REDSEGURIDAD 083

58 red seguridad cuarto trimestre 2018 estrategia opinión requerida por petición del presiden- te Barack Obama, en el operativo contra Osama Bin Laden. Toma de decisiones Es fundamental conocer la organi- zación para entender su modo de operar y sus procesos internos. Es importante comprender que no se evalúan simplemente las tecnolo- gías, sino que también se quieren evaluar los procesos y las perso- nas que los acompañan. En una gran parte de las ocasiones son los propios responsables dentro de la organización los que ya tienen identificadas posibles debilidades y procesos que pueden generar ries- gos. Son ellos los que pueden guiar el Red Team hacia procesos o tec- nologías que deben ser analizados, eso sí, con la experiencia particular que este grupo tan especializado puede aportar. Por ejemplo, si se han tenido numerosos incidentes relacionados con el malware recientemente, qui- zás merezca la pena incorporar un especialista para analizar tanto las soluciones tecnológicas anti- malware desplegadas en la orga- nización a todos los niveles como los procesos y personas que debe- rían acompañar a estas tecnologías para que realmente sean efectivas. planes correctos existen las ade- cuadas capacidades de ejecución y coordinación necesarias en dichos planes. En función de la madurez de la organización, se necesitará una u otra cosa. Contexto histórico En realidad, el concepto de Red Team no es nuevo y ha sido apli- cado en la historia reciente y no tan reciente en numerosas ocasio- nes y en diferentes ámbitos –entre ellos, el militar–. Un ejemplo era la profesión de abogado del dia- blo (advocatus diaboli) , nombre que recibían los procuradores fiscales en los antiguos juicios o procesos de canonización de la Iglesia cató- lica sobre el año 1500 después de Cristo. Este cargo tenía la res- ponsabilidad de "cuestionar" los procesos de canonización con el fin de garantizar la independencia y la veracidad de los argumentos utilizados para aprobarla. Más reciente fue la demostración que realizó en 1932 el almirante Harry E. Yarnell sobre la efectivi- dad de un ataque en Pearl Harbor, ya que mostraba casi exactamente cómo las tácticas de los japoneses destruirían la flota en el puerto nueve años después. O la realizada por el ejército de Estados Unidos, y L as organizaciones se encuentran formadas por un conjunto de per- sonas con una cultura, forma de pensar y de trabajar propias. Como cualquier sistema humano, la orga- nización puede fallar, es susceptible a creencias y prejuicios y tiene sus propias limitaciones, que pueden provocar sesgos en la capacidad de análisis y toma de decisiones. En general, el objetivo del Red Team es someter las ideas, los pla- nes, los programas o las suposicio- nes de la organización a un estricto análisis con el objetivo de identificar suposiciones incorrectas y opcio- nes alternativas no contempladas, así como detectar vulnerabilidades o riesgos que puedan afectarla. Una de las formas más habituales de hacer esto, como podemos ima- ginar, es tomar la perspectiva del adversario. Sin embargo, debemos dejar claro que, como práctica de red teaming , es igualmente válido sen- tar a una persona ajena a la orga- nización, y por lo tanto a sus pre- juicios y suposiciones, junto a los responsables de ejecutar la res- puesta a incidentes con la finalidad de evaluar y cuestionar los planes definidos sobre el papel; como, por ejemplo, ejecutar un ejercicio en vivo para verificar si además de los Juan Antonio Calles García Chief Executive Officer de Zerolynx Diego León Responsable del área de Offensive Security de Zerolynx El Red Team en la empresa