Los actores maliciosos de hoy son cada vez más despiadados y hostiles. Con un panorama de amenazas en constante evolución, combatir ataques cada vez más sofisticados requiere un cambio de enfoque, de las herramientas a la cultura. A medida que aumentan los esquemas de ingeniería social y las amenazas impulsadas por la IA, se hace cada vez más evidente que una ciberdefensa moderna y exitosa requiere un enfoque integral y holístico, que tenga en cuenta los principios tecnológicos junto con la conciencia y el comportamiento humanos.
La ciberresiliencia ya no se puede lograr únicamente con la implementación de nuevas herramientas o medidas de seguridad. La ciberresiliencia comienza con la creación de una cultura de resiliencia que se base en el fomento de la vigilancia y el escepticismo. Es necesario adoptar un enfoque proactivo en materia de seguridad que elimine la necesidad de “confiar en exceso” en nombre de los resultados y la productividad.
El concepto de “confianza cero” es central para esta transformación cultural, una práctica recomendada de ciberseguridad basada en los principios de mínimo privilegio y asunción de infracciones. En resumen, la confianza cero es un marco basado en la idea de “nunca confiar, siempre verificar”. Y si bien la confianza puede ser una emoción humana, en el contexto del panorama de amenazas actual, no hay lugar para ella en el mundo digital.
Un cambio de mentalidad muy necesario
Una estrategia de seguridad resiliente no se trata solo de las herramientas, sino también de la mentalidad colectiva de las personas. En este momento, la resiliencia cibernética no se puede lograr solo con las órdenes del CISO o del equipo de SecOps. Requiere la aceptación de toda la organización, desde TI hasta RR. HH., desde contabilidad hasta la alta dirección. La mentalidad influye en las herramientas que adopta una organización y en la forma en que se toman las decisiones. En una era en la que la confianza se explota fácilmente y la superficie de ataque continúa expandiéndose, las personas deben adoptar una mentalidad más escéptica y vigilante. Cualquiera que no lo haga crea una desventaja de seguridad que los actores maliciosos pueden explotar.
De hecho, Informe de incidentes de violación de datos de Verizon de 2023 Se descubrió que el 19 % de las violaciones de datos se originaron a partir de actores internos, que causaron daños intencionales o no intencionales a través de un uso indebido y un error humano. Además, los actores maliciosos están teniendo éxito al explotar relaciones de confianza para capitalizar la hiperconectividad de la cadena de suministro de software. Según el informe de CrowdStrike Informe sobre amenazas globales 2024“Los adversarios maximizan su retorno de la inversión (ROI) al atacar las relaciones entre proveedores y clientes, creando un único punto de acceso para atacar a múltiples organizaciones en diferentes sectores y regiones. Al explotar el acceso a los proveedores de TI y comprometer la cadena de suministro de software, utilizan software confiable para difundir herramientas maliciosas”.
En el mundo actual, tanto las organizaciones como las personas deben abordar las consultas y las conexiones con un ojo crítico. Pero, incluso a pesar de los mejores esfuerzos de las organizaciones, la realidad es que en algún momento es inevitable que un malhechor entre y atraviese las defensas perimetrales o eluda las relaciones de confianza. Si bien la prevención de amenazas es un elemento esencial que se debe priorizar, la mitigación de las repercusiones de una infracción debe tener prioridad. La confianza cero exige un cambio de paradigma, que requiere un cambio de los modelos de seguridad tradicionales basados en el perímetro hacia un enfoque más granular y centrado en la identidad.
Adoptar la confianza cero implica no solo implementar herramientas tecnológicas avanzadas y salvaguardas, sino también cultivar una mentalidad de escepticismo y validación continuos, es decir, practicar regularmente la “asumir la violación”. Implica fomentar un estándar en el lugar de trabajo donde cuestionar la integridad de los sistemas, las soluciones y los datos se convierta en algo natural y donde los empleados individuales asuman la responsabilidad de protegerse contra amenazas potenciales.
Depende de las organizaciones fomentar ese entorno de aprendizaje continuo, por supuesto (especialmente a medida que las amenazas evolucionan rápidamente) y ofrecer a los empleados la oportunidad de participar en pruebas, talleres y planes de respuesta a incidentes. Si bien es responsabilidad de los empleados practicar la debida diligencia, es responsabilidad de las organizaciones y los líderes empresariales asegurarse de que están brindando a la fuerza laboral los recursos y las oportunidades de aprendizaje necesarias para poner en práctica de manera efectiva lo que han aprendido.
¿Qué sigue para los líderes empresariales?
Entonces, ¿cómo pueden los líderes empresariales garantizar que sus empleados sean usuarios más perspicaces de la tecnología que utilizan? Por más cliché que pueda sonar, la respuesta es mediante una mayor comunicación. Para crear una cultura que se alinee con los principios de confianza ceroTodos los miembros de una organización deben comprender por qué deben tener cuidado con las comunicaciones que se basan automáticamente en la confianza y la gravedad de la confianza mal depositada, algo que debe transmitirse desde arriba hacia abajo. Esto incluye ofrecer programas de capacitación integrales, reforzar la importancia de los protocolos de ciberseguridad y fomentar una cultura de comunicación abierta donde las preocupaciones de seguridad se aborden de manera transparente y rápida.
Los líderes empresariales no pueden simplemente esperar que sus CIO y CISO asuman esta responsabilidad. Ellos mismos deben dar el ejemplo. confianza cero
Mentalidad de confianza cero, que demuestre un compromiso con las mejores prácticas de ciberseguridad y participe activamente en iniciativas para mejorar la alfabetización cibernética y la resiliencia organizacional. Al priorizar la ciberseguridad como un imperativo estratégico e integrarla en la cultura organizacional, las empresas pueden fortalecer sus defensas contra amenazas en constante evolución y mitigar el riesgo de infracciones costosas. Si bien una cultura de confianza cero no se puede construir de la noche a la mañana, es importante comenzar por algún lado.
En resumen, el panorama de amenazas cada vez más sofisticado de hoy justifica un enfoque más holístico de la resiliencia que trascienda las soluciones tecnológicas. Nuevas herramientas de seguridad ingresarán a la industria de la ciberseguridad, sin duda, pero a medida que surjan nuevas tecnologías y se establezcan más conexiones, será aún más importante que las personas sean usuarios perspicaces, que cuestionen y consideren antes de entregar las llaves del metafórico castillo de TI. Si bien las infracciones ocurren, al cultivar una cultura arraigada en los principios de confianza ceroLas organizaciones podrán fortalecer mejor sus defensas y adaptarse al panorama de amenazas en constante cambio con confianza, confiando en que su gente no es un obstáculo en su camino hacia la resiliencia cibernética, sino un facilitador estratégico. Lleva tiempo, pero es una inversión esencial.
