Proteja los datos de manera diferente, para un mundo diferente

COMENTARIO

Los ciberdelincuentes, los terroristas y los Estados-nación ahora están atacando empresas comerciales de maneras que pueden matar y herir a personas o causar destrucción física. Un real Ataque a la red de atención sanitaria de Ascension Los hospitales tuvieron que redirigir a los pacientes, reprogramar citas y depender de sistemas manuales, lo que podría haber causado graves daños a los pacientes. En 2023 dos sospechosos fueron arrestados por conspirar para atacar la red eléctrica de Baltimore. El daño potencial de tal ataque tiene la El gobierno de Estados Unidos está tratando de mejorar la seguridad..

Además de la mayor gravedad “física” de estos ataques, los líderes de las empresas ahora pueden ser considerados legalmente responsables. En 2022, un jurado federal condenó al ex CSO de Uber, Joseph Sullivan culpable de obstrucción por las acciones tomadas tras el incumplimiento de la empresa. En 2023, la Comisión de Bolsa y Valores tarifas anunciadas contra el director de seguridad de la información (CISO) de SolarWinds, Timothy Brown, en un caso similar (muchos de ellos luego fueron expulsados). Y a principios de año Microsoft anunció que “la alta dirección será directamente responsable de la ciberseguridad”.

En el pasado, hemos distinguido entre ataques a datos empresariales (incidentes motivados financieramente que amenazan los resultados de una empresa en forma de multas, pérdida de propiedad intelectual y daño a la reputación) y ataques patrocinados por el Estado a secretos militares que tienen el potencial de matar. o herir a personas o socavar el trabajo del gobierno. Desafortunadamente, los acontecimientos recientes han desdibujado la línea entre la seguridad física y la ciberseguridad, lo que ha obligado a las empresas a dar mayor prioridad a la protección de datos confidenciales, al igual que el ejército.

La mentalidad militar

En el ejército, proteger la información confidencial siempre ha sido una prioridad absoluta, y la industria prioriza todos los sistemas que necesita para protegerla, incluidas múltiples capas de seguridad física y digital. La información simplemente no puede verse comprometida.

Por el contrario, es más probable que las empresas realicen un análisis de costo-beneficio, en el que comparan el costo de realizar copias de seguridad de los datos con el costo de recuperarse de los daños. Como resultado, la industria nunca ha creado una pila de seguridad centrada en los datos, sino que prefiere un enfoque de seguridad basado en la red diseñado para mantener alejados a los malos y responder rápidamente para contener las infracciones. Sin embargo, cuando un atacante viola la capa de seguridad de la red, los datos confidenciales se filtran y exponen rápidamente antes de que la mayoría de las organizaciones puedan responder para contener el incidente.

Para proteger a sus empleados y sus intereses comerciales, las empresas deben cambiar su forma de pensar y proteger los datos confidenciales con la misma intensidad que las industrias militar, de inteligencia y de defensa.

Principios de una nueva estrategia de protección de datos

1. Principio de privilegio mínimo (PoLP)

El principio de privilegio mínimo en las agencias militares y de inteligencia dicta que los individuos sólo pueden acceder a la información y los recursos que necesitan para sus tareas específicas. Esto minimiza el riesgo de acceso no autorizado, uso indebido de datos y espionaje al limitar la divulgación de información confidencial, lo que a su vez mejora la seguridad general y la integridad operativa.

Del mismo modo, los sistemas empresariales sólo deberían distribuir los datos correctos a las personas adecuadas en el momento adecuado. Las recientes leyes de protección de datos han obligado a muchas organizaciones a implementar esta característica, pero la mayoría de las organizaciones aún están lejos de integrar el principio de privilegio mínimo en la estructura de su infraestructura de datos. La implementación de una seguridad de datos sólida requiere una comprensión del contexto de las funciones y responsabilidades de los usuarios en las infraestructuras de gestión de acceso de identidad (IAM), una comprensión de los requisitos de cumplimiento de la protección de datos y la capacidad de proteger información confidencial en infraestructura pública local en tiempo real. Identifique y proteja automáticamente las aplicaciones de nube, software como servicio (SaaS) y la cadena de suministro empresarial.

2. Nunca confíes tus datos a terceros

Los datos deben permanecer donde la empresa pueda controlarlos y protegerlos. Los atacantes se dirigen al eslabón más débil de la cadena de suministro de datos, y es cada vez más a las personas ajenas a la organización. incluyendo niñosy plataformas de datos de terceros, como vientos solares. Las empresas también pierden control sobre los datos cuando se almacenan en la plataforma de datos en la nube de un proveedor, donde las deficiencias de seguridad del proveedor ponen los datos en riesgo. Por lo tanto, las empresas deben asegurarse de que los proveedores que pasan a formar parte de su ecosistema de datos no puedan almacenarlos, verlos ni acceder a ellos de otro modo. Esto se puede lograr redactando, enmascarando, tokenizando o cifrando automáticamente datos confidenciales cuando salen del control de la empresa.

3. Detectar amenazas en tiempo real

Con demasiada frecuencia, las organizaciones se han conformado con una arquitectura de seguridad que se centra en la detección y la respuesta y tiene tiempos de respuesta deficientes. Según el 2023 IBM Security “Informe sobre el costo de una vulneración de datos” El tiempo medio para identificar (MTTI) y contener (MTTC) una infracción es de 277 días. Cuando se utilizaron ampliamente la IA y la automatización en la respuesta a incidentes, aún así se necesitaron 214 días para identificar y contener las infracciones. Para evitar que las violaciones de datos resulten en la pérdida de información de identificación personal (PII), debemos cambiar el enfoque de medidas de contención reactivas que no funcionan a medidas de seguridad de datos proactivas que aprovechen la IA para identificar y proteger datos confidenciales en tiempo real a medida que avanzan. pasa a través del flujo en toda la organización y bloquea los intentos de usuarios no autorizados de acceder, robar o manipular información crítica para el negocio.

4. Nunca socaves la productividad

Una barrera de larga data para una mayor seguridad ha sido que la seguridad adicional ralentiza los procesos e impide el acceso legítimo a los datos. Esto frustra a los usuarios, limita la colaboración, socava la experiencia del cliente e inhibe la innovación. Para impulsar la adopción y el uso, las soluciones de seguridad de datos deben proteger los datos sin retrasar las operaciones. De lo contrario, los usuarios encontrarán una manera de evitarlos.

5. Haga que la implementación sea rápida y sencilla

Independientemente de las soluciones que desarrolle la industria, las empresas deben poder implementarlas rápidamente y con la menor interrupción posible de los flujos de trabajo existentes. De lo contrario, en el mejor de los casos, los riesgos podrían aumentar durante el proceso de implementación. En el peor de los casos, las soluciones no se implementan en absoluto o dejan brechas críticas en las defensas de la empresa.

Un llamado a las armas

En la práctica, adoptar una mentalidad militar hacia la ciberseguridad significa que las organizaciones deben comenzar inmediatamente a exigir que la industria vaya más allá de las estrategias actuales de protección de redes y adopte un enfoque de seguridad centrado en los datos que proteja los datos de manera proactiva en tiempo real. Estas medidas incluyen:

Estas estrategias son fundamentales para desarrollar un enfoque de seguridad centrado en los datos que proteja eficazmente a las organizaciones de las ciberamenazas en evolución.