Las Operaciones Cibernéticas Deben Evolucionar Hacia Centros de Fusión. Aquí Está el Porqué.
Desde el inicio de la exploración espacial en los años 60, cada niño entiende que el éxito de una misión espacial depende no solo de los astronautas, sino también de los ingenieros en el centro de operaciones de la misión.
Todas las misiones u operaciones complejas son de alto riesgo y están sujetas a fallos. Estos fallos también son difíciles de predecir. Por lo tanto, los centros de operaciones juegan un papel importante al responder a los fallos en tiempo real para reducir su impacto en la misión.
Los centros de operaciones en el mundo de la tecnología de la información mantienen las operaciones de TI y de red en funcionamiento. La seguridad de la información (InfoSec) y los centros de operaciones de seguridad (SOC) desempeñan un papel similar. Como resume Rick Howard en sus Principios Fundamentales de Ciberseguridad, el objetivo de las operaciones de seguridad es “reducir la probabilidad de un impacto material en mi organización debido a un evento cibernético.”
En mis últimos 15 años en el dominio de InfoSec, he aprendido que la mayoría de las organizaciones maduras de ciberseguridad no están impulsadas por sus grupos de arquitectura o ingeniería, sino por el grupo de operaciones de ciberseguridad.
Una Breve Historia de las Operaciones de Seguridad
Los SOC surgieron de los Centros de Operaciones de Redes (NOC) que originalmente se ocupaban de asuntos de monitoreo de seguridad de TI. Las organizaciones crearían simultáneamente grupos separados como Equipos de Respuesta a Emergencias Informáticas (CERT) para centrarse en la respuesta a incidentes de seguridad y la informática forense, o Centros de Defensa Cibernética (CDC) para centrarse en el análisis y evaluación de amenazas. Cualesquiera que fueran los grupos operativos creados, todas las organizaciones tuvieron que reconocer dos realidades.
Primero, los SOC no pueden prepararse para cada amenaza concebible y, por lo tanto, los líderes de InfoSec deben limitar el enfoque de los SOC a las amenazas observadas en el entorno. Segundo, la colaboración, el intercambio de experiencia y, en última instancia, tu tiempo de respuesta a incidentes se ven obstaculizados cuando diferentes grupos son responsables del monitoreo, la respuesta a incidentes, el análisis y la informática forense. Entonces, ¿qué sigue?
Evolución de las Operaciones Cibernéticas
Valor Añadido del SOC en la Próxima Década de Desafíos
Los SOC enfrentarán desafíos clave en la próxima década. Su éxito depende de su adaptabilidad a las siguientes tendencias:
- Casi todos los negocios son susceptibles al cibercrimen. A medida que las industrias y los procesos empresariales se digitalizan, el crimen y el fraude habilitados por cibertecnología se vuelven omnipresentes. Para la mayoría de las naciones industrializadas, el cibercrimen ha superado al crimen tradicional. El cibercrimen tiene un perfil de riesgo/recompensa más atractivo.
Según el Informe de Brechas de Datos de Verizon 2020, el 86% de las brechas fueron motivadas financieramente. Por lo tanto, los líderes de InfoSec y los SOC deben expandir su enfoque más allá de TI e integrarse con los departamentos individuales de negocios.
- Integrar la seguridad en la fase de producción es demasiado poco, demasiado tarde. Los entornos de nube pública y DevOps han cambiado la forma en que las organizaciones gestionan funciones centralizadas como el aseguramiento de calidad y las operaciones de seguridad.
Por lo tanto, la seguridad debe integrarse lo antes posible en el ciclo de vida del desarrollo, adoptando principios como Shift Left y Seguridad desde el Diseño. Desafortunadamente, la mayoría de los SOC aún no han descubierto cómo comunicarse con DevOps.
- La automatización revolucionará el cibercrimen y el fraude: Los ciberdelincuentes ya están aprovechando la automatización para robar dinero a clientes de banca en línea a través de phishing o encriptando sus discos duros y exigiendo dinero.
¿Qué sucede cuando los ciberdelincuentes usan la automatización en ataques dirigidos contra organizaciones? Estamos en grandes problemas si el ataque de ransomware NotPetya de 2016 es un indicio. ¿Puede un SOC tradicional competir con la capacidad de un hacker para tomar el control de 60,000 dispositivos en siete minutos?
El SOC tradicional y centralizado tendrá dificultades para aportar valor a la luz de estas tendencias. Necesitamos un nuevo modelo. Un centro de fusión cibernética podría ser la solución.
