El enfoque renovado en la respuesta a incidentes trae nuevos competidores y asociaciones

La respuesta a incidentes está pasando de ser un servicio que las organizaciones esperan no necesitar nunca a una capacidad a la que todas las organizaciones aspiran, y una multitud de organizaciones, desde consultorías hasta compañías de seguros y proveedores de la nube, se están preparando para beneficiarse de esta tendencia.

A finales de marzo, Microsoft anunció que la empresa centraría su oferta de IA generativa, Copilot, en ayudar a las empresas a clasificar y responder a incidentes, con el objetivo de fortalecer las capacidades de respuesta a incidentes empresariales. La compañía también anunció que proporcionaría servicios de consultoría de postura de ciberseguridad y respuesta a incidentes a las empresas a pedido como un anticipo.

El Aviso marca un cambio significativo en Microsoft. En 2019, Microsoft se refirió a su Equipo de respuesta a incidentes, entonces conocido como Equipo de detección y respuesta (DART), como el «Equipo de ciberseguridad, esperamos que nunca se encuentren». Ahora el equipo espera reunirse con los clientes con regularidad.

La acción se trata de proporcionar los servicios correctos para mejorar las capacidades de respuesta a incidentes en todos los ámbitos, dice Ping Look, director del Equipo de Respuesta a Incidentes de Microsoft.

«Tenemos la intención de ampliar nuestra base de clientes y darles a nuestros clientes más flexibilidad», dice ella. «Realmente, creo que es un punto de inflexión del crecimiento».

Construyendo relaciones de IR

Microsoft no está solo. Los servicios de respuesta a incidentes son la corriente principal y las empresas que los brindan buscan relaciones en lugar de compromisos únicos. Google compró Mandiant, el pionero en respuesta a incidentes, en 2022además de sus otras adquisiciones centradas en IR Siemplify y Chronicle y sus servicios de asesoramiento en seguridad. Las firmas de asesoría Deloitte, Booz Allen, Kroll y PricewaterhouseCoopers tienen un largo historial de brindar respuesta a incidentes, mientras que las compañías de servicios administrados como CrowdStrike y Secureworks tienen experiencia concentrada. Las grandes empresas de tecnología y servicios empresariales, como IBM, AT&T, Verizon y Palo Alto Networks, también han sido jugadores de larga data en el espacio de RI.

Sin embargo, a pesar de la extensa lista de jugadores, la demanda de servicios continúa disparándose, dice Juergen Kutscher, vicepresidente ejecutivo de servicios de Mandiant.

«La demanda siempre parece superar la oferta, por lo que creo que hay mucho trabajo para todas estas organizaciones porque las amenazas siempre están cambiando», dice. «Las organizaciones que están siendo atacadas, especialmente cuando observa ataques mucho más oportunistas como ransomware y tipos de ataques similares, cualquiera podría ser un objetivo».

Los incidentes se extienden a la nube

Microsoft y Google están bien posicionados porque más ataques están afectando los activos en la nube, un área en la que ambas compañías tienen una experiencia significativa, en parte porque la infraestructura y los datos corporativos se están moviendo a la nube, o por lo general se han extendido a través de múltiples nubes.

Hace algunos años, por ejemplo, una cuarta parte de los ataques investigados por el proveedor de seguridad de red y respuesta a incidentes Palo Alto Networks involucraba activos en la nube; ahora, aproximadamente la mitad están relacionados con la nube, dice Sam Rubin, vicepresidente de la Unidad 42 del Grupo de Respuesta a Incidentes e Inteligencia de Amenazas de Palo Alto Networks. La empresa captura más de 5000 millones de eventos de seguridad por día de agentes de punto final, dispositivos de red y telemetría en la nube, dice.

Rubin no espera que esta tendencia disminuya, lo que puede dificultar la respuesta a incidentes.

«Es muy difícil para las organizaciones simplemente vivir y trabajar en un entorno de nube, e incluso si la mayoría de sus cargas de trabajo están en la nube, todavía hay sistemas en la sede, todavía hay usuarios con terminales», dice. «Creemos que tener a alguien que pueda cubrir todo el entorno, la sede, los usuarios remotos y la nube, cualquiera que sea el caso, seguirá siendo una estrategia importante para asegurar el negocio».

