Optimización de las inversiones en ciberseguridad en un entorno de gasto limitado

El mes pasado, un artículo del Wall Street Journal destacó cómo los directores de seguridad de la información (CISO) verán cada vez más presupuesto limitado basado en la creciente incertidumbre económica que enfrentan las empresas en 2023. Entonces, ¿cómo deberían los CISO lidiar con esta incertidumbre? Comencemos reconociendo varias restricciones de programación:

• Expectativas regulatorias no son negociables a efectos de adquisiciones corporativas y se espera que aumenten. Nuevas reglas de notificación de incidentes con límite de tiempo para empresas públicas Y operadores de infraestructuras críticas están pendientes, y los de la administración Biden se darán a conocer próximamente Estrategia Nacional de Seguridad Cibernética probablemente requerirá un mayor uso de los reguladores existentes en todos los sectores.
• actores de amenazas están tan activos como siempre, tratando cada vez más de identificar y explotar las vulnerabilidades en las tecnologías de seguridad centrales diseñadas para defendernos. La reciente confirmación del robo de código fuente en octavaun proveedor líder de autenticación multifactor basada en la nube y soluciones de inicio de sesión único, así como la vulnerabilidad del administrador de contraseñas Ultimo paseexpresó esto con mayor alivio.
• Dado que rápida proliferación de software en entornos tecnológicoses virtualmente imposible para la mayoría de las organizaciones asegurarse de que todos los sistemas estén completamente reforzados y parcheados.

Dadas estas limitaciones, aquí hay tres pasos que podrían ayudar a optimizar mejor las inversiones en seguridad cibernética en un entorno de gasto limitado:

1. Elimine las complejidades tecnológicas y comerciales subyacentes. Las variaciones en la cantidad de sistemas, aplicaciones, usuarios privilegiados, terceros, deserción de empleados y huella geográfica afectan el riesgo y los requisitos necesarios para proteger una organización. Como una cuestión de hecho, investigación actual de IBM Security destaca cómo el aumento de la complejidad (por ejemplo, migraciones a la nube, participación de terceros, etc.) ha tendido a aumentar los costos de respuesta a incidentes. Es una tontería limitar el gasto en seguridad sin considerar también si también estamos reduciendo la complejidad en el entorno empresarial y tecnológico subyacente que los CISO deben defender. Medir los cambios en la complejidad de la «superficie de ataque» subyacente, es decir, el conjunto de puntos en el límite de un sistema, elemento del sistema o entorno en el que un atacante puede intentar penetrar, tener un impacto o extraer datos. debería ser un requisito previo para considerar ajustes o limitaciones de los recursos de ciberseguridad.

2. Priorizar las contramedidas basadas en amenazas. Los topes de costos ponen un fuerte énfasis en priorizar las defensas basadas en los comportamientos conocidos del adversario y software crítico Los sistemas a los que es probable que se dirijan (incluidos, entre otros, los sistemas de gestión de acceso e identidad mencionados anteriormente). INGLETES Marco ATT&CK no solo presenta amenazas de manera integral y cómo se vinculan con contramedidas y detecciones específicas, muchas de estas contramedidas y detecciones se pueden lograr a través de tecnologías existentes, especialmente a medida que los proveedores de infraestructura integran capacidades de seguridad en sus ofertas. Invertir en defensas contra las amenazas prevalecientes puede brindar un tremendo beneficio en la mitigación de riesgos. La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) publicó recientemente una serie de Objetivos de rendimiento de ciberseguridad tiene como objetivo «ayudar a establecer un conjunto común de prácticas básicas de ciberseguridad para la infraestructura crítica y, en particular, ayudar a las pequeñas y medianas empresas a poner en marcha sus esfuerzos de ciberseguridad». Cada uno de los objetivos está asociado con técnicas específicas de amenazas MITRE.

Es igualmente importante que las empresas inviertan al menos algunos recursos para validar que los controles establecidos en teoría estén implementados y funcionen según lo previsto. CISA, el FBI y la NSA El otoño pasado, publicaron conjuntamente una guía en la que «recomendaron que pruebe continuamente su programa de seguridad en un entorno de producción a gran escala para garantizar un rendimiento óptimo frente a las técnicas MITRE ATT&CK identificadas en este aviso». Con demasiada frecuencia vemos incidentes en los que el acceso inicial se obtuvo a través de un activo mal configurado o una excepción de seguridad no documentada. Finalmente, el aspecto de resiliencia de una defensa basada en amenazas es fundamental: si ocurre un incidente de ransomware, las copias de seguridad fuera de línea y los planes actualizados de respuesta a incidentes son clave para mitigar el daño.

3. Agilice la gestión de riesgos de terceros. También hay varios problemas persistentemente molestos que ninguna organización puede resolver y que, en cambio, deben abordarse a nivel sectorial o nacional. Las empresas saben que un incidente cibernético en un proveedor puede tener un impacto en cascada en ellas, y exigen cada vez más auditorías de seguridad y requisitos básicos mínimos como condición para hacer negocios. El problema es que no hay consistencia en este enfoque, lo que deja a los proveedores y clientes hurgando en una maraña de requisitos y certificaciones que requieren cada vez más recursos humanos para administrar. De hecho, los «tasadores» se están convirtiendo cada vez más en «tasadores» cuando se someten a auditorías de renovación de seguros cibernéticos. Se necesitan enfoques de toda la industria para hacer que los estándares sean más consistentes, reducir la complejidad del cumplimiento de terceros y permitir que las inversiones se reasignen a la defensa basada en amenazas.

Si bien muchos de estos pasos deben tomarse dentro del sector privado, el gobierno federal puede ayudar a impulsar estos pasos. En primer lugar, mientras pensamos en una mayor actividad regulatoria, podemos ayudar a gestionar las cargas financieras adicionales asegurándonos de que las expectativas de control estén alineadas (de una manera centrada en las amenazas) entre los reguladores (e idealmente con programas hermanos en gobiernos extranjeros aliados), es decir, para permitir que las empresas sujeto a múltiples programas regulatorios para enfocarse en expectativas consistentes. En segundo lugar, deberíamos pensar no solo en cómo las regulaciones pueden penalizar a las empresas que no cumplen con las expectativas, sino también en cómo pueden hacerlo. premio empresa para ir más allá. Finalmente, mediante la introducción de expectativas y mecanismos de referencia estandarizados para la certificación en todos los proveedores, como está tratando de hacer el gobierno federal seguridad del softwareaportamos más consistencia a la gestión de riesgos de terceros.

Las empresas se enfrentan a un entorno empresarial, tecnológico y de amenazas muy complejo. En una atmósfera de costos restringidos, el retorno de la inversión es más importante que nunca. Por lo tanto, debemos estar tan atentos como sea posible sobre cómo alineamos las contramedidas con las amenazas probables y buscar la mayor coherencia posible al medir el desempeño de la seguridad cibernética de manera transparente, precisa y concisa.