Escrito por Eileen Yu,
Las organizaciones de hoy carecen de un marco adecuado que les ayude a responder rápidamente cuando experimentan un incidente de ciberseguridad. Los gobiernos pueden ayudar estableciendo pautas y protocolos claros, pero los requisitos demasiado restrictivos pueden desanimar a las empresas a revelar que sufrieron una infracción.
Tal como están las cosas, las empresas están al borde de que puedan enfrentar litigios de los clientes cuando ocurre un incidente de seguridad.
Más se estaban moviendo para mantener las cosas en secreto sobre las preocupaciones sobre demandas colectivas o cualquier otra acción legal potencial, dijo Jess Burn, analista senior de Forrester, que se especializa en respuesta a incidentes y gestión de crisis, así como en capacitación en seguridad.
Los seguros y el privilegio abogado-cliente a menudo se interpusieron en el camino de la transparencia total de estas compañías, particularmente en América del Norte, donde se percibía que la sociedad era altamente litigiosa, dijo Burn en una entrevista en video con MarketingyPublicidad.es.
Las organizaciones divulgarían lo que requerían los reguladores y estacionarían todo lo demás bajo un contrato dedicado que garantizaría que las investigaciones, luego de una infracción, se mantuvieran bajo el privilegio de abogado-cliente, dijo.
Esto significaba que cualquier parte involucrada en la investigación no podría revelar comunicaciones confidenciales entre la organización violada y sus abogados.
Burn observó que los abogados estaban cada vez más involucrados en cualquier comunicación que las empresas publicaran con respecto a una filtración. Los informes y la documentación sobre la evaluación de la infracción, que las organizaciones podrían estar obligadas a realizar y pagar cuando sufrieran un incidente, también estarían muy controlados.
La complejidad de determinar y comprender el alcance de una infracción también agravó aún más el problema. Explicó que algunos proveedores de seguros cibernéticos no cubrirían los ataques patrocinados por el estado, pero definieron tales infracciones de manera tan amplia que se necesitaría un poco de esfuerzo antes de que los ataques se atribuyeran oficialmente.
Esto podría llevar a algunas organizaciones a permanecer en silencio hasta que pudieran determinar completamente su posición antes de informar sobre la infracción, dijo.
Las empresas ya deberían saber a quién llamar
Dejando a un lado los problemas legales, las organizaciones deben tener un plan en marcha para ayudarlos a navegar rápidamente cuando hay un incidente de seguridad cibernética. Esto todavía falta en la mayoría de las empresas hoy en día.
Demasiados aún dedicaban la mayor parte de su dinero a la protección, en lugar de definir cómo debían responder en caso de un incidente de seguridad, dijo Richard J. Watson, líder de consultoría de ciberseguridad de Asia-Pacífico en EY Global.
La principal prioridad para las empresas debería ser asegurarse de tener un marco sobre cómo deberían responder a una infracción, dijo en una entrevista con MarketingyPublicidad.es. Esto sería fundamental para desarrollar la resiliencia cibernética y garantizar la disponibilidad de la red, especialmente porque los empleados trabajaban desde casa y de forma remota, dijo.
Las empresas simplemente no estaban preparadas e intentarían averiguar cómo deberían responder en medio de un incidente de seguridad, dijo Mark Goudie, director de servicios de CrowdStrike para Asia-Pacífico en Japón.
«Es como un médico hojeando un manual mientras opera a un paciente», dijo Goudie en una entrevista. «No han entrenado y no están listos».
Burn estuvo de acuerdo y agregó que muchas organizaciones esperaron hasta que fueron violadas para llamar a los investigadores.
«La mejor práctica es tener un retenedor en su lugar y tener un poco de incorporación antes de que ocurra una infracción», dijo. «Incorpore una empresa que pueda evaluar su preparación y plan de respuesta a incidentes, y ejecute un ejercicio de simulación para preparar a su equipo y ejecutivos».
«El error es esperar y llamar a la línea directa de algún conocido proveedor de respuesta a incidentes para obtener ayuda. [after a breach occurs]. Es demasiado tarde. Perderías de tres a cinco días [which] ellos [need to] comprender el flujo de trabajo y los sistemas de su empresa. Debe establecer una relación con ellos y un abogado externo, y hacer que lo ayuden a ensayar todo su plan de respuesta a incidentes», señaló.
Goudie agregó que tener un anticipo aseguró que las organizaciones tuvieran acceso a ayuda cuando se descubriera una vulnerabilidad importante, como la reciente Log4j. Los proveedores de servicios de respuesta a incidentes, por ejemplo, se verían inundados con llamadas de servicio y probablemente priorizarían a los clientes existentes sobre los nuevos que aún no habían firmado un contrato de retención.
Además, un plan de respuesta a incidentes permitiría a las organizaciones identificar una amenaza más rápidamente, tener visibilidad de la amenaza y responder rápidamente. El objetivo aquí era evitar que el incidente de seguridad se convirtiera en una violación de datos, dijo. agregando que a menudo había una ventana durante la cual esto podía detenerse.
Watson señaló que, si bien era fácil detectar cuándo había actividades sospechosas dentro de la red, era más difícil determinar la gravedad de una posible infracción.
Él también sugirió que las organizaciones trabajaran con un proveedor de respuesta a incidentes para ayudarlos a navegar por las infracciones, durante las cuales debían ocurrir dos cursos de acción. Las empresas primero tenían que averiguar si había alguna filtración de datos o violación de la privacidad y, por lo tanto, decidir si las autoridades pertinentes debían ser notificadas del incidente de seguridad.
Las organizaciones afectadas luego tuvieron que averiguar el tipo de violación que ocurrió y potencialmente prepararse para la preservación de datos, dijo. Esto podría afectar la velocidad de respuesta, ya que era esencial que se conservaran las pruebas y los datos de diagnóstico.
Las empresas que no se prepararon adecuadamente o no contaron con un proceso bien definido probablemente terminarían reconstruyendo sus sistemas, ya que esta era la forma más rápida de poner en marcha sus operaciones. Sin embargo, en el proceso de hacerlo, podrían terminar eliminando todas las pruebas.
Esto significaba que no podrían identificar y comprender la causa de la infracción, por lo que la vulnerabilidad podría taparse para evitar que se repita, dijo Watson.
Las empresas que no se esforzaron por preservar la evidencia en un ataque también podrían limitar su capacidad para presentar un reclamo de seguro, agregó.
Dijo que EY adoptó un enfoque de siete pasos en caso de un incidente de seguridad, que abarcó la movilización de la respuesta planificada, la adquisición de evidencia, la investigación, la búsqueda de amenazas, la contención, la mitigación y la recuperación.
Reiteró la necesidad de una división más equilibrada de la inversión en protección de seguridad, así como en respuesta y recuperación.
Goudie también subrayó la importancia de establecer planes de respuesta y libros de jugadas para diferentes amenazas, ya sean ataques de ransomware o de estado-nación. Estos deberían guiar al equipo de operaciones sobre lo que tenían que hacer para que pudieran reaccionar rápidamente, dijo.
Regulaciones para impulsar el intercambio de información
Al señalar que la mayoría de las regulaciones actualmente se centran en la violación de datos y garantizar que haya una divulgación adecuada, Watson también solicitó más informes sobre otros tipos de incidentes, como ransomware e indicadores de compromiso.
Presionar a las organizaciones para que compartan información sobre las actividades de ataque que identificaron y bloquearon en su red podría beneficiar a la industria, particularmente si otras organizaciones no lograron detener tácticas de ataque similares, dijo.
Sugirió que los gobiernos lideraran los esfuerzos para establecer estándares o plataformas comunes para el intercambio de información sobre indicadores de compromiso, de modo que las organizaciones dentro de sectores críticos como las finanzas, los servicios públicos y la fabricación pudieran aprovechar dichas redes de conocimiento.
Tener protocolos estandarizados también automatizaría dichos procesos y facilitaría el envío y el intercambio de datos, dijo.
Watson planteó además la necesidad de que las regulaciones vayan más allá de la protección e incluyan la respuesta a incidentes, como un conjunto mínimo de requisitos que ordenen cómo las empresas deben responder en caso de una infracción.
«Hay una confianza implícita en este momento en que las empresas están llevando a cabo una investigación adecuada, ya que les corresponde a ellas informar a las autoridades, pero sabemos que las empresas generalmente no tienen una respuesta suficiente», dijo. «No puedes saber lo que no sabes. Y, sin embargo, las regulaciones ahora se basan en el hecho de que las empresas están haciendo un buen trabajo al medir la brecha y responder».
Dijo que tales suposiciones reflejaban una falla inherente en el sistema, y enfatizó la necesidad de que las organizaciones cuenten con el marco y los recursos de respuesta a incidentes adecuados.
Sin embargo, Goudie señaló que los mandatos y los castigos podrían resultar en una mayor penalización de las organizaciones que ya fueron víctimas de una infracción.
Las regulaciones que eran demasiado restrictivas también podrían hacer que las empresas pasaran más tiempo respondiendo a los mandatos que respondiendo al incidente de seguridad en sí, dijo.
Él también planteó la necesidad de métricas para impulsar el intercambio de información para que la industria pudiera comprender mejor y aprender cómo los actores de amenazas obtuvieron acceso a las redes violadas. Dichos datos podrían distribuirse a las autoridades pertinentes y compartirse entre las empresas de la vertical afectada.
Señaló que los actores de amenazas generalmente usaban las mismas tácticas y procedimientos para llevar a cabo ataques, incluidos aquellos dirigidos a ciertos sectores de la industria.
«Si podemos entender su libro de jugadas e informar a la vertical sobre cómo una víctima [in that vertical] se vio comprometida, esto ayuda a que toda la industria se vuelva más resistente para el próximo ataque», dijo.
Burn señaló que cualquier falta de voluntad para proporcionar información y la falta de transparencia fueron perjudiciales para la industria de la seguridad, en un momento en que debería haber más intercambio de datos para combatir mejor los ataques.
Ahora que el público en general está acostumbrado a ver noticias sobre incidentes de seguridad en medio del aumento de las infracciones, dijo que los consumidores eran más indulgentes cuando las empresas sufrían un ataque cibernético.
Sin embargo, estarían menos inclinados a hacerlo si se descubriera que las empresas son menos francas acerca de una infracción y se esforzaron por ocultar la verdad a los clientes, dijo el analista de Forrester.
Señaló a la empresa de fabricación noruega Norsk Hydro, que ganó muchos elogios por su apertura y transparencia después de sufrir un ataque de ransomware en 2019. Compartió detalles sobre el incidente y cómo funcionó para recuperarse, luego de negarse a pagar el rescate.
«Creo que tenemos que encontrar una manera [to address] preocupaciones sobre las demandas y combatir los ataques con transparencia», dijo Burn.
Agregó que si bien las empresas deben ser sancionadas si se determina que su negligencia fue la causa de una infracción, las organizaciones deben tener cierta libertad para no ser sancionadas por decir la verdad.
