Los CISO reconsideran la seguridad de los datos con un marco centrado en la información

CONFERENCIA RSA 2023 – San Francisco – La coalición detrás de la Modelo de madurez para la seguridad de los datos ha lanzado una segunda iteración del marco diseñado para facilitar a las organizaciones la protección de datos contra fugas.

La coalición formada por Cyberhaven el verano pasado está dirigida por Sounil Yu, CISO de JupiterOne, e incluye una serie de profesionales de seguridad de una variedad de empresas, incluidas Boston Scientific, Caterpillar Financial, Fleet, Flexport, Motorola Mobility, Twilio, VillageMD y otras. .

Durante un panel en la Conferencia RSA 2023 titulado Marco Integral de Capacidades Cibernéticas: Un árbol tecnológico para la ciberseguridadlos miembros de la coalición presentaron una visión para la próxima generación de seguridad de datos.

“La capacidad de proteger cualquier tipo de datos en dispositivos, aplicaciones y recursos en la nube es esencial si las organizaciones quieren aprovechar el poder de la colaboración moderna y la transformación digital sin exponer sus datos a amenazas externas, amenazas internas o errores simples: usuarios previstos, «, dijo la coalición en un comunicado.

Alineado con el marco de ciberseguridad del NIST y la matriz de ciberdefensa, el DSMM define cinco capacidades clave para habilitar una vista centrada en los datos:

• Identificar y clasificar: Encuentre y clasifique todos los datos cubiertos por el programa de seguridad de datos.
• Proteccion: Minimice la exposición de datos confidenciales controlando cómo se accede a ellos, se utilizan y se conservan.
• Reconocer: Capture y analice los riesgos de datos para identificar eventos de seguridad relacionados con datos o infracciones de políticas que no hayan sido detenidos por la función «Proteger».
• Respuesta: Establezca acciones inmediatas a corto plazo para tomar ante la detección de un incidente potencial.
• Restaurar y mejorar: Determinar las acciones necesarias no solo para restaurar las operaciones normales (ya que se relacionan específicamente con los datos) sino también para reconstruir más fuerte.

En su segunda iteración, lanzada esta semana, el modelo de madurez refina cada uno de estos pilares para incluir un contexto más detallado, como: B. qué infraestructura de servidor se utiliza, cuanto hay en la nube política de privacidad, cómo los empleados y otros utilizan los datosy cómo las aplicaciones, las API y los puntos finales no humanos lo usan, y más, para obtener una imagen más completa de la huella de datos de una organización.

El problema de los datos y la transformación digital

Richard Rushing, panelista y CISO de Motorola Mobility, a Dark Reading
la existencia enfoque del nuevo marco se requería porque en la era de la transformación digital simplemente no es posible controlar todos los datos que se generan dentro de una organización en un momento dado considerando la protección de forma aislada. El antiguo concepto de ver los datos en el contexto de los dispositivos, las aplicaciones o la red ha tenido que cambiarse por un enfoque en los datos en sí, dondequiera que vayan dentro de una organización.

«Si piensa en lo que permite la seguridad, es el uso de datos y el acceso ubicuo a ellos», dice. “Es necesario conectarse a la red para usar los datos en la red para tomar mejores decisiones para el negocio o para sus clientes. Pero los datos se encuentran en diferentes lugares, a veces en reposo ya veces en movimiento. «

Agrega que el problema está creciendo, literalmente, y también requiere un replanteamiento en la arquitectura de protección.

«Los datos están en una curva logarítmica; por cada cantidad de datos que tenga el próximo año, probablemente sea 2,5 veces más que la cantidad de datos que tuve este año», dice. “Somos acaparadores de datos, a falta de un término mejor; nadie quiere deshacerse de la información de las personas que se han registrado en sitios web y foros y todo lo demás, por lo que tenemos esta sobrecarga masiva de datos. Esto, a su vez, deja puntos ciegos en la seguridad».

Otro desafío es el hecho de que algunos datos son, por supuesto, más sensibles como otra información; y parte de la información no necesita ser protegida en absoluto, señala Rushing. Y existe un impulso en torno a la definición de niveles apropiados de seguridad a medida que los datos envejecen.

Utiliza una introducción del producto para transmitir su punto de vista. “Con el lanzamiento de un producto, comenzamos con una situación en la que nadie sabe, todo está bloqueado y estás protegiendo esta importante propiedad intelectual”, explica. «Y lo siguiente que sabes es que se dará a conocer al público. Y de repente ya no es ultrasecreto, de hecho quieres que todo el mundo lo sepa”.

Rushing dice que el marco está diseñado para controlar parte de ese caos, y puede adaptarse tanto a grandes empresas como a pequeñas y medianas empresas. También permite a las organizaciones centrarse en una serie de áreas de práctica, incluida la priorización de decisiones basadas en riesgos, colaboración, educación continua, gestión de riesgos para proveedores y terceros, cumplimiento, transparencia y respuesta a incidentes, y cómo recuperar datos.

«No quiero decir que sea de talla única, pero es muy parecido a una talla única», explica. «Los controles variarán según el entorno, pero el enfoque pretende ser lo suficientemente flexible para adaptarse a eso».

Él dice que el marco es una arquitectura viva que la coalición espera refinar y evolucionar con el tiempo. Sin embargo, el momento de cambiar a una mentalidad centrada en los datos debería comenzar ahora.

«Si no empiezas y no piensas en ello, te van a golpear de alguna manera en los próximos 6, 12, 18 meses», advierte. «No es que Internet se esté convirtiendo en un vecindario más seguro y los datos son el nuevo petróleo que impulsará tanto a las empresas como a los atacantes».