener ese director de orquesta llamado SIEM.<\/p>\n En el caso de Pandora SIEM, este permite, entre muchas otras cosas:<\/p>\n Detectando amenazas complejas<\/strong> al cruzar datos y telemetr\u00eda<\/a> de redes, endpoints y apps en segundos, reforzado por IA para la gesti\u00f3n de todos esos datos<\/a>. Y sin importar si usas Red Hat<\/a>, Windows, MacOs o todos a la vez.<\/p>\n Ejemplo<\/i>: Identificaci\u00f3n de un ataque APT (patr\u00f3n: VPN + descargas masivas + PowerShell sospechoso), evitando robo de datos.<\/p>\n Adaptando la detecci\u00f3n a los riesgos \u00fanicos de nuestro sector<\/strong> y sus requerimientos legislativos.<\/p>\n Ejemplo:<\/i> Regla anti-fraude para nuestra empresa financiera que bloquee transacciones superiores a 10.000\u20ac desde ubicaciones an\u00f3malas, reduciendo fraudes.<\/p>\n Mitigando amenazas sin intervenci\u00f3n humana y alertando al SOC<\/strong> para el resto de medidas.<\/p>\n Ejemplo<\/i>: Neutralizaci\u00f3n de un ransomware<\/i> poniendo en cuarentena el endpoint<\/i>, desconectando la red y avisando al SOC.<\/p>\n Generando la evidencia e informes necesarios para normativas con un clic.<\/p>\n\n
Conceptos clave: riesgo, amenaza e impacto<\/h2>\n
\n
Las 4 estrategias cl\u00e1sicas de gesti\u00f3n de riesgos en seguridad<\/h2>\n
\n
Principales tipos de amenazas en IT<\/h2>\n
\n
C\u00f3mo dise\u00f1ar un plan efectivo para reducir riesgos<\/h2>\n
\n
1. Identificaci\u00f3n de riesgos<\/h3>\n
\n
2. An\u00e1lisis de riesgos<\/h3>\n
\n
3. Priorizaci\u00f3n de riesgos<\/h3>\n
4. Seguimiento y monitorizaci\u00f3n<\/h3>\n
\n
Estrategias pr\u00e1cticas para anticiparse a amenazas<\/h2>\n
\n
\n
\n
Herramientas esenciales para proteger la infraestructura<\/h2>\n
\n
Normativas clave para la seguridad IT<\/h2>\n
Caso pr\u00e1ctico: C\u00f3mo Pandora SIEM ayuda a proteger tu negocio<\/h2>\n
1. Correlaci\u00f3n avanzada<\/h3>\n
2. Reglas personalizadas<\/h3>\n
3. Respuesta automatizada ajustable<\/h3>\n
4. Auditor\u00edas sin esfuerzo<\/h3>\n
La formaci\u00f3n y cultura de seguridad en la mitigaci\u00f3n de riesgos<\/h2>\n