La transformación digital obliga a IT a rediseñar su arquitectura hacia una infraestructura descentralizada que elimine las barreras de gravedad de los datos y se adapte a operaciones ubicuas y bajo demanda. Sin embargo, este enfoque puede introducir nuevas preocupaciones de seguridad con más puntos de entrada.

¿Qué le depara el futuro al cambiante panorama de la seguridad de IT? Para obtener más información sobre las mejores prácticas que las empresas deben tener en cuenta a la hora de diseñar sus estrategias de seguridad física y cibernética, invitamos a Don Freese, director de Estrategia Cibernética, Transformación y Riesgos de PwC, a participar junto con Ed Diver, CIO de Digital Realty, en una sesión de preguntas y respuestas en directo en nuestro evento MarketplaceLIVE celebrado en Nueva York en noviembre de 2019. Con más de 22 años de experiencia en la división de Privacidad de Datos Globales del FBI, Don aportó sus amplios conocimientos y experiencia y compartió sus opiniones sobre:

Las ventajas que ofrece la nube para las estrategias de seguridad
Cómo pensar en el riesgo asociado a los datos dispersos por todas partes
Superar los retos únicos desde el punto de vista de la seguridad en relación con las barreras de gravedad de los datos y pasar a un entorno descentralizado
Cómo gestionar las operaciones de crisis
Perspectivas sobre la convergencia de la seguridad física y virtual

ED: ¿Qué consejo darías a los CEO y CSO a la hora de adoptar la nube? ¿Cómo deben abordarla y cuáles son algunas de las ventajas que la nube puede ofrecerles para su estrategia de seguridad?

DF: Es una excelente primera pregunta para comenzar. Creo que es lo que nos ha reunido a ti y a mí; es lo que ha creado esta situación en la que tú y yo hemos terminado en el escenario hablando el uno con el otro. Quiero decir, hay diferentes formas de liderar en el mundo de IT, pero una de las cosas es que las relaciones importan y tratamos de liderar con el ejemplo. Tú y yo, como CIO y como alguien que trabaja con CSO todo el tiempo y que ha desempeñado esos cargos anteriormente, hay una gran diferencia entre que peleemos por los presupuestos y la estrategia o que yo intente frenar lo que estás haciendo en el ámbito de la innovación o que cualquiera de los que trabajan en el mundo de la seguridad lo haga.

La cuestión de la nube es algo que nos preocupa a todos: si vamos a virtualizar o a permanecer en un entorno local. La nube facilita mucho la seguridad y va a ayudar a la mayoría de las empresas a salir de una situación de red heredada que a menudo incluye un déficit técnico, especialmente en lo que respecta al almacenamiento de datos. Si las empresas intentan gestionar esas cosas por sí mismas con equipos obsoletos, se plantean problemas de fin de vida útil, solo con las responsabilidades de aplicación de parches.

«La nube facilita mucho la seguridad y va a ayudar a la mayoría de las empresas a salir de una situación de red heredada».

Establecer una relación muy responsable y sólida con los proveedores de nube es una forma estupenda de impulsar los programas de seguridad y, al mismo tiempo, cumplir muchos elementos de la estrategia empresarial. Solo añade valor. Sin duda, también añade riesgo en ciertas áreas cuando se empieza a centralizar los datos en una ubicación más centralizada, lo que hace que la superficie de ataque cambie un poco. Sin embargo, también permite muchas más estrategias para controlar el acceso a través de la identidad, controlar el acceso y saber quién toma qué datos, cuándo y dónde. Y también tener la capacidad de detener el acceso de forma muy rápida, lo que, francamente, es imposible en la mayoría de las redes heredadas.

Esta estrategia debe llevarse a cabo en colaboración con el CIO, con la estrategia general de la empresa, con los responsables empresariales y con las líneas de negocio y los productos. Y ahí es donde se empieza a ver que la seguridad facilita el negocio en lugar de perseguirlo o ralentizarlo.

ED: Nuestros datos están dispersos por todas partes. La computación está en todas partes cuando se trata de aplicaciones en la nube y locales. ¿Cómo deben pensar un CIO o un CSO sobre el riesgo asociado a eso? ¿Cómo deben categorizar y priorizar el trabajo para abordar los retos de seguridad en las superficies adecuadas?

DF: Volvemos a la primera parte de tu pregunta, en la que dices que los datos están dispersos por todas partes. Sin organizar los datos y comprender dónde están, por qué los almacenamos, cómo se mueven y qué clientes, ya sean internos o externos, necesitan acceder a ellos, resulta incoherente intentar proteger una red en torno a esas cosas.

Por lo tanto, cambiar tu estrategia de seguridad a una estrategia centrada en los datos también ayuda a limpiar los datos de toda la empresa. Ayuda con el entorno normativo que cambia, como con el RGPD y la CCPA.

Yo me centraría en lo contrario de esa pregunta: ¿cuánta privacidad rodea a esos conjuntos de datos? Por eso me gusta mucho que podamos hablar como equipo con el mundo de los CIO, con el ámbito de la seguridad, con los responsables de la privacidad de los datos, con los consejos generales, con el entorno de productos y decir: «¿Cuántos datos necesitamos realmente en nuestro entorno?». Organicemos eso, clasifiquémoslo y controlemos el acceso a él basándonos en la identidad y otras cosas que tengan sentido.

Ahora es el momento de utilizar o plantearse modernizar el almacenamiento de datos, y los entornos en la nube son la forma perfecta de hacerlo.

ED: Las barreras en torno a la gravedad de los datos obligan a los responsables de IT a avanzar hacia un entorno más descentralizado. Esta situación debe plantear algunos retos únicos desde el punto de vista de la seguridad.