Si bien Microsoft y otras empresas tienen como objetivo utilizar la IA generativa para procesar incidentes más rápido y presentar análisis a los respondedores casi en tiempo real, los esfuerzos en este punto son en gran medida ambiciosos. Manejar estos datos con modelos de lenguaje grande (LLM) y otras formas de aprendizaje automático avanzado requiere mucho desarrollo y aprendizaje, dice Pete Shoard, vicepresidente de la firma de inteligencia empresarial Gartner.

«La respuesta automatizada a incidentes de seguridad complejos es absolutamente un largo, largo camino», dice. «En esta área de automatización basada en tareas, la IA será muy útil para encontrar rápidamente el tipo correcto de información y brindar mucha más información para que las personas hagan su trabajo de manera más eficiente y efectiva».

Los seguros y la ley siguen siendo fuerzas motrices

Los requisitos legales corporativos y las pólizas de seguro cibernético tienen un gran impacto en la respuesta a incidentes. A menudo, la primera llamada para un compromiso no proviene de un alto ejecutivo, sino de un asesor externo que ha sido contratado para manejar la crisis (a menudo porque El privilegio abogado-cliente protege a una empresa del descubrimiento legal). En otros casos, una compañía de seguros llamaría a los respondedores de accidentes para reducir el costo de recuperación de una infracción y evaluar la seguridad del titular de la póliza.

Es probable que los abogados y las compañías de seguros continúen presionando para obtener respuestas anticipadas para garantizar que las empresas completen un nivel básico de capacitación y preparación cada año, y eso puede generar beneficios netos, dice Jess Burns, analista de seguridad de Forrester Research.

«Las compañías de seguros le preguntarán si realiza preparación para incidentes y simulacros de preparación para incidentes como parte de su solicitud o su póliza», dice. «Las mismas empresas de respuesta a incidentes pueden realizar evaluaciones y ejercicios de simulación a nivel técnico y gerencial, y todas esas cosas pueden ayudarlos, y a usted, a comprender realmente su entorno».

En general, las organizaciones que cuentan con un equipo de respuesta a incidentes y un plan de respuesta a incidentes probado ahorran un promedio del 58 % en el costo de mitigar una filtración de datos, o aproximadamente USD 2,6 millones para organizaciones grandes, en comparación con organizaciones que no cuentan con un equipo ni un pozo. plan verificado, según IBM Informe de costos de filtración de datos de 2022.

En última instancia, todos pueden ahorrar cuando la empresa de respuesta a incidentes y los clientes tienen una relación continua, dice Kutscher de Mandiant.

«Es muy, muy importante que las organizaciones consulten con las empresas y las compañías de seguros cibernéticos para que no solo apaguen el fuego, sino que luego trabajen con la organización para reducir el riesgo de que vuelva a ocurrir un evento similar», dice. «Eso es algo en lo que la industria de seguros cibernéticos definitivamente está trabajando».

El futuro es antes del crimen (es decir, antes del incidente)

Otro beneficio de tener una relación continua con un proveedor de IR es que las organizaciones saben lo que necesitan para responder de manera efectiva a los incidentes. Con el asesoramiento continuo y la experiencia de las empresas de respuesta a incidentes, en caso de un ataque, la empresa de IR sabe que la empresa tiene almacenados los datos correctos, lo que es de gran ayuda en la investigación.

«Cuando nos necesitan para la respuesta a incidentes, no somos fríos y actuamos a toda máquina en una situación de fuego real», dice Rubin de Palo Alto.

Incluso las empresas con sus propios centros de operaciones de seguridad que no habrían calificado para los servicios DART de Microsoft ahora pueden confiar en el Grupo de Respuesta a Incidentes para obtener un avance, dice Look de Microsoft.

«Queremos poder cuidar de nuestros clientes incluso si no usan nuestro personal de seguridad de Microsoft», dice. “Porque desde allí entregamos nuestras investigaciones principalmente utilizando la telemetría que ingresa a través de él. Pero también nos estamos expandiendo mucho más allá de eso, no tan rápido como me gustaría, pero estamos llegando”.