Cómo los CISO pueden gestionar la ciberseguridad de los altos ejecutivos
Los ejecutivos de alto nivel, incluidos los miembros de la junta y los ejecutivos de nivel C, a menudo tienen acceso a información confidencial, lo que los convierte en objetivos principales para los malos que intentan penetrar las defensas de la empresa. Entre otros puntos de entrada, sus dispositivos personales son evidentes vectores de ataque para los ciberdelincuentes que intentan acceder al último piso.
Como saben los CISO, los incidentes cibernéticos con demasiada frecuencia involucran un componente humano, y los líderes son demasiado humanos. De acuerdo a Informe de investigación de violación de datos de Verizon 2022El 82% de las infracciones de seguridad involucraron un elemento humano, la mayoría de ellas relacionadas con phishing, compromiso de correo electrónico comercial (BEC) y credenciales robadas.
El hogar es la nueva superficie de ataque
Impulsado por numerosos factores, está surgiendo una nueva clase de riesgo que ataca los escalones más altos de una organización de una manera profundamente personal. El mensaje para los CISO es que la vida digital de un ejecutivo puede ser el eslabón más débil de la organización, no solo sus dispositivos y cuentas corporativas: los servidores domésticos, el equipo de seguridad del hogar, los dispositivos familiares e incluso las interacciones en las redes sociales pueden presentar vulnerabilidades y riesgos de seguridad en el lugar de trabajo. «El hogar es la nueva superficie de ataque», dijo Chris Pierson, director ejecutivo de BlackCloak.
Garantizar que los sistemas internos y las personas estén en su lugar para proteger una organización es obvio, pero administrar los riesgos externos que no se pueden controlar fácilmente es mucho más difícil. La vida digital del equipo ejecutivo, dice Pierson, podría ser algo así como una bomba de relojería.
En la experiencia de incorporación de ejecutivos de Pierson, una proporción significativa (39 %) tiene algún aspecto de su vida digital personal que se ha visto comprometido. Cuando las vidas personales y corporativas se entrelazan, puede significar problemas para los CISO que combaten incendios en un entorno que no pueden controlar.
El riesgo que enfrentan los ejecutivos ha crecido rápidamente a medida que el aumento del trabajo híbrido impulsado por la pandemia ha aumentado la confusión de las vidas digitales profesionales y personales. Las complejas tensiones geopolíticas, las oportunidades para el activismo digital anticorporativo, particularmente en industrias con perfiles de mayor riesgo, y la perspectiva de ganancias financieras de los ataques dirigidos a ejecutivos adinerados han aumentado las apuestas para la vida digital personal de los ejecutivos.
Una gran organización, especialmente si es una empresa pública con un equipo de liderazgo de alto nivel que tiene presencia en los medios y en las redes sociales, puede ser un pararrayos para la atención de los malos, dice Gergana Winzer, socia de Cyber Services en KPMG Australia. “Algunos de estos pequeños delincuentes se han dado cuenta de la realidad de que pueden ganar dinero con malware o ransomware fácil de comprar en Internet y simplemente distribuirlo a este tipo de personas de alto poder adquisitivo”, dice Winzer.
Cuando una lesión personal conduce a un ataque a la empresa
Según Pierson, esta clase de riesgos personales puede adoptar muchas formas diferentes. Según Pierson, uno de los mayores riesgos es la propiedad intelectual: la pérdida de documentos corporativos de los dispositivos personales de los ejecutivos o cuentas personales donde hay menos o ningún control. «Los ejecutivos de las empresas suelen tener complejos sistemas domésticos inteligentes con cámaras de vigilancia y servidores que albergan una variedad de dispositivos y servicios, y estos representan posibles puntos de entrada», dice.
Pero eso no significa ignorar el atractivo de la ganancia financiera. «Debido a que los ejecutivos también son muy ricos, los ejecutivos pueden ser objetivos atractivos para los delincuentes sobre los bancos y las instituciones financieras que tienen más control», dice Pierson. “Vemos que sus correos electrónicos privados son violados en ataques de compromiso de correo electrónico comercial, vemos que sus dispositivos personales son violados constantemente por malware y otras estafas de ingeniería social. Como resultado, el dinero es un gran motivador para muchos de estos ataques”.
Luego están los ataques profundamente personales con intenciones maliciosas. El doxxing personal (la divulgación de nombres, direcciones, números de teléfono e incluso fotos y videos personales) viola la privacidad y deja a los ejecutivos vulnerables a la explotación. «Estas cosas se usan como una forma de chantaje, pero también pueden causar un daño de reputación muy poderoso e incluso intimidación», agrega Pierson.
Los expertos dicen que abordar estas complejas consideraciones de seguridad no debe crear tensiones adicionales entre los ejecutivos, sus familias y su uso de la tecnología. Más bien, necesitamos reducir la superficie de ataque para este tipo de cuentas, servicios y dispositivos y garantizar que los riesgos puedan mitigarse, dice Pierson.
Cómo los CISO pueden mitigar el riesgo para los ejecutivos
Puede ser difícil garantizar que los ejecutivos estén protegidos fuera del entorno y el hardware de la oficina cuando los CISO no pueden intervenir directamente en sus vidas digitales personales. «Quieren mantener la iglesia y el estado separados», dice Pierson. «Quieren esa privacidad, pero solo quieren cubrir los riesgos y saber a un alto nivel lo que se está haciendo».
