Revista trendTIC Edición N°12

ESPECIAL
ESPECIAL
Mario Fernández
CCU
Santiago Fernández
SEIDOR
Consideraciones para una estrategía de
CIBERSEGURIDAD
Es un martes 20 de junio, una fría
mañana en que distintos actores de
ciberseguridad tienen una cita con la
revista trendTIC en las dependencias
de la cámara de comercio de Santiago.
Son las nueve de la mañana y
ya el frío se disipa frente a una gran
mesa en la cual nos comenzamos a
instalar. Entre los convocados, están
CISOs (de su sigla en inglés: Chief
Information Security Officer), responsables
de la ciberseguridad que se
desenvuelven o en el ámbito de las
TI, o por el lado del riesgo del negocio
de distintas industrias: finanzas,
transporte, telecomunicaciones, como
también integradores y fabricantes.
Diversos ámbitos de la ciberseguridad
estuvieron presentes y muy bien representados,
por lo que tenemos la
convicción de que el resultado de esta
conversación y las respuestas a las
preguntas que se fueron desarrollando,
nos ha dado como resultado un
valioso aporte para contribuir en las
estrategias de ciberseguridad de las
empresas.
Luego de una introducción y saludo
general, entramos en tierra derecha
cuando les planteo una frase que se
le atribuye a Bruce Schneier, un famoso
criptógrafo norteamericano y
autor de varios libros; la frase dice
lo siguiente: “si crees que puedes
resolver los problemas de seguridad
con la tecnología, no sabes de tecnología”.
Frente a un grupo de experimentados
especialistas, la obtención de información
de calidad no se deja esperar
y pregunto:
¿Son las personas, realmente el
eslabón más débil para la ciberseguridad
en una empresa?
De alguna manera todos asienten y
el primero en responder es, Alejandro
Figueroa - Gerente de Engineering
Risk & Corporate Assurance BBVA: “Yo
creo que definitivamente si, los grandes
eventos que han venido ocurriendo
en los últimos años, demuestran
que se han abierto grandes brechas
por el factor humano.
Lo de wannacry es sólo un ejemplo, y
lo que ha pasado también con otros
casos de conocimiento público y que
han afectado a empresas de renombre
como Target y Sony, es un poco de
lo mismo. Sin una adecuada concientización
de las personas orientada a
que estén al tanto de lo que está ocurriendo
hoy en día y que tomen conocimiento
de las principales amenazas,
el papel que cada uno de ellos debe
jugar en la organización y los cuidados
que deben tener presentes en el
uso de sus sesiones, entre otras cosas;
será muy difícil poder enfrentar
estas materias, más si consideramos
que las amenazas van a velocidades
que son mucho más rápidas que la
evolución de las tecnologías que nos
permite protegernos de ellas.
“si crees
que puedes
resolver los
problemas de
seguridad con la
tecnología, no
sabes de
tecnología”
De ahí la importancia del rol de las
personas dentro de las organizaciones
para poder contrarrestar este tema”.
Luego, la respuesta es complementada
por Wilson España - Subgerente
Seguridad – Redbanc y presidente del
capítulo chileno de ISC2: “Coincido
con Alejandro en que los incidentes
siempre se manifiestan por los usuarios,
pero yo creo que hay que ponerle
un matiz a eso que es algo que debemos
entender las personas que traba-
jamos en seguridad: que eso es circunstancial,
es como un objetivo.
El eslabón más débil siempre lo asociamos
a los usuarios, porque es el
área más difícil de abordar desde el
punto de vista de creación de conciencia.
También podría ser el eslabón
más débil un aspecto tecnológico. Es
circunstancial, al ser difícil de abordar
siempre caemos en el mismo tema.
Los profesionales de seguridad debemos
entender que es circunstancial y
debemos trabajar en ese eslabón más
débil para hacerlo el más fuerte.
Las organizaciones que tienen alto
grado de madurez con sus empleados,
este eslabón se transforma en algo
gravitante en la política interna, en
el ambiente de seguridad que se vive.
No hay que quedarse tan sólo con que
es algo derrotista y que no podemos
hacer nada con este eslabón más débil”.
A lo que Andrés Muñoz - CISO-GRC
Chile/Perú/Uruguay DirecTV, agrega:
“Puedes tener la mejor tecnología del
mundo, pero si no tienes gente que
sepa usarla, aplicarla y tener usuarios
que sepan seguir las normativas,
las cosas van a estar mal. Todo
esto es un conjunto, van alienados.
Si no capacitamos a nuestros usuarios
en un buen uso de las herramientas
corporativas, en el uso de
internet, el uso del correo, estamos
mal. Por ejemplo, un usuario puede
traer un pendrive y al conectarlo infecta
toda la red. Entonces tiene que
haber una relación activa en capacitación
constante a los usuarios”.
Y sobre la capacitación, una participación
que muchas veces no se considera,
pero que se puede transformar
en un factor importante para la transmisión
del mensaje. Aquí es clave el
involucramiento del área de recursos
humanos de las empresas, pues son
ellos quienes pueden facilitar las herramientas,
habilidades o la forma de
entregar el contenido con la mejor recepción
posible.
10 www.trendTIC.cl
Julio - Agosto 2017 Julio - Agosto 2017 11
www.trendTIC.cl