DF: La mayoría de las empresas con las que trabajamos tienen presencia global. Analizarlo por países es un poco irrelevante cuando nos fijamos en la arquitectura, excepto en lo que respecta a la gobernanza de los datos por país, pero lo consideramos un enfoque secundario. Y, al analizarlo, muchas veces podemos plantear un verdadero reto a la empresa preguntando:

¿Por qué almacenan tantos datos?
¿Por qué los conservan durante un determinado periodo de tiempo?
¿Qué utilidad tienen para tus operaciones?

Estas son preguntas que las empresas simplemente no se plantean. Muchas veces, cuando las empresas debaten un proyecto de transformación digital o la migración a un entorno en la nube, parten de sus propias suposiciones sobre la cantidad de datos que manejan, la cantidad que almacenan actualmente, y simplemente calculan lo que les costaría estar en un entorno en la nube. Si das unos pasos atrás y analizas las normativas de privacidad y el uso comercial de los datos, es sorprendente cómo no se tiene en cuenta todo eso. A menudo, descubrimos que se puede ganar mucho en eficiencia almacenando menos datos o, al menos, archivándolos de forma regular. Y entonces entramos en temas como: ¿cómo se restauran los datos y cómo se planifica eso en el entorno actual de amenazas?

¿Por qué no centrarse en los datos que realmente se necesitan para operar? ¿Qué es rentable para ti como organización? ¿Y por qué no entregar esos otros datos que se pueden archivar? Quizás los necesites por otras razones, pero ahora puedes almacenarlos de forma mucho más económica. Y en entornos como los que ofrece Digital Realty. Hacemos mucho de eso con diferentes empresas y es una gran estrategia que abre enormemente las posibilidades.

ED: Muchos CSO y CEO dedican mucho tiempo a preocuparse por una posible violación de la seguridad y por cómo van a recuperar los datos en ese caso. Siempre me sorprende que no lo hayan planificado con antelación. ¿Qué opinas al respecto?

DF: Sí, es una preocupación. Es algo que sin duda enseñamos mucho en nuestro mundo. Trabajamos tanto con los ejecutivos como con los consejos de administración sobre cómo gestionar las operaciones en caso de crisis. Siempre se oye a los expertos en ciberseguridad, como yo, hablar de practicar, prepararse y planificar para ese tipo de cosas. No obstante, bajando dos niveles, muchas veces no vemos que se practique a nivel técnico u operativo. ¿Qué entienden los equipos de ingeniería y de infraestructura? ¿En qué debe pensar el CIO cuando una amenaza moderna entra en el sistema? Quizás una que cifre datos a gran velocidad, como vemos con el ransomware, que cifra datos de forma que detiene las operaciones.

¿Qué tipo de debates se están llevando a cabo y qué tipo de medidas de mitigación se están tomando? Lo bonito, volviendo a tu primera pregunta sobre algunas de las estrategias de nube que existen, es que una vez que vemos que cosas como el ransomware ocurren en un entorno, esos entornos pueden ser desconectados en centésimas de segundo. Nadie sabrá siquiera que ha ocurrido algo. Y muchas veces, tener los datos organizados, como hemos hablado a través de una gobernanza adecuada, ubicación adecuada, almacenamiento adecuado, esos elementos fundamentales que no se dan en muchos de nuestros entornos de red heredados, una vez que esas cosas se establecen después de implementar una estrategia de nube exitosa, esas preocupaciones desaparecen.

ED: El panorama ha cambiado mucho en los últimos años, en los que la seguridad física ya no es suficiente y vemos que es necesaria la convergencia de la seguridad virtual y la física. ¿Qué opinas de esta convergencia en el sector?

DF: A menudo, los modelos de seguridad física y de seguridad de la información son dos equipos totalmente diferentes. Son equipos que nunca han hablado realmente y, a menudo, culturalmente, no intercambian ideas muy bien. La naturaleza misma de las personas que dirigen cada una de esas organizaciones es, sinceramente, muy diferente. Ahora, tenemos tecnología operativa o IoT que, en muchas ocasiones, impulsa lo que ocurre en el mundo de la seguridad física. Y creo que es una gran pregunta, porque queremos que esas redes estén tan organizadas como el almacenamiento de red más grande en cualquier sistema que protejan. ¿Están segmentadas adecuadamente o es eso después de que ahora hayan creado un vector de amenaza al instalar controles de acceso digital directamente en la columna vertebral principal de sus datos?

«Ahora es el momento de utilizar o plantearse modernizar el almacenamiento de datos, y los entornos en la nube son la forma perfecta de hacerlo». Por desgracia, a menudo han [creado un vector de amenaza] y eso se debe simplemente a la falta de comprensión de cómo funcionan estos diferentes elementos: cómo funcionan estos lectores de tarjetas, cómo los venden los proveedores. Así que hay que tomarse las cosas con calma y asegurarse, antes de que los equipos de seguridad física implementen ese tipo de cosas, de que, en primer lugar, se haga un análisis estratégico, pero también de que se utilicen esos datos para controlar el acceso de forma lógica. ¿Qué queremos decir con eso? Lo mismo que queremos hacer con los datos. Si alguien no tiene una función o un elemento de entrada adecuado, entonces no debería poder tener acceso a ellos. No obstante, la forma más fácil de configurar un lector de tarjetas digitales en modo predeterminado es que, si tienes esa tarjeta, puedas entrar. Segmentar esos espacios físicos es igual de importante.

Para obtener más información sobre MarketplaceLIVE y estar al día, regístrate en www.marketplacelive.com

El encuentro entre la descentralización y la ciberseguridad