Nosotros      Publicidad  

CenturyLink: Se debe diseñar pensando en la seguridad para lograr la eficiencia

Al ir a un cajero, trato que otros no vean mi PIN, no le doy las llaves de mi casa a cualquiera, ¿por qué debo darle mi contraseña a cualquiera?.

Antonio Paredes / 05.11.2019 / 1:55 am

Tuvimos el agrado de entrevistar a Martín Fuentes, Security Business Senior Manager de CenturyLink, con quien hablamos sobre ciberataques, incidentes en América Latina, recomendaciones para empresas y qué hacer en casos de emergencia.

¿Cuál es la situación actual de CenturyLink en América Latina en términos de seguridad y compañía?

Estamos apostando fuertemente en temas de seguridad; colaborando detectando y bloqueando botnets. Nuestros productos de seguridad logran reducir el riesgo que tienen nuestros clientes. En el proceso de transformación digital, la seguridad es sin duda un elemento crítico y fundamental que tiene que ser parte del ADN de la organización.

Durante mucho tiempo se diseñaba algo para, finalmente, añadir seguridad; sin embargo, esto no funciona en negocios dinámicos, por ello se debe diseñar pensando en la seguridad para lograr la eficiencia.

Debemos tener en cuenta que la seguridad es responsabilidad del dueño del activo; nunca pierdo la responsabilidad por la seguridad, los datos o temas críticos del negocio. Nosotros somos socios de negocios no solo un proveedor.

Si el director de Finanzas tiene su clave en un papelito cercano a su computadora, no servirá de nada la inversión millonaria que haga en materia de seguridad. Esto no es solo un tema técnico sino también de cultura.

En el diseño debemos pensar sobre cómo será el flujo de aprobaciones, quien será el dueño de X proceso, dónde se almacenarán los datos, cómo cuidaré de ellos, etc.

Hace años era complicado detener un ataque de Denegación de Servicio Distribuido, ¿cómo cambió este escenario?

Se volvió más complicado. A medida que hay más dispositivos conectados a Internet, hay más potenciales puntos para formar una botnet. Las redes de protección van a tener que ser más grandes porque todo evoluciona.

Las soluciones hogareñas no sirven para analizar, bloquear y devolver solo tráfico limpio en casos donde se intenta explotar el canal. 

La extorsión a empresas por medio de DDoS y Ransomware era algo recurrente, ¿esta situación está cambiando?

Estas son las dos armas principales, una tercera sería la ingeniería social. Debemos tener políticas adecuadas de protección de nuestros archivos como backup y sandboxing, así reducimos el riesgo de un ransomware ya que podemos formatear los equipos y recuperar las copias de seguridad fácilmente.

Lamentablemente, algunos negocios sólo se preocupan cuando ven un inminente ataque, falta que tengan una mayor proactividad en la toma de decisiones. La seguridad no es un gasto, es parte del negocio.

¿Cuánto valen mis activos?, ¿cuánto pierdo por no tener los servicios disponibles?, ¿cuánto pierdo en reputación?

Las entidades financieras pueden verse muy perjudicadas ya que el tema financiero se basa en la confianza. En algunas ocasiones la persona técnica de seguridad no es capaz de explicar a un CEO por qué se debe invertir en seguridad y cuales son los riesgos de negocio. Faltan profesionales de seguridad en puestos técnicos y también en puestos de gestión.

Son muy buenos los programas de recompensa para hackers que logran vulnerar sistemas y reportarlos a la empresa. Esta es una manera inteligente de disminuir el riesgo de negocio porque empresas muy grandes como Microsoft o Google siempre tendrán gente atacándolos.

¿No sería mejor dar US$10.000 a quien nos reporta una vulnerabilidad que salir en los diarios por ser hackeados? Ningún sistema es totalmente seguro, solo podemos añadir capas de seguridad para disuadir a los atacantes.

¿Cuál es la tendencia en ciberataques dirigidos hacia empresas en América Latina y qué casos sucedieron recientemente?

Hace un par de años hubieron muchos casos de ransomware (WannaCry). Se infectan compañías para tomar control, chantajearlas, lograr que sus equipos sean parte de una botnet, etc.

La ingeniería social sigue vigente. En muchas ocaciones la gente es la que hace clic en enlaces que no debe porque son engañados con promociones y/o contenido llamativo.

También existen amenazas a empresas para que paguen a cibercriminales a cambio de no sufrir ataques DDoS.

¿Qué recomendaciones sobre ciberseguridad le brindarías a las empresas?

En términos generales, se debe generar una cultura de análisis de riesgo: entender cuáles son los riesgos de negocio, qué información crítica manejo, cómo esa información se usa, etc. Si no entiendo qué estoy protegiendo, es muy difícil definir una estrategia eficiente.

Apuntemos a lo más crítico, lo que está relacionado con el negocio. Debemos tener una estrategia acorde a lo técnico y también al negocio. Debemos generar concientización, principalmente de la alta esfera de la organización.

De esta manera la toma de decisiones será mucho más informada; RRHH podrá enviar información confidencial de forma segura, el área legal sabrá dónde guardar los archivos correctamente, etc.

¿Cómo debe reaccionar una empresa que fue atacada por cibercriminales?

Es complejo tomar las mejores decisiones bajo ataque porque estás desesperado, lo mejor es conseguir asesoría para resolver la situación, analizando lo sucedido y tener un buen manejo en la comunicación.

Un ataque DDoS se puede frenar de manera técnica en algunas horas; sin embargo, si un banco sufre un ataque a su base de datos, esto se complica mucho porque la solución debe ser técnica pero también hay un tema respecto a la desconfianza de los usuarios que darán de baja sus cuentas o transferirán su dinero a otros bancos.

Dependiendo de la gravedad del caso, se debe armar un comité de crisis multidisciplinario e ir tomando las decisiones sobre la marcha intentando que sean lo más acertadas posibles; lamentablemente, no hay una solución mágica pero sí es importante tener el apoyo de terceros.

Tengamos en cuenta la mejora continua. Lo fundamental es aprender luego de toda esta situación para que no vuelva a suceder o si vuelve a suceder saber qué hacer.

Finalmente, ¿hay algo más que desees compartir con nosotros?

Empecemos a generar una cultura de seguridad. La seguridad no es algo difícil; al ir a un cajero, trato que otros no vean mi PIN, no le doy las llaves de mi casa a cualquiera, ¿por qué debo darle mi contraseña a cualquiera?

Es un tema crítico que me roben dinero, pero es aún más crítico tener un hijo que es víctima de grooming, porque el dinero se recupera, lo otro no. Todas las capacitaciones y entrenamientos que se puedan dar en las organizaciones son positivas; esto mejorará la situación de la seguridad en general.

Los atacantes, vieron el negocio y van a seguir estando, ¿qué haremos nosotros?

Compartir noticia
Lo último en tecnología
Enlaces Archivo / Condiciones

:

: