red seguridad 074

especial red seguridad tercer trimestre 2016 57 seguridad corporativa monográfico opinión Las empresas han de potenciar su capacidad de recuperación, integrando el concepto de resiliencia como parte fundamental de su estrategia de seguridad. tiva. Una infraestructura tecnológica más tradicional tendrá menos posibili- dades de recuperación que una infra- estructura tecnológica más moderna, donde la virtualización y la automati- zación hayan sido los paradigmas que hayan guiado su despliegue. Si este ha sido el caso, aplicar como premisa básica el despliegue automatizado de nuevos sistemas en caso de que se produzca cualquier tipo de incidente de seguridad debería ser el primero de los mecanismos a entrenar para mejo- rar la resiliencia corporativa. Otro de los elementos determinantes a la hora de desarrollar una buena resi- liencia corporativa es el factor humano. Todos aceptamos que las personas somos el eslabón más débil de la cadena, y sin embargo nuestros pre- supuestos de seguridad raramente se orientan a trabajar sobre ellas. Una organización que quiera mejorar su resiliencia corporativa debería pres- tar más atención a sus empleados, desarrollando campañas de formación periódica donde todos los trabajado- res aprendan a identificar posibles inci- dentes de seguridad y practiquen su detección y contención, interiorizando una mayor cultura de seguridad. El último de los factores clave para el desarrollo de la resiliencia corpora- tiva son los procedimientos de actua- ción. No es suficiente con detec- tar los incidentes de seguridad, la rapidez y eficacia en su resolución son imprescindibles para reducir su impacto. Probablemente sea el factor que menos esfuerzo requiere para su desarrollo, pero no por ello debería ser el menos importante, sino más bien todo lo contrario. El factor operativo es el que en última instancia condiciona el éxito de los otros dos, además de ser el que precisa de una mayor experien- cia y conocimiento, ya que el riesgo de desarrollar procedimientos insuficien- tes, ineficaces o poco aplicables es significativamente alto. Visión integral En definitiva, la resiliencia corporativa debe ser un elemento central dentro de la estrategia de seguridad, que ha de ser desarrollado de manera integral en todos los ámbitos de la organización. Su abordaje de manera puntual, parcial o colateral no sólo va a provocar una gran pérdida de efi- ciencia y eficacia en relación a la segu- ridad, sino que probablemente vaya a suponer la pérdida de interés de la organización por la resiliencia, quedan- do de ese modo mucho más expuesta al impacto de cualquier incidente de seguridad que pueda producirse. Uno de los mecanismos más ade- cuados que podemos utilizar para lle- var a cabo una aproximación eficiente y eficaz a la resiliencia corporativa es hacer uso de los modelos de referen- cia existentes, que ya han sido recono- cidos por el mercado como modelos válidos. En este ámbito un buen punto de partida para integrar la resiliencia en la estrategia de seguridad corpora- tiva podría ser la serie de estándares ISO 27000, que ya incorporan algunos conceptos específicos asociados a la resiliencia, como la continuidad, desde el punto de vista de la seguridad de la información. No obstante, si lo que queremos es llevar a cabo un des- pliegue completo de un modelo de resiliencia corporativa, la serie de estándares en la que deberíamos fijarnos es la serie ISO 22300, que aborda de manera específica los dife- rentes elementos que se deben desa- rrollar para garantizar una resiliencia corporativa eficaz. Conclusiones Sea cual sea el modelo de referencia por el que optemos, lo que deberíamos tener claro es que u na estrategia de seguridad centrada en la aplicación de mecanismos preventivos es a todas luces insuficiente. Tarde o tem- prano sufriremos incidentes de seguri- dad, y si no hemos trabajado nuestra resiliencia corporativa esos incidentes podrían llegar a acabar con nuestra organización. La capacidad de reac- ción y recuperación es el factor clave para minimizar el impacto de los inci- dentes de seguridad, y esa capacidad puede ser mejorada a base de entre- namiento. Es fundamental desarrollar una estrategia integral de resiliencia corporativa que garantice el despliegue de un programa de entrenamiento tanto a nivel tecnológico como a nivel huma- no y operativo. Y si aparecen dificulta- des a la hora de llevar a cabo esta labor, no duden en contar con empresas como Nextel, el mejor personal trainer de seguridad que su organización puede encontrar. 1) http://www.csoonline.com/article/2943968/ data-breach/hacking-team-hacked-attackers- claim-400gb-in-dumped-data.html 2) https://www.helpnetsecurity.com/2015/06/10/ kaspersky-lab-reveals-cyberattack-on-its-cor- porate-network/ 3) http://www.elfinanciero.com.mx/economia/ roban-datos-de-clientes-de-banorte.html 4) http://www.pcworld.com.mx/Articulos/27386. htm 5) http://www.independent.co.uk/life-style/gad- gets-and-tech/antivirus-is-dead-says-makers- of-norton-software-suite-9329492.html