Revista trendTIC Edición N°15

ESPECIAL
ESPECIAL
Negarse hoy a las
herramientas
N
de
Seguridad en la ube,
es negarse al futuro
Por Patricio Jaca
Subgerente de Seguridad de la Información en Transbank
En los últimos meses Chile ha sido escenario
de una ajustada agenda en
Transformación Digital, la que específicamente
en el sector financiero y
banca, se centra en automatizar procesos
que disminuyan la probabilidad de
errores en las operaciones. También se
ha puesto especial énfasis en la utilización
de tecnologías que permitan la
ágil disponibilidad de recursos y que, a
su vez, sea escalable, aumentando así
su efectividad y acortando los plazos de
innovación.
Pese a esta oleada de innovación aplicada,
el sector financiero sigue siendo uno
de los objetivos predilectos del cibercrimen.
En este sentido, la seguridad de la
información ha pasado a ser parte estructural
de muchas compañías, aunque
en el mercado nacional ha sido difícil la
alineación de la estrategia de negocio y
la nueva cultura de seguridad, la cual
es vista erróneamente como adversaria
al negocio.
Siempre hay regulaciones que empujan
a las empresas a tener que considerar
el tema de seguridad desde lo impositivo,
convirtiéndose en proyectos críticos
para la compañía.
En las áreas tecnológicas y de riesgo,
es natural el proceso de cambio de la
cultura de seguridad y el impacto es
menos duro; sin embargo, en áreas
más funcionales, cuesta transmitir estándares
y buenas prácticas que le den
continuidad.
Justamente, el principal desafío en las
compañías, está en la adquisición de
prácticas de seguridad por parte de las
personas. Se pueden implantar controles
y mitigantes, infraestructura y
herramientas de control; pero si no se
fortalece la cultura de seguridad en las
personas, que son el eslabón más débil
de la cadena, todo esfuerzo puede ser
en vano.
La cultura promovida por el área de
riesgo de las compañías financieras, ha
logrado permear a las áreas de gerencia
y negocios, respecto de la relevancia de
la seguridad en los procesos de trabajo
y la estrategia del negocio. Pese a ello,
algunas empresas todavía ven la inversión
en seguridad como un costo hundido.
Lamentablemente, solo se dimensiona
su importancia tras experimentar
ataques o vulneraciones, que pueden
impactar negativamente en el negocio.
En algunos casos, las áreas de seguridad
tienden a minimizar el riesgo; o
bien, hay desconocimiento, ya que ciertos
eventos son atribuidos a causas técnicas
distintas a las características de
un ataque informático. ¿Qué podemos
esperar de las áreas funcionales y de
negocios, si los encargados de seguridad
no están conscientes del problema?;
es decir, experimentamos la carencia
de estándares y una cultura de
seguridad en todos los niveles de la organización.
A lo anterior, se suma una comunidad
empresarial que aún evita compartir y
socializar experiencias de incidentes relacionados
a Seguridad de la Información,
lo cual está comprobado es una
forma de fortalecer a la industria. Por
eso, debemos comprender que transparentar
este tipo de eventos, fomenta
una cultura de seguridad solidaria y
colectiva, permite mejorar protocolos y
aprender de los éxitos y los errores sin
esperar a vivirlos en carne propia.
En 2015 sufrimos uno de los ataques
de denegación de servicio distribuido
(DDoS) más grande de la historia de
Chile. La experiencia nos ayudó a tomar
conciencia y dimensionar los riesgos,
para hoy tener mejores procesos definidos,
roles y monitoreos exhaustivos,
sobre todo en eventos críticos como
Cyber Monday, Cyber Day y Navidad.
Desde entonces, hemos promovido una
cultura de seguridad, compartiendo los
aprendizajes en diversas charlas dirigidas
a industrias financiera, retail y la
banca.
Esta experiencia nos enseñó, desde el
punto de vista de la estrategia de selección
de las herramientas de protección,
que lo mejor es llevar la defensa y el
control lo más lejos del perímetro web
de nuestro negocio. De esta manera, si
se intenta contener un ataque en nuestro
propio espacio, dependerá mucho de
los recursos y las herramientas instaladas,
y se asume el costo de que el
atacante ya llegó a la puerta de nuestra
casa, y si logra vulnerar nuestro límite,
¡Ya está adentro!
En cambio, si aplicamos una estrategia
de seguridad más proactiva, trasladamos
la amenaza lo más lejos posible,
al carrier o a la nube; lo cual quiere decir
que nuestra barrera estará lejos de
nuestros datos y perímetro; y de suce-
der el ataque, el impacto será sin duda
menor en el servicio y la continuidad del
negocio. Una estrategia se seguridad
debe combinar y contemplar todas las
alternativas, ya sea ante un ataque de
menor volumen, o bien uno más agresivo
o estratégico.
Por mucho tiempo las empresas vieron
como una prohibición usar herramientas
de seguridad basadas en la nube,
y el tema cloud fue un tabú por largo
tiempo. Sin embargo, actualmente la
comunidad empresarial, que cada vez
observa con mejores ojos la cultura de
seguridad en sus compañías, comenzó a
evaluar y utilizar estas tecnologías, los
entes reguladores que antes la cuestionaban
hoy habilitan su uso e incluso la
recomienda, por lo tanto, negarse hoy
a las herramientas en cloud, es negarse
a la transformación digital y al futuro.
Algunas ventajas de asumir esta nueva
realidad en temas de seguridad, es
flexibilizar el acceso a la información
y hacer más ágiles los negocios. Esto
además, permite aprovechar las experiencias
de amenazas a nivel mundial,
mejorando el conocimiento de nuestras
herramientas, lo cual significará una
detección temprana de eventos de seguridad,
en el marco de un mundo globalizado
que opera en red. Por lo tanto,
estar conectado a la nube es una opción
indispensable en la actualidad.
Más aún, la pertinencia de una cultura
de seguridad informática, la podemos
ver reflejada en la Política General de
Seguridad de la Información, liderada
por los Ministerios del Interior y de Defensa,
la cual busca crear un repositorio
de conocimiento común sobre experiencias
de ciberseguridad. Además, se ha
actualizado nuestro procedimiento de
respuesta ante incidentes de seguridad
y uno de los focos es construir alianzas
con el Gobierno y otras empresas, para
generar conocimiento compartido, de
forma voluntaria y anónima.
En consecuencia, es importante recalcar
que Chile es un escenario donde la
seguridad es un proceso dinámico, en el
que cada día surgen nuevos riesgos y
posibilidades de enfrentarlos, siendo lo
más adecuado hacerlo a través de adquisición
y promoción de una cultura de
seguridad acorde al siglo XXI.
16 www.trendTIC.cl
Marzo - Abril 2018 Marzo - Abril 2018 17
www.trendTIC.cl