Lo que Schrödinger puede enseñarnos sobre ciberseguridad

Recientemente tuve lo que pensé que era un destello de inspiración único. (Alerta de spoiler: no lo fue, ¡pero sigue leyendo!)

Como Jefe de Marketing de ESET Reino Unido, parte de mi función es comunicar cómo se pueden implementar nuestras potentes e integrales soluciones para proteger a las organizaciones, de una manera que ayude a aclarar los argumentos para actualizar a un nivel superior de ciberseguridad. Y esta necesidad de claridad es hoy más urgente que nunca.

Líderes y autoridades de ciberseguridad, incluido el Centro Nacional de Seguridad Cibernética del Reino Unido (NCSC), se cita a menudo que los ciberataques no son “una cuestión de si, sino de cuándo”. Por lo tanto, puede que no sea demasiado descabellado describir cualquier organización como en un “estado previo a la seguridad”, es decir, un estado en el que las amenazas pueden ya estar presentes pero permanecer fuera del radar.

Lo que sea que se te ocurra El gato de Schrödingerel famoso experimento mental en el que un gato en una caja sellada está vivo y muerto al mismo tiempo, hasta que miras dentro. Esto puede desafiar un poco la analogía, pero cuando se trata de ciberseguridad, su organización se encuentra en un estado similar: se ha producido una infracción y no se ha producido ninguna infracción, hasta que mira. Sin visibilidad simplemente no lo sabes. Y cuando lo haga, es posible que el daño ya esté hecho.

Aceptar esta realidad requiere un cambio de mentalidad y estrategia. De hecho, para las organizaciones que no tienen las herramientas necesarias para la búsqueda de amenazas internas y el monitoreo de comportamientos maliciosos, se podría argumentar además que esto en realidad representa una dualidad de estados que se encuentra en la teoría cuántica y que, por lo tanto, estas organizaciones se encuentran en una especie de «estado de fractura cuántica».

No fue una sorpresa cuando descubrí esta onda cerebral. fue compartido bajo al menos algunos otrosquien tenia usé esta analogía para explicar la nueva realidad y animar a las organizaciones a repensar su estrategia de ciberseguridad en consecuencia. Un poco decepcionante desde un punto de vista egoísta, pero no demasiado, ya que es claramente una línea de pensamiento que resonó al menos en esas pocas personas.

Pero ahora voy a romper un poco la analogía y espero enfatizar el mensaje central.

Aleatorio y no tan aleatorio

El experimento mental original, descrito por primera vez hace casi 90 años por el físico austriaco Erwin Schrödinger, se basó en la casualidad de la desintegración radiactiva de un elemento que emitió una partícula que golpeó un detector, provocando la liberación de veneno en la caja, aniquilando así al gato. Se trata de una posibilidad aleatoria determinada por la decadencia cuántica, mientras que en la mayoría de los casos el momento de la “explosión” del malware por parte de los delincuentes dentro de una organización está planificado.

Se creía que el grupo informal de delincuentes de habla inglesa llamado Scattered Spider, que estaba detrás de la vulneración de Marks and Spencer (M&S) en el Reino Unido, se estaba moviendo a través de los sistemas de la empresa. sin ser detectado, durante semanas. Se cree que el mismo grupo está detrás de la tan mencionada vulneración de Jaguar Land Rover (JLR), que se estima le ha costado a la economía del Reino Unido más de £2 mil millones. oficialmente el más caro de la historia británica.

Es justo suponer que se pudieron haber utilizado las mismas tácticas, aunque se dieron detalles sobre cuánto tiempo habían estado presentes los atacantes en los sistemas de JLR. estan incompletos. En el caso de M&S, los perpetradores vivieron durante un largo período de tiempo “viviendo de la tierra”, lo que provocó el caos al inicio del fin de semana de Semana Santa. El ataque JLR, mientras tanto, se lanzó el día 31.^calle Agosto de 2025, en vísperas del equivalente Navidad y Día de Acción de Gracias en la industria automotriz británica: el día de la nueva matriculación de vehículos de motor (“New License Plate Day”) el 1 de enero.^calle Septiembre.

¿Al azar? No lo creo.

Por tanto, la analogía de la fracción cuántica no es del todo exacta. Si tuviera que arriesgarme a adivinar, la fecha se planeó cuidadosamente para lograr la máxima interrupción y funcionó espectacularmente bien para los atacantes (y, por supuesto, espectacularmente mal para JLR).

Llegados a este punto conviene recordar algunas estadísticas. Según IBM Informe del costo de una filtración de datos de 2025El tiempo promedio global para identificar y contener una infracción (es decir, todo el ciclo de vida de una infracción) es de 241 días, mientras que el tiempo promedio para identificar una infracción es de 181 días; en cualquier caso, estamos hablando de grandes cifras. La incómoda realidad es que muchas organizaciones son víctimas de violaciones de seguridad mucho antes de que se den cuenta. Y cuanto mayor sea el tiempo de permanencia, más dañina será probablemente la eventual “detonación” del ataque.

