La posibilidad de transferir una mayor parte de la infraestructura crítica de Reino Unido a la propiedad pública ha provocado numerosos debates sobre inversión, gobernanza y rendición de cuentas. Sin embargo, menos atención ha recibido lo que esto podría significar para la ciberseguridad. Independientemente de la postura política, una cosa es clara: la propiedad pública no elimina el riesgo cibernético. Al contrario, eleva las expectativas de que los servicios esenciales sean más resilientes, más coordinados y mejor preparados para soportar interrupciones. Esta expectativa refleja la realidad del panorama de amenazas. Los proveedores de energía, las compañías de agua, los operadores de transporte y las organizaciones de atención sanitaria se sitúan en el centro de ecosistemas digitales complejos. Su capacidad para entregar servicios esenciales depende de miles de proveedores, vendedores tecnológicos y terceros. Cuando una organización se ve comprometida, los efectos pueden propagarse mucho más allá de su propia red. La resiliencia, por tanto, depende de algo más que la protección de entidades aisladas: depende de entender y gestionar las relaciones entre ellas. Si el gobierno desea fortalecer la infraestructura nacional, la ciberseguridad debe ser parte de esa conversación desde el primer día. Eso implica ir más allá de programas de seguridad aislados y avanzar hacia un modelo en el que las organizaciones compartan inteligencia, comprendan riesgos comunes y coordinen su respuesta antes de que la interrupción se extienda.

Las infraestructuras críticas se extienden más allá de los límites organizacionales

Algunos de los ataques cibernéticos más destacables de los últimos años han demostrado que los atacantes rara vez buscan un único objetivo. Buscan oportunidades para comprometer una organización y alcanzar a muchas otras. El ataque SolarWinds sigue siendo uno de los ejemplos más claros: al comprometer actualizaciones de software de confianza, los atacantes obtuvieron acceso a miles de organizaciones en todo el mundo. Más recientemente, el ataque de ransomware a Synnovis interrumpió servicios de anatomía patológica en varias trust NHS, provocando operaciones canceladas, citas retrasadas y una interrupción generalizada de la atención al paciente. Ninguno de estos incidentes quedó confinado a la organización inicialmente comprometida. Ambos expusieron la realidad de que la infraestructura crítica depende cada vez más de cadenas de suministro interconectadas tanto como de activos físicos. Esto plantea un desafío para cualquier operador de infraestructura nacional crítica. La seguridad ya no puede verse exclusivamente como un esfuerzo para proteger un propio dominio; las organizaciones deben tener visibilidad de las amenazas que afectan a proveedores, socios y al ecosistema en general. Una vulnerabilidad en un proveedor de software u otro servicio externalizado puede convertirse rápidamente en un problema para todas las organizaciones que dependen de él.

La brecha entre la vigilancia y la acción

Esta es precisamente la debilidad de muchos programas de seguridad actuales. Las organizaciones han invertido fuertemente en tecnologías de detección, plataformas de gestión de vulnerabilidades y feeds de inteligencia de amenazas. Recopilan más información que nunca, pero siguen teniendo dificultades para convertir esa información en decisiones operativas seguras. La evidencia sugiere que no es cuestión de descubrir el riesgo, sino de decidir qué riesgos merecen atención inmediata. Los equipos de seguridad están rodeados de alertas, informes de vulnerabilidades y actualizaciones de inteligencia. Sin contexto, todo parece importante. Los analistas dedican tiempo valioso a investigar vulnerabilidades que pueden no ser explotadas, mientras que rutas de ataque realmente peligrosas quedan ocultas entre el ruido. Esto tiene consecuencias más allá de la eficiencia operativa: una hora dedicada a un tema de baja prioridad es una hora menos para reducir el riesgo de negocio real.