El Concepto de un Centro de Fusión Cibernética
Un centro de fusión cibernética avanza la estrategia del SOC. Encierra al SOC pero también la seguridad física, la gestión antifraude, las operaciones de TI y otras funciones. El concepto de centro de fusión se originó en la comunidad de aplicación de la ley de EE. UU. tras los ataques terroristas del 11 de septiembre. Analistas de varias agencias se fusionaron en numerosos centros de fusión para intercambiar información de manera más efectiva y eficiente.
Los grandes bancos de EE. UU. fueron los primeros en adoptar este enfoque. Los líderes de InfoSec aprendieron que grandes robos cibernéticos como el robo al Banco de Bangladesh de 2016 podrían evitarse o al menos minimizarse mediante un intercambio de información más integrado. Algunos bancos respondieron trayendo oficiales de enlace del monitoreo de transacciones a sus unidades de operaciones cibernéticas.
Los centros de fusión pueden aportar valor a empresas de cualquier tamaño en casi todas las industrias. Veamos algunos ejemplos.
- Finanzas: La industria financiera aprendió de la manera difícil que compartir información entre múltiples grupos es clave. Hackeos de cajeros automáticos desde internet, manipulación de transacciones SWIFT y espionaje interno en fusiones y adquisiciones son solo algunos ejemplos.
Hoy en día, un banco es una empresa de tecnología. Y a menudo tienes más de 10 grupos operativos, que no tienen muchas interfaces ni una plataforma o un mecanismo para colaborar. Reunir a los grupos de SOC, monitoreo de transacciones, antifraude y seguridad física podría ser un gran beneficio para la gestión de riesgos y operaciones generales del banco. - Energía: Cualquiera que haya leído Blackout de Marc Elsberg entiende lo que está en juego cuando nuestra red eléctrica se ve afectada. Ucrania, por ejemplo, ha experimentado dos apagones habilitados por ciberataques. Los SOC y los departamentos de Monitoreo de Tecnología Operativa deben integrarse en este sector.
- Transporte: Nadie quiere viajar en un avión, coche, tren o barco hackeado. Dadas las arquitecturas modernas de los sistemas de propulsión, navegación y otros sistemas de transporte, es obvio que los departamentos de InfoSec, operaciones y seguridad física deben estar profundamente integrados.
Incorpora DevOps en un Centro de Fusión para Impulsar tus Operaciones de Ciberseguridad
Las Operaciones de Desarrollo (DevOps) han replicado los principios de los centros de fusión durante algún tiempo, resultando en una mejor colaboración, resiliencia y tiempo de comercialización. Los líderes de InfoSec harían bien en adoptar este modelo. DevOps también ofrece un enfoque más proactivo tanto para la resiliencia como para la gestión de amenazas al sintetizar la inteligencia de amenazas y el monitoreo.
Preguntas a nivel DevOps como “¿está esta transacción bloqueada relacionada con la brecha bancaria de la semana pasada?” podrían mejorar la conciencia situacional de un centro de fusión, pero también ayudar a diseñar o incluso automatizar mejores guías de acción para los equipos de negocio.
Centro de Fusión Cibernética
La mayoría de los equipos operativos ya comparten varias capacidades y tecnologías, como la higiene de detección o los controles de prevención, la gestión de SLA y KPI, y la automatización de guías de respuesta. Esos servicios compartidos podrían estandarizar la forma en que se organiza un SOC o centro de fusión y aumentar dramáticamente la higiene y resiliencia de la organización.
Desafortunadamente, aún no existe un modelo para un centro de fusión cibernética. Puedes comenzar esta transformación en pequeños pasos al implementar en tu SOC analistas de enlace de otras funciones o ir a lo grande y fusionar todas las funciones operativas juntas.
Al final, es importante definir tus criterios de éxito primero y medirlos con frecuencia. Al igual que un centro de operaciones espaciales mide el número de riesgos y fallos antes del lanzamiento de un cohete y durante toda la misión, tenemos que medir nuestra resiliencia cibernética contra los malos—ya sea a través de un ciberataque o fraude habilitado por cibertecnología, chantaje o un señuelo.
Recursos Adicionales
- Informe Evalúa la Privacidad y Cumplimiento de tus Comunicaciones de Contenido Sensible
- Artículo del Blog ¿Qué es una Red de Contenido Privado?
- Artículo del Blog Kiteworks Utiliza su Propia Red de Contenido Privado
- Artículo del Blog¿Qué es una Auditoría SOC II?
- GlosarioGestión de Riesgos de Seguridad: Riesgo de Información y Evaluación
- Artículo del Blog¿Qué es una VDR (Sala de Datos Virtual)?
- GlosarioPor Qué Importa la Gestión de Riesgos de Ciberseguridad
- Glosario¿Qué es una Auditoría SOC?