Según Pierson, los CISO deben comprender exactamente cómo y dónde se cruzan los dos entornos de riesgo, empresarial e individual. “Mira la página de la guía Acerca de nosotros. Ahí es donde comienza. Comprenda qué tan profundo se extiende eso en las siguientes capas, y luego identifique los principales riesgos que estas personas podrían enfrentar en sus vidas personales y qué puede hacer el CISO para tratar de reducirlos o mitigarlos”.
Es posible que los ataques cibernéticos sofisticados y bien coordinados no comiencen en los sistemas de la empresa, sino que comiencen por comprometer a un ejecutivo y luego se propaguen desde allí, dice Winzer. Como precaución, los CISO deben estar alertas a los cambios en el liderazgo y los perfiles de riesgo de los equipos ejecutivos, lo que significa permanecer curiosos e interesados constantemente en encontrar los puntos ciegos. Y esos puntos ciegos pueden ser enormes: un director ejecutivo que aparece con frecuencia en los medios, tiene ofertas de acciones visibles públicamente o simplemente es lo suficientemente conocido como para participar en conversaciones en las redes sociales está enviando posibles piratas informáticos. «Como CISO, debo ser consciente de las amenazas que pueden dañar potencialmente a esa persona y su capacidad para hacer su trabajo dentro de la organización», dice.
Proteja las «joyas de la corona» de la empresa.
Para abordar las posibles vulnerabilidades que pueden pasar del personal a la empresa, Winzer recomienda que los CISO realicen una evaluación de riesgos que incluya la identificación de las «joyas de la corona» de la empresa que deben protegerse. Esto debe incluir una evaluación de los riesgos potenciales, incluidos los de ataques personales, y el desarrollo de estrategias de mitigación.
Según Winzer, esto significa garantizar que se documenten y aborden tantas amenazas o vulnerabilidades como sea posible, lo que ayuda a evaluar la probabilidad y el impacto de una violación personal. «Calcule lo que significa la amenaza para los ejecutivos de nivel C y los miembros de la junta y luego tome medidas, pero debe basarse en el apetito por el riesgo y lo que la empresa cree que es importante proteger», dice.
Las estrategias de mitigación podrían incluir pautas sobre qué y cuánta información estos ejecutivos pueden divulgar públicamente sobre sí mismos, según Winzer. “Es realmente importante recopilar la mayor cantidad de información posible para evaluar la amenaza, ponerla en su registro de riesgos y luego hacer algo al respecto en lugar de ignorarla. Porque todo eso es cibernético: cada vez que ignoramos algo, vino y nos golpeó”.
Asegúrese de que los líderes sénior reciban capacitación en seguridad cibernética
Además de las estrategias de evaluación y mitigación de riesgos, la capacitación interna también puede ayudar a asegurar la huella digital de un líder. Steven Sim, miembro del grupo de trabajo de tendencias emergentes de ISACA, dice que, como todos los empleados, el C-Suite debe participar en una capacitación de concientización personalizada que incluya ejercicios de simulación de phishing y ejercicios prácticos. “Estos ejercicios también deberían involucrar a la C-suite y, si es posible, a la junta directiva en la toma de decisiones durante una simulación de una crisis corporativa provocada por un incidente cibernético”, dice.
«Estos deberían ser parte de un programa de mejora de la seguridad de varios años si aún no se han implementado como de costumbre que debería abarcar personas, procesos y tecnología», dice Sim. Y con el espectro de multas regulatorias y reputación daño, debe extenderse a través de la cadena de suministro digital y comercial de la comunidad de seguridad y el ecosistema de inteligencia.
Sim recomienda que el registro de riesgos se actualice constantemente tanto para los ejecutivos de alto nivel como para sus organizaciones, ya que el panorama de amenazas cibernéticas evoluciona rápidamente con nuevas tácticas o técnicas. Las métricas de seguridad, los indicadores clave de riesgo y los indicadores clave de rendimiento de las iniciativas y proyectos de seguridad cibernética deben medirse continuamente para garantizar la entrega de un programa exitoso de mejora de la seguridad cibernética. «Esto ayuda a una empresa a cumplir con su actual apetito por el riesgo y también mirar hacia el futuro para allanar el camino a prueba de futuro contra amenazas potenciales para sus líderes de C-suite y el negocio», dice.
Mirar la cultura de la empresa.
La cultura es otro elemento importante que no se debe pasar por alto al administrar el riesgo para los ejecutivos, según Winzer, para garantizar que todos tengan una responsabilidad compartida en lo que respecta a la ciberseguridad. En la práctica, esto significa que el CISO adopta un enfoque holístico, en lugar de depender de parches o programas de capacitación. Si bien muchos CISO han estado haciendo esto durante años, ella recomienda que se necesita una fuerte colaboración en todo el C-suite para mejorar realmente la cibercultura. “El CISO, el CFO y el CEO tienen que trabajar juntos para asegurar que la cultura [of shared responsibility] se está promoviendo en toda la organización”, dice.
Por encima de todo, la responsabilidad compartida significa entender que existe un riesgo compartido. “Cuando un CEO se ve afectado y se filtran datos y archivos personales, incluida información confidencial sobre su estado o cosas que sabe sobre la empresa, secretos comerciales y similares, entonces se convierte en un problema del CISO. Ya no es solo un problema personal del CEO”.
«Cuando todos son conscientes de que tienen la responsabilidad de su propio rol y de la ciberseguridad, se vuelve mucho más fácil para el CISO hacer su trabajo», dice Winzer.
Derechos de autor © 2023 IDG Communications, Inc.
Nos llegó este contenido de ciberseguridad de: CSO Online
Podrás encontrar la noticia original en el enlace que sigue: https://www.csoonline.com/article/3685415/how-cisos-can-manage-the-security-of-high-level-executives.html#tk.rss_news