La inteligencia de amenazas debe orientar las decisiones mucho antes de un incidente

Una de las razones de este fenómeno es que la inteligencia de amenazas sigue tratándose, con demasiada frecuencia, como una función del Centro de Operaciones de Seguridad (SOC). Se recolecta, se analiza y se utiliza para detectar o investigar actividad maliciosa una vez que los atacantes ya han llegado a la red. Sin embargo, la inteligencia de amenazas tiene un valor mucho mayor cuando informa decisiones mucho antes en el ciclo de seguridad. Si se utiliza adecuadamente, debe ayudar a las organizaciones a entender qué vulnerabilidades están siendo atacadas, qué rutas de ataque representan el mayor riesgo para el negocio y qué actividades de remediación reducirán la exposición de manera más eficaz. En lugar de tratar todas las vulnerabilidades como urgentes por igual, los equipos de seguridad pueden centrarse en las amenazas que realmente importan para su entorno.
Este es también el lugar donde la Gestión Continua de la Exposición a Amenazas, o CTEM, juega un papel importante. CTEM no debe entenderse como otra categoría tecnológica o sigla de seguridad. Proporciona un marco estructurado para conectar inteligencia de amenazas, gestión de la exposición, validación y remediación en un proceso continuo. En lugar de depender de suposiciones o puntuaciones de riesgo teóricas, las organizaciones pueden validar si una vulnerabilidad es realmente explotable antes de dedicar tiempo y recursos a arreglarla.
Quizá el obstáculo más grande no es técnico: muchas organizaciones siguen operando con equipos de inteligencia de amenazas, gestión de vulnerabilidades, pruebas de penetración y gobernanza trabajando de forma independiente, cada uno con prioridades, procesos y herramientas diferentes. Romper esos silos suele aportar más mejoras que añadir otra plataforma de seguridad.

Construir una capacidad nacional

Si se espera que la infraestructura crítica sea más resiliente, la colaboración debe convertirse en una parte cotidiana de las operaciones, no solo durante un incidente importante. Esa mentalidad ya empieza a tomar forma. A principios de este mes, el National Cyber Security Centre y GCHQ llamaron a la industria, la academia y los operadores de infraestructura crítica para ayudar a definir Cyber Shield, una capacidad de defensa cibernética nacional diseñada para combinar IA, inteligencia compartida y defensa coordinada a escala nacional. Significativamente, la iniciativa reconoce que el gobierno no puede construir esta capacidad solo; dependerá de la estrecha colaboración con las organizaciones responsables de proteger los servicios esenciales del Reino Unido. Además, la Cyber Security and Resilience Bill ofrece una oportunidad para fortalecer ese enfoque al fomentar una mayor coherencia entre los sectores esenciales. Marcos como el Cyber Assessment Framework del NCSC resultan útiles porque proporcionan un lenguaje común para medir la resiliencia, y son aún más valiosos cuando permiten a las organizaciones aprender unas de otras en lugar de enfrentar desafíos similares de forma aislada. Las normas abiertas también desempeñan un papel importante. Recientemente, el Dutch National Cyber Security Centre convirtió a STIX y TAXII 2.1 en estándares obligatorios para compartir inteligencia de ciberamenazas entre el gobierno. Aunque es un tema técnico, esta decisión refleja un principio más amplio: cuando las organizaciones intercambian inteligencia mediante estándares comunes, se elimina fricción de la colaboración y se pueden responder a las amenazas con mayor rapidez.

La tecnología por sí sola no basta

La tecnología no logrará por sí sola ese resultado. La inteligencia artificial, la automatización y las plataformas de seguridad modernas pueden ayudar a las organizaciones a procesar más información y reducir el esfuerzo manual, pero siguen dependiendo de una buena inteligencia, una gobernanza sólida y relaciones de confianza. La razón es simple: las decisiones rápidas solo se convierten en buenas decisiones cuando están respaldadas por el contexto adecuado.

La resiliencia es una responsabilidad compartida

Si la mayor parte de la infraestructura crítica de Reino Unido pasa o no a manos públicas es solo parte de la historia. Los ciberatacantes no distinguen entre organizaciones públicas y privadas: atacan a los eslabones débiles, a los proveedores de confianza y a sistemas interconectados dondequiera que los encuentren. Las organizaciones que estarán mejor preparadas para los años venideros serán aquellas que adopten la resiliencia como una responsabilidad colectiva. Implementarán inteligencia de amenazas antes de que ocurran incidentes, validarán el riesgo real en lugar de confiar en suposiciones y colaborarán a través de límites organizacionales con la misma facilidad con la que los atacantes lo hacen. Proteger la infraestructura crítica nunca ha consistido únicamente en defender a las propias organizaciones: se trata de fortalecer todo el ecosistema que mantiene en funcionamiento los servicios esenciales. Si el Reino Unido quiere construir una infraestructura nacional verdaderamente resiliente, ahí es donde debe empezar la conversación.

from Latest from TechRadar https://ift.tt/xWhEqBp
via IFTTT IA