Las pequeñas empresas necesitan ahora seguridad por defecto en sus productos

Las pequeñas y medianas empresas son más vulnerables a los ataques porque las empresas de software, los proveedores de servicios en la nube y los fabricantes de tecnología cobran por funciones de seguridad que deberían ofrecerse en cada nivel de servicio o no ofrecen esas funciones en absoluto.

A principios de este año, al menos 165 clientes del proveedor de servicios de datos Snowflake se había visto comprometido, y una de las razones fue que la compañía no ofrecía una manera de exigir fácilmente a todos los usuarios que habilitaran la autenticación multifactor, dicen los expertos en ciberseguridad. Y apenas el año pasado, una organización sin fines de lucro no pudo detectar un ataque porque, entre otras cosas, su nivel de licencia “E3” de Microsoft 365 no incluía funciones de registro disponibles para las organizaciones con el plan “E5” más caro. Los servicios de emergencia afirmaron en ese momento que.

Los fabricantes de software y proveedores de servicios deben ofrecer funciones de seguridad eficaces como medida de protección para cada nivel de servicio y no crear una brecha de ciberseguridad entre los «ciberpobres» y las empresas que pueden permitirse seguridad adicional, afirma Kymberlee Price, directora ejecutiva y cofundadora de Zatik. , un proveedor de experiencia en seguridad fraccionada para empresas más pequeñas.

«Si los proveedores no cambian sus precios de seguridad e incluyen cinturones de seguridad en el modelo base, la responsabilidad del software es inevitable», dice Price.

Encontrar formas de proteger a los ciberpobres (aquellas empresas y organizaciones que no pueden permitirse el lujo de contar con expertos dedicados en ciberseguridad o costosos sistemas de seguridad) se ha convertido en una tarea importante en todo el mundo. En 2023, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) Comprometidos a encontrar formas de ayudar a las organizaciones más pequeñas.que normalmente no tienen presupuesto para tecnología de la información, y mucho menos para seguridad de la información. Las violaciones de seguridad pueden conducir al fracaso empresarial y Problemas importantes relacionados con el estrés para los propietarios de pequeñas empresas..

«Extender la seguridad a las empresas más pequeñas es fundamental para promover la seguridad en todo el ecosistema empresarial», dijo Saeed Abbasi, gerente de producto para investigación de vulnerabilidades en Qualys.

“Reforzar la ciberseguridad en las pymes es fundamental para proteger sus activos y los ecosistemas empresariales más grandes, ya que estas pequeñas empresas suelen actuar como eslabón en cadenas de suministro más grandes”, afirma. «Además, el costo de la ciberseguridad proactiva suele ser menor que las pérdidas potenciales por violaciones de datos».

Más seguridad que el estándar

Definir la diferencia entre un producto de seguridad independiente y una característica de seguridad no es fácil, admite Price. Las funciones de inicio de sesión único como Okta obviamente se considerarían un servicio de seguridad, pero una función en otro producto para conectarse al SSO de Okta no debería requerir la compra de un nivel superior, afirma Price.

«Si hay una innovación completamente nueva que revoluciona la forma en que funciona la seguridad… eso implicará costos de desarrollo y otros costos», por lo que cobrar una prima por eso parece justo, dice. «Pero en este punto hay tantas de estas características [are the equivalent of] Cámaras de visión trasera, que eran una opción en el modelo LX cuando se introdujeron pero que ahora son estándar en los modelos básicos”.

Las características de seguridad que a Price le gustaría ver incluyen: las empresas deberían tener la capacidad de exigir y monitorear la autenticación de dos factores en toda la organización, la integración del inicio de sesión único debería ser una característica básica y controles de acceso, administración y funciones normales de usuario basados ​​en roles. «Deberían separarse por separado, deberían ser estándar», afirma. Además, las empresas deben proporcionar pistas de auditoría en cada aplicación de forma predeterminada y brindar a los administradores la capacidad de revocar el acceso de los usuarios.

Para Snowflake, el problema no era cobrar más por la autenticación multifactor, sino más bien no habilitar una característica que los expertos en ciberseguridad han defendido durante mucho tiempo. En la plataforma, las personas podían optar por MFA, pero el administrador de la empresa no tenía autoridad para exigir la seguridad de cada usuario de su organización, dijo en una entrevista el mes pasado Ofer Maor, cofundador y CTO de la empresa de respuesta a amenazas Mitiga.

«Snowflake no sólo no requiere MFA, sino que también hace que sea muy difícil para los administradores hacer cumplirla», dijo. “A diferencia de otras plataformas SaaS donde un administrador de inquilinos puede requerir MFA para todos los usuarios del inquilino, esta opción no está disponible en Snowflake. La única forma que tiene el administrador de hacer cumplir esto es verificar manualmente a cada usuario en el sistema para ver si ha habilitado voluntariamente MFA y, en caso contrario, pedirle que lo haga”.

Tanto Snowflake como Microsoft ofrecen ahora las funciones de seguridad necesarias en sus plataformas: los administradores pueden MFA por defecto para Snowflake a partir del 9 de julio, y Microsoft cambió su política respecto a los costos de la deforestación el año pasado después de que sus licencias fueran criticadas.

Haga que la ciberseguridad sea fácil, disponible en los niveles más bajos

Dado que las pequeñas y medianas empresas a menudo no cuentan con un especialista en TI interno, y mucho menos un profesional con experiencia en ciberseguridad, ofrecer seguridad básica fácil de usar es primordial. Tiene que haber una manera de imponer la seguridad a todos los usuarios, dice Narayana Pappu, director ejecutivo de Zendata, una empresa de cumplimiento y seguridad de datos.

“Las pequeñas y medianas empresas generalmente carecen de experiencia en seguridad interna, carecen de recursos para implementar o mantener una solución y, por lo general, presentan riesgos de seguridad que pueden dejarlas fuera del negocio en caso de un incidente de seguridad”, dice. «Éstas son buenas razones para llevar una buena seguridad a nivel de las PYME: en un mundo conectado… eres tan fuerte como tu eslabón más débil».

Si bien la última IA generativa y los grandes modelos de lenguaje (LLM) podrían brindar más seguridad a algunas empresas, el costo aún puede ser prohibitivo y dichas características rara vez se ofrecen en el nivel básico.

En cambio, las empresas de software y ciberseguridad deberían proporcionar seguridad básica y efectiva en el nivel de servicio básico en cada producto, dice Zatiks Price, quien enfatiza que no le importa cobrar a todos un poco más para que la función esté disponible. Sin embargo, no debería haber ningún nivel en el que no se ofrezcan las medidas de seguridad más eficaces, afirma.

“Hoy en día no hay en el mercado ningún modelo de coche sin cinturón de seguridad”, afirma. “¿Son gratuitos los cinturones de seguridad? No, están incluidos en el precio del coche”. [Similarly,] No estamos diciendo que toda la seguridad deba ser gratuita y sin costo”.