Seguridad basada en riesgos: todo lo que necesitas saber

Las entidades comerciales y los usuarios habituales valoran enormemente las comodidades y los aspectos funcionales que brinda el entorno digital. En cuanto a las organizaciones, la obtención de ventajas es aún más significativa, dado que son numerosos los procedimientos que se benefician de la rapidez que ofrece la conectividad a redes e Internet.

No obstante, para que los usuarios disfruten de una navegación segura y, por ende, logren procesos internos eficientes, comunicaciones más ágiles, incremento en la productividad y penetrar en el mercado global, es imprescindible contar con una adecuada y eficaz ciberseguridad.

De acuerdo con la firma de consultoría Gartner, los directivos de Tecnologías de la Información en las empresas deben participar en programas de capacitación continua y desarrollo para emplear herramientas que garanticen la creación y el mantenimiento de un entorno seguro dentro de las redes corporativas. En este contexto, se prevé un aumento en la implementación de herramientas avanzadas para la evaluación y mitigación de riesgos.

Gartner señala que, aunque el modelo de defensa actual puede no ser suficiente para resguardar a la compañía, el departamento de TI reaccionará de forma automática para instaurar un nuevo método de seguridad cibernética. Los expertos del sector comentan que, a medida que se complica la red empresarial, aumenta el reto de preservarla en un estado seguro.

La explicación es clara: con la expansión continua de la infraestructura de Internet y la informática móvil, los accesos a los datos empresariales se incrementan. Así, cada acceso representa una posible brecha de seguridad, sin importar su ubicación o el dispositivo empleado para acceder. La situación se torna aún más alarmante cuando se utilizan dispositivos personales tanto dentro como fuera de la organización.

Es relevante destacar que las amenazas de hackers son palpables. Según un estudio reciente de seguridad en línea publicado por Semana de Internet, el 60% de los encuestados ha enfrentado amenazas externas en más de 30 ocasiones, ya sea a través de correos electrónicos, enlaces dañinos u otros medios. Este panorama acarrea elevados riesgos, con estimaciones que sugieren que la pérdida de productividad o de datos cruciales debido a ciberincidentes le cuesta a las empresas más de cinco mil millones de dólares anualmente.

Para que un proyecto de gestión de riesgos en ciberseguridad funcione de manera efectiva, Gartner expone que el departamento de TI debe tener acceso completo y control sobre la red. Sin embargo, con el aumento de dispositivos móviles en las organizaciones, los desafíos relacionados con la seguridad móvil se han vuelto cada vez más complejos para los expertos en la materia. ¿Cuál es el enfoque adecuado para enfrentar este panorama en expansión? Al final, es habitual que los empleados utilicen sus dispositivos para actividades laborales, como revisar correos electrónicos.

En estas circunstancias, la seguridad debe ser prioritaria, pero la productividad tampoco puede verse comprometida ni causar descontento en los trabajadores. Esto pone de manifiesto que el entorno general deberá adaptarse cada vez más a las exigencias del usuario móvil, lo que requerirá que los departamentos de TI enfrenten desafíos en la gestión, sin perder el control sobre los dispositivos utilizados por los empleados.

Seguridad

El equipo de TI de la empresa debe desempeñarse bien y seguir ciertos procedimientos. Inicialmente, es necesario desarrollar estándares que identifiquen la información clave que debe protegerse y definan quién tendrá acceso a ese recurso dentro de la organización y cómo será ese acceso. Esta medida tiene como objetivo establecer un plan de seguridad y su apoyo sistemático.

Vale recalcar que en ese momento es necesario poner en práctica la sigla EPHG, que significa Evaluar, Proteger, Habilitar y Gestionar. Estas categorías respetadas sistemáticamente ayudan mucho en la seguridad corporativa. El siguiente paso es evaluar las vulnerabilidades y garantizar el cumplimiento de la política de seguridad de la empresa, así como proteger el sistema de información, posibilitar el uso seguro de Internet y gestionar la administración de los usuarios y sus recursos. Reforzando el hecho de que no importa desde qué dispositivo se acceda, la seguridad debe estar presente en toda la red.

Recientemente, el especialista en ciberseguridad Tripwire publicó los resultados de un gran estudio sobre el estado de la gestión de seguridad basada en riesgos realizado con el Instituto Ponemon. El estudio analizó las principales métricas de seguridad basadas en riesgos que los gerentes de TI deberían analizar y los tipos de seguridad más utilizados en las organizaciones.

Esta investigación incluyó tiempo para corregir violaciones de políticas, puntos finales no infectados, violaciones de datos, reducir los costos de seguridad, capacitar a los usuarios finales y reducir el tiempo de inactividad no planificado del sistema.

La investigación realizada en EE. UU. y el Reino Unido incluyó a profesionales en los campos de la ciberseguridad, operaciones de TI, gestión de riesgos de TI, operaciones comerciales, inspección y auditoría internas, así como gestión de riesgos empresariales. El estudio encontró que solo el 19% de los encuestados considera que la cantidad de registros o archivos detectados son violaciones de cumplimiento, y otro 16% cree que la reducción identificada en los certificados vencidos, incluidas las claves SSL y SSH, es una métrica efectiva.

Entre las métricas de gestión de amenazas, el porcentaje de punto final libre de malware y los virus están a la cabeza, hasta el punto de que el 45% de los responsables de seguridad lo citan como un parámetro fundamental para gestionar las amenazas.

La investigación también encontró que sólo el 8% de los gerentes de seguridad utilizan el desempeño del usuario en pruebas de concientización sobre retención de seguridad como medio para medir la efectividad de la seguridad.