Estimados lectores, me gustaría mucho decirles que ya encontramos una bala de plata para el tema de la seguridad de información, pero no es así.
No quiero sonar como disco rayado. La realidad es que la causa raíz es sencilla: los defectos en el software y los actores que tratan de explotarlos con motivaciones económicas, de activismo, de desestabilización o terroristas, entre algunas de ellas. Ahora bien, esos desde hace mucho existen (defectos y actores que buscan explotarlas). No son nuevos. La solución es sencilla, pero a la vez compleja: contar con software de calidad, pero eso parece ser una quimera ya que al final del día el software lo produce gente y la calidad percibida está en los ojos del que consume un producto o servicio.
Ojalá que las empresas de software copiaran el slogan: “0 Defectos”, pero no es así. Así que algo tenemos que hacer ante el panorama al que nos enfrentamos, sobre todo porque la confianza ciega en la tecnología no parece ser la solución. El tema de la calidad es como el de la belleza, está en los ojos del que lo ve, por lo que los absolutos no cuentan.
La tecnología es como una lupa, magnifica las cosas. Internet, poderosa herramienta, ha magnificado el impacto de los riesgos que ya teníamos adentro de nuestras empresas.
En las pasadas semanas hemos encontrado que el defender el perímetro (la división entre lo que se considera dentro de la empresa y fuera de ella –el Internet) y prevenir los ataques no es suficiente. Las herramientas de ataque se han hecho más poderosas y también más accesibles para un mayor número de actores, mismos que tienen diversos motivos como ya mencioné.
Por una parte, debemos asumir que los bichos ya andan en nuestras redes, explorándolas, escondiéndose en las sombras, en el tráfico normal. Recolectando información que puede ser usada para atacarnos. Vulnerabilidades, defectos en el software, permisividad de acceso entre otras cosas.
Nuestros analistas de seguridad de información necesitan herramientas automatizadas que los ayuden a detectar anomalías. Las anomalías más sencillas de detectar son las que se presentan de manera masiva, de un golpe, las más complicadas son las que andan en nuestras redes sin generar mucho tráfico, silenciosas. Hablamos de big data, aprendizaje automatizado, aprendizaje profundo, y ciencia de datos, bueno, aquí tenemos una aplicación en donde los seres humanos no somos buenos y necesitamos ayuda.
Otro tema es encontrar como colaborar para compartir experiencias en el área y lo que sucede en nuestro país en este respecto.
Recordemos: En seguridad no existe 100%, nadie te la puede garantizar. Tenemos que tener la triada: Prevención, Detección y Respuesta. En el mundo real existen situaciones como las pandemias y epidemias de enfermedades que no tienen cura y son contagiosas. En ella se utiliza esta triada. También debemos saber que hacer antes, durante y después de un ataque.
Las grandes empresas, quiero creer, tienen el presupuesto, las habilidades y el conocimiento, así como la actitud para atender estos retos. El verdadero reto está en la pequeña y mediana empresa, al ser la seguridad de información un traje a la medida, todavía la industria no encuentra como atenderla de manera efectiva en costo/beneficio. Una realidad es que existe una carencia de profesionales en el área de seguridad de información y la técnica preferida por muchos proveedores es vender mediante el miedo. La realidad es que la protección de los activos (incluyendo los de información) se aprende, no es innata como la auto conservación personal.
El tener un negocio, de manera implícita, significa administrar los riesgos, sin embargo, esa administración de riesgos la realizamos de manera inconsciente y en vez de detectar los riesgos, administrarlos formalmente: aceptarlos, mitigarlos o eliminarlos, simplemente los ignoramos.
Para las empresas medianas y pequeñas recomiendo (ojalá solo fueran tres cosas, o cinco cosas, pero no todo en la vida es breve y se puede poner en listas cortas):
Estas recomendaciones, no son todas, pero pueden servir como un punto de inicio, recordemos: Prevención, Detección y Respuesta,
Con la dependencia de la tecnología en nuestra vida diaria, espero que algún día en las casas los adultos aprendamos al respecto y enseñemos a nuestros hijos a entender los temas de seguridad de información y en las escuelas, no sólo se les enseñe a usar los procesadores de palabras, sino a entender como mitigar los riesgos del mundo en línea.
El tema de la seguridad de información es como el de las epidemias y el de las enfermedades incurables. Se necesita disciplina y no bajar la guardia. Pero también detectar y responder a la contingencia. Y si la prevención funcionara ya no tendríamos enfermedades crónicas como la diabetes tipo II, así que entendamos nuestros sesgos cognitivos y aprendamos tomar decisiones a pesar de ellos.
Aunque sé que es utópico, creo que debemos seguir insistiendo en software con cero defectos. Espero que cuando los vehículos sean autónomos y dependan del software, las medidas de seguridad que la industria del transporte ha establecido nos ayuden a contar con software más seguro en otras industrias.
Que tengan un muy buen día y excelente semana.