Tips para un CISO

El buen desempeño de las TI pasa indudablemente por la seguridad que se obtenga en Internet, lo que obliga a pensar en una protección continua que abarque desde los mecanismos de detección avanzada de intrusos, firewall, VPN hasta la valoración de vulnerabilidades, antivirus, seguridad para correos electrónicos y filtros de WEB.

Las soluciones hasta ahora presentadas para la seguridad por Internet se basan en la idea de esperar el ataque para reaccionar ante ellos con diferentes métodos. Esta actitud pasiva de “esperar” es muy peligrosa hoy en día. La idea de ser reactivo supone actuar sobre lo que es conocido, quedando desprotegidos ante lo que está por venir.


UN PROCESO PREVENTIVO

En la línea de la prevención, ISS por ejemplo ha desarrollado un trabajo de seguridad basado en la interrelación entre las áreas de investigación y desarrollo en seguridad comercial (R&D) que interactúa con los Servicios de seguridad profesionales y administrados para constituir lo que ISS llama “La gran familia de productos Proventia”.

FACTORES QUE INFLUYEN EN LA INSEGURIDAD

Entre los factores que pueden influir para que redes y datos queden desprotegido están:

La velocidad con la que se propaga una amenaza. Miles y miles de computadoras pueden verse amenazadas en pocos minutos y a escala mundial, dando paso a pérdidas multimillonarias en fracciones –a veces- de minutos. Ante esta situación, la seguridad puede tardar horas y hasta días hasta descubrir la causa y poder reaccionar con algún tipo de protección; lo que también supone más inversión de tiempo y recursos económicos.

El aumento del costo total de propiedad. La tecnología de seguridad convencional es demasiado compleja. Esto hace que sea poco efectiva en el momento de ser administrada. Asimismo, los presupuestos para TI no aumentan a la misma velocidad que las necesidades de inversión en seguridad, la que se hace cada vez más imprescindible, obligando a las empresas y a las personas a utilizar recursos originalmente destinados a otros proyectos.

Regulaciones. La tendencia muestra que las empresas se autoregulan y buscan normas internacionales cada vez con mayor frecuencia a fin de ser competitivas. Esto hace que las exigencias sean cada vez más normadas con un número mayor de estándares. Lo anterior exige asumir soluciones para la seguridad de la información cada vez con mayor responsabilidad. El no contar con seguridad actualizada puede ocasionar sanciones, multas e incluso consecuencias de tipo legal.

Requerimientos contractuales B2B. Internet sigue y seguirá motivando y fomentando las relaciones comerciales y la generación de cadenas de consumo virtual, lo que obliga a enlazar cada vez a más empresas proveedoras en una red que se ve, a su vez, vulnerada constantemente.

El no mantenerse al tanto de los estándares de seguridad podría dejar a algunas empresas fuera del alcance de oportunidades comerciales de la era digital. A pocos les gustará conectarse con quienes no tienen seguridad en el manejo de sus datos.

Parches de emergencia. A menudo, los proveedores de software difunden parches (patching) que ayudan a corregir aquellas fallas que son vulnerables ante los ataques a través de Internet. Sin embargo, a pesar de la creciente complejidad del software hoy en día, las fallas que se registran son innumerables y no se puede caminar haciendo patching todo el tiempo, menos financiándolo.

Ante esto, lo más probable es que los departamentos de TI operen de forma reactiva, siempre en situación de emergencia para solucionar con parches y, con suerte, evitar un desastre. Cuando una situación así se ha dado, es momento de pensar en la seguridad preventiva.


EL REQUISITO EMERGENTE

La seguridad preventiva es una actitud proactiva e inteligente que ha emergido a causa de la inestabilidad de los sistemas de seguridad informática, en un mundo en el que la amenaza del tiempo se constituye en un factor que atenta contra la rápida expansión, de virus, piratas, hackers o espionaje.

Cualquier tipo de organización requiere hoy en día seguridad para el manejo de sus datos y la administración de sus redes.