Prueba de estrés de los supuestos de seguridad en un mundo lleno de riesgos nuevos y novedosos

COMENTARIO

Primera de dos partes.

Las fallas de seguridad más devastadoras son a menudo aquellas que no podemos imaginar, hasta que suceden.

Antes del 11 de septiembre, los planificadores de seguridad nacional y aplicación de la ley asumieron que los secuestradores dejarían en tierra los aviones para llegar a un acuerdo negociado, hasta que no lo hicieron. Antes de StuxnetLos ingenieros de control asumieron que los sistemas aislados podrían funcionar sin perturbaciones, hasta que se les introdujera un virus. Antes del hack de SolarWinds En el descubrimiento de 2020, los administradores de TI asumieron que las actualizaciones verificadas de una plataforma de administración de red confiable eran legítimas y seguras, hasta que la propia plataforma se convirtió en el vector de un devastador ataque a la cadena de suministro.

El alcance de los daños causados ​​por estos incidentes a menudo depende de hasta qué punto son nuevos y novedosos. Riesgos fueron imprevistos o no se consideraron riesgos desde el principio. En otras palabras, cuanto más fundamental sea el supuesto, más devastador será el compromiso.

La seguridad debe ser correcta no sólo ahora sino también en el futuro, anticipando y mitigando los riesgos que surgirán en un momento y lugar posteriores mediante una planificación y preparación eficaces. Y las suposiciones que hacemos sobre este entorno futuro sirven como base para este trabajo. Es necesario hacer suposiciones para que cualquier plan de seguridad sea coherente. Pero tienen una vida útil limitada.

Nuestras suposiciones actuales probablemente ya no se aplicarán en el futuro. Sabemos que los desafíos de seguridad serán inherentemente transversales e interdisciplinarios debido a las crecientes interdependencias. Sabemos que el ritmo del cambio impulsado por la velocidad del desarrollo tecnológico hará que los interminables ciclos de detección y parcheo, identificación y neutralización, detección y respuesta sean aún más difíciles de sostener de lo que son hoy. Sabemos que la cuestión de quién y qué garantiza la seguridad también está cambiando.

El enfoque actual de seguridad es más o menos así: primero, revisamos y recopilamos incidentes recientes. Información sobre las amenazas. Lo sabemos. A continuación, desarrollamos un consenso (basado en datos de incidentes y conocimiento de expertos) sobre cómo neutralizar estas amenazas y mitigar los riesgos asociados. Finalmente, estamos desarrollando programas y herramientas para implementar estas mitigaciones a escala. Cuanto mejor y más rápido podamos hacer esto, más seguros estaremos.

Adopte un enfoque preparado para el futuro

Dado el panorama cambiante, hemos buscado acelerar este proceso mediante una mayor recopilación e intercambio de datos, conocimientos más profundos a través de análisis más potentes, detección más temprana de los actores de amenazas y sus acciones, y una respuesta más rápida a los ataques en curso.

Pero nos estamos quedando cada vez más atrás. Cuando entendemos al actor de una amenaza, sus intenciones, sus métodos de ataque o detectamos sus movimientos, ya es demasiado tarde. El desafío fundamental es prepararse para un futuro con un perfil de riesgo desconocido.

Para ser más resilientes en un mundo donde las amenazas son “invisibles hasta que es demasiado tarde”, debemos fortalecer nuestros planes poniendo a prueba nuestras suposiciones. El futuro de la seguridad dependerá de la resiliencia ante riesgos emergentes que aún no pueden identificarse específicamente. Monitorear las tendencias y anticipar las amenazas no es suficiente. También debemos cuestionar los mismos supuestos que sustentan nuestra actual sensación de seguridad.

Un enfoque nuevo y preparado para el futuro debe implicar un proceso consciente de cuestionar los supuestos existentes mientras aún sean válidos, con el fin de modelar un futuro en el que esos mismos supuestos estén en riesgo. Basándonos en esta nueva “realidad” futura, podremos desarrollar formas de sobrevivir. En otras palabras, estamos cambiando nuestro enfoque de evaluar el entorno actual, hacer suposiciones sobre el futuro, identificar amenazas y luego mitigar esos riesgos a identificar explícitamente nuestras suposiciones, “inventar” amenazas en torno a esas suposiciones y desarrollar resiliencia para sobrevivir ese futuro.

En la práctica, esto significa poner a prueba nuestras suposiciones sobre el mundo en el que operamos y los entornos en los que buscamos seguridad. Estos supuestos pueden ser amplios o restringidos y abarcar múltiples dimensiones. Un enfoque riguroso debe considerar estas cuatro categorías:

Este proceso de categorizar y poner a prueba los supuestos fundamentales es un ejercicio necesario para cualquier líder interesado en garantizar la seguridad y la resiliencia a largo plazo frente a un futuro incierto.

En la siguiente parte de este artículo de dos partes, examinaré algunos de los supuestos centrales de los marcos de seguridad más comunes y las tecnologías que creemos que son fundamentales para la ciberseguridad. También resaltaré algunas de nuestras creencias fundamentales obvias y haré las preguntas incómodas que debemos hacer para ser más resilientes para el futuro.