Soluciones: Cerraduras y/o SOCs

Si ya ha aceptado mi “teoría” de que su organización se encuentra en un estado previo a la infracción, es posible que ahora esté pensando en soluciones. Esta solución suele ser obtener/actualizar su seguridad (por ejemplo, comprar un candado más grande) o hacer todo lo posible y actualizar a herramientas EDR o XDR y luego buscar amenazas. Por supuesto, esto último equivaldría a “abrir la caja” y observar.

Optar por lo primero (prohibiciones más grandes) no necesariamente ayuda si se considera la amenaza interna, así como la ingeniería social y otras estrategias de ataque utilizadas por grupos de delitos cibernéticos como Scattered Spider, que estuvieron detrás de las infracciones de JLR y Marks & Spencer. No importa el tamaño de la cerradura, es posible robar las llaves (o esencialmente regalarlas haciendo clic en un enlace malicioso). engañado para revelar o restablecer una contraseña) los hace obsoletos en este caso.

Entonces, ¿qué pasa con los SOC?

Por supuesto, para que esto funcione, primero debe crear algún tipo de SOC y luego dotarlo de analistas de seguridad. Muy caro y requiere mucho tiempo: la instalación puede llevar meses y costar cientos de miles de libras/dólares/euros. Esto es incluso si puede contratar suficientes personas debido a la escasez de habilidades en ciberseguridad ampliamente informada. Entonces tomemos el mando. Eso significa que lo hacemos nosotros mismos.

Esta opción debe considerarse con precaución: las habilidades necesarias para operar estas poderosas herramientas no pueden subestimarse y, cuando estén habilitadas, muchas (la mayoría/todas) las organizaciones encontrarán el gran volumen de telemetría, alertas y alarmas tan abrumador que desactivarán muchas de ellas solo para silenciar el ruido. Incluso si el “estado cuántico” de la infracción ya se resuelve (lo que significa que ahora está monitoreando sus sistemas), la situación puede empeorar aún más y generar una falsa sensación de seguridad. tu ahora pensar Estás bien si lo estás potencialmente Sin embargo, este no es el caso porque es posible que no tengas las habilidades necesarias para analizar adecuadamente lo que observas.

Sumado a esto, aquí en ESET hemos visto un número cada vez mayor de pólizas de seguro cibernético compartidas por clientes que insisten en que se implementen soluciones EDR para poder siquiera calificar para la cobertura, lo que puede representar un verdadero enigma para los profesionales de la seguridad. Se ven obligados a utilizar herramientas que requieren operadores altamente cualificados sin poder utilizarlas correctamente para que la política siga siendo aplicable en caso de incumplimiento (inevitable). El estrés es probablemente una de las palabras que los equipos de ciberseguridad de todo el mundo utilizan con más frecuencia cuando describen su vida cotidiana, y eso no es sorprendente.

Pero hay una tercera vía. Empresas de todos los tamaños recurren cada vez más a proveedores que desarrollan herramientas y brindan servicios para buscar, monitorear y remediar esas amenazas. Los servicios de detección y respuesta administrada (MDR) resuelven este dilema: los expertos administran las herramientas, el monitoreo las 24 horas del día, los 7 días de la semana, la búsqueda proactiva de amenazas, la detección y remediación rápidas y mucho más, todo lo cual alivia la situación, resuelve el «estado de violación cuántica» y desactiva la bomba cibernética, lo que en última instancia ayuda a cumplir con los requisitos de seguro y cumplimiento y, lo más importante, mitiga el daño causado por APT y grupos de ciberdelincuencia establecidos desde hace más tiempo.

La verificación de la realidad

• Realmente no sabes que has sido atacado hasta que observas la realidad en tus sistemas. ¿Sabías que no fuiste tú?
• A menos que tenga las habilidades necesarias para detectar y remediar amenazas, las herramientas que pruebe y utilice usted mismo pueden ser contraproducentes y crear más ruido para que los atacantes se escondan. ¿Tienes las habilidades?
• Incluso si tiene las capacidades internas para implementar soluciones EDR/XDR, el tiempo promedio de detección y respuesta (MTTD y MTTR) será cientos de veces mayor que lo que un tercero puede lograr (es decir, MTTD de ESET < 1 minuto; MTTR < 6 minutos). ¿Sabes cuáles son tus propios tiempos MTTD y MTTR?
• Es increíblemente costoso construir el SOC necesario y proporcionar monitoreo las 24 horas del día, los 7 días de la semana, algo que está fuera del alcance de la mayoría de las organizaciones. ¿Tiene el tiempo (y el dinero) para crear y dotar de personal a un SOC?
• Los servicios MDR a través de MSP y MSSP se pueden activar para CUALQUIER tamaño de empresa, desde un puesto/empleado.

Referencias:

• “El gato de Schrödinger en ciberseguridad: la paradoja de la incertidumbre” – compara las vulnerabilidades con el destino del gato y enfatiza el seguimiento proactivo. [linkedin.com]
• “La ruptura de Schrödinger” – destaca el tiempo de permanencia y la ilusión de seguridad hasta que se demuestre lo contrario. [advantage.nz]
• Instituto de Estrategia Cibernética – utiliza la analogía para explicar la confianza y el riesgo como estados duales de tipo cuántico. [cyberstrat…titute.com]