Por Chris Millington
Líder Global de Ciberresiliencia, Protección de Datos y Cumplimiento Normativo
Hitachi Vantara
Las interrupciones provocadas por incidentes cibernéticos están costando muy caro a las compañías más grandes del mundo, listado que incluye a numerosas empresas de América Latina de países como Brasil, México, Chile, Colombia y Argentina (Forbes Global 2000).
Oxford Economics estima que estas pérdidas ascienden a US$ 600.000 millones anuales, un aumento del 50 % en tan solo 2 años, y advierte que esta señal de alerta ya no puede ignorarse.
Ahora, la Inteligencia Artificial (IA) está elevando aún más las exigencias, actuando como un multiplicador de capacidades para los actores maliciosos y creando una nueva superficie de ataque. CrowdStrike informa de un aumento del 89% en los ataques habilitados por IA, un punto de inflexión en el riesgo cibernético.
Sin embargo, las empresas suelen seguir haciendo las cosas como siempre: invierten en más herramientas de ciberseguridad y se centran principalmente en la infraestructura de TI, en lugar de priorizar los datos que mantienen el negocio en funcionamiento, y las capacidades de recuperación necesarias para garantizar la continuidad operativa.
El entorno actual exige un enfoque diferente.
A continuación, desde Hitachi Vantara presentamos 5 pasos para incorporar la ciberresiliencia empresarial desde el principio, y garantizar la continuidad del negocio frente a ciberataques.
1. Incorporar la ciberresiliencia en la IA desde el principio
La mayoría de las empresas está implementando IA rápidamente, pero las soluciones de protección de datos no han avanzado al mismo ritmo. Los modelos y agentes de IA se integran cada vez más en flujos de trabajo críticos que involucran datos de clientes y sistemas financieros, lo que incrementa el riesgo. La velocidad de la IA implica que un modelo comprometido puede causar daños antes de que un equipo siquiera detecte el problema.
Las empresas pueden incorporar la ciberresiliencia en la IA mediante las siguientes acciones:
- Tratar la IA como un sistema empresarial crítico.
- Garantizar una gobernanza adecuada.
- Adoptar un modelo de confianza cero (Zero Trust).
- Incorporar la IA a la estrategia de defensa.
2. Asumir que ocurrirá un incidente y prepararse para afrontarlo
La posibilidad de sufrir un incidente cibernético costoso, como un ataque de ransomware, resulta alarmante. Sin embargo, la realidad es que, en algún momento, las empresas tendrán que enfrentarse a un evento de este tipo.
Preparar a las organizaciones implica contar con una base de datos y capacidades de análisis que permitan determinar qué información es crítica para el negocio y cuál es crítica para la misión. Luego, se establecen diferentes niveles o zonas, con parámetros específicos, para gestionar ambas categorías de manera diferenciada.
Los sistemas y datos críticos para la misión deben permanecer siempre operativos y disponibles. Por ello, será necesario invertir más para garantizar tiempos de recuperación más rápidos y un objetivo de punto de recuperación (RPO) más cercano al tiempo real.
3. Garantizar la continuidad del negocio depende de los datos, no solo de la infraestructura
Ya sea que los datos estén en la nube o en instalaciones propias, se necesita contar con la capacidad de protegerlos y recuperarlos. El primer paso consiste en clasificarlos y aplicar reglas de seguridad de acuerdo con dicha clasificación.
Cuando se produzca un incidente cibernético, debe existir certeza de que se dispone de una copia de los datos, accesible para reanudar las operaciones lo antes posible.
4. Darle a la R de DPR la atención que merece
Estas siglas corresponden a Detect, Protect and Recover: Detectar, Proteger y Recuperar.
Detectar: Los equipos de seguridad son buenos detectando amenazas. Sin embargo, son menos los que supervisan los datos. El ransomware deja señales en el almacenamiento, como archivos cifrados o reescritos a ritmos inusuales. Supervisar estas señales directamente en la capa de almacenamiento permite obtener alertas tempranas.
Proteger: Las instantáneas inmutables (snapshots), aisladas del entorno de producción, constituyen una sólida medida de protección. Capturan copias de los datos en un momento determinado que no pueden modificarse ni eliminarse durante su período de retención. De esta manera, un atacante no puede cifrar ni borrar esas copias protegidas.
Recuperar (Recover): Nunca ha sido tan importante contar con la capacidad de recuperar los datos con confianza. Para conseguirlo, es necesario probar de manera sistemática y continua las soluciones y los procesos de recuperación.
La recuperación es la más importante de estas tres capacidades, pero con frecuencia no recibe la atención que merece. La disponibilidad también contribuye: los mejores sistemas de almacenamiento empresarial de datos alcanzan una disponibilidad de ocho nueves (99,999999 %), lo que equivale a aproximadamente un tercio de segundo de inactividad al año.
Probar periódicamente los procesos de recuperación aumenta la confianza en que los datos estarán disponibles y podrán utilizarse después de una crisis.
5. Crear un entorno de gemelo digital para poner a prueba la estrategia
El tiempo promedio de permanencia de un atacante en un entorno comprometido (dwell time) es de 2 semanas. Los más persistentes pueden permanecer sin ser detectados durante mucho más tiempo: en promedio 122 días en campañas de espionaje.
Si un atacante ha permanecido dentro del entorno de la organización durante semanas o meses antes de ser detectado, cualquier copia de respaldo generada durante ese período podría contener sus modificaciones maliciosas.
Entonces, ¿cómo identificar con confianza la última copia de respaldo de los datos que se sabe que está libre de compromisos? La respuesta es crear un entorno aislado de gemelo digital para alojar y probar los datos más importantes o críticos para la misión de la organización, fuera del ambiente de producción y bajo controles estrictos.
Disponer de un entorno aislado, preparado para activarse de inmediato, es mucho más rápido que intentar volver a un punto específico en el tiempo. Así, es posible mantener la continuidad del negocio poniendo nuevamente en marcha el entorno de producción mediante una replicación sencilla hacia la capa gemela de almacenamiento.
