Gestión de riesgos: ¿Se la va a jugar?

Cuando las empresas sacan un nuevo producto al mercado, administran su producción o definen el presupuesto del próximo año suelen emplear técnicas de gestión que les permitan identificar las potenciales debilidades asociadas a sus próximas inversiones.

La gestión de riesgos IT ya es un campo maduro regulado por numerosas normativas como la ISO 31000, el modelo de las Cinco Fuerzas de Porter o la Matriz de Ansoff. Estas regulaciones le permiten evaluar el riesgo de una posible inversión y también le proporcionan las herramientas necesarias para anticipar y abordar potenciales interrupciones de su actividad. Recuperarse de la inversión en un proyecto equivocado siempre es mucho más fácil cuando implementa una planificación adecuada.

No obstante, si no invierte en seguridad IT no podrá permitirse cometer ningún error.

Aunque suene muy radical, es un hecho, tal y como lo demuestra una encuesta que la Alianza Nacional de Seguridad Cibernética (NCSA) de EE. UU. llevó a cabo en 2019. Según este estudio, en 2019 el 28% de las pymes sufrieron una violación de datos, de las cuales un 25% se declaró en bancarrota.

Ahora que ya conoce estos datos, ¿no le preocupa invertirlo todo en la planificación de su negocio sin tener en cuenta la seguridad de su infraestructura IT?

Entender qué es la Gestión de Riesgos de Seguridad IT

Aunque pueda parecer una tarea monumental, conocer el riesgo de exposición cibernética de su actividad es esencial. Por suerte, usted no está solo. A nivel nacional existen gobiernos, sectores y organizaciones que proporcionan reglamentos y normativas que ayudan a clarificar las obligaciones de los negocios y a proteger las operaciones de las empresas.

Muchos de estos marcos ofrecen orientación y mejores prácticas para hacer frente a los riesgos cibernéticos, como las normativas de referencia comunes ISO 27001, IEC 62443 y NIST.

Uno de los requisitos que suele aparecer en estas normas de seguridad es la reducción de la superficie de ataque de la infraestructura IT, sobre todo a la hora de controlar y proteger las cuentas privilegiadas. Esto es, gestionar los accesos privilegiados de las cuentas de los «superadministradores» con permisos elevados para modificar los sistemas, datos y recursos IT más sensibles y acceder a ellos.

Los Usuarios Privilegiados son un riesgo de exposición perpetuo

Las cuentas con privilegios encabezan la lista de riesgos informáticos. Este tipo de cuentas constituyen un objetivo ideal para aquellos que tienen no muy buenas intenciones ya que, a partir de una única cuenta, un atacante puede conseguir extraer, manipular, cifrar datos críticos o incluso infiltrarse mucho más adentro de su infraestructura y operaciones.

Tener unas nociones básicas sobre los riesgos le permitirá desplegar las herramientas adecuadas para proteger a sus cuentas privilegiadas.

• Su primera preocupación con respecto a las cuentas privilegiadas: el Acceso Remoto

Los empleados que trabajan a distancia o aquellos que son externos a la empresa y que se dedican al mantenimiento gestionando su infraestructura crítica exponen su red a una cantidad inmensa de nuevos riesgos. Puede que muchos de sus usuarios remotos, cuando se conectan a activos informáticos desde fuera de su red corporativa, dispongan de privilegios elevados para operar en sus sistemas críticos. Y, sin embargo, estos usuarios…

• no se benefician de la protección perimetral de su red;
• no son visibles y, por lo tanto, usted no puede comprobar su identidad; y
• pueden conectarse desde endpoints que no están controlados o que son vulnerables.

No confíe en nadie

Puede que esta afirmación no suene muy bien pero si quiere garantizar la protección de su infraestructura es imprescindible que no confíe automáticamente en sus usuarios privilegiados de confianza. Se estaría equivocando si considera que, técnicamente hablando, sus usuarios internos son mucho más fiables que los externos. He aquí una serie de razones:

• Los humanos son impredecibles: los empleados con privilegios elevados siempre pueden cometer errores y, por ejemplo, seleccionar un comando o sistema crítico equivocado
• Muchos empleados pueden ser víctimas de sofisticados fraudes o caer en complejos intentos de phising 
• Y, finalmente y por desgracia, la venganza de los empleados es una realidad

Mitigar los riesgos asociados a las cuentas privilegiadas: Una sencilla solución

Proteger a los usuarios privilegiados y, más concretamente, el acceso privilegiado, puede ayudarle a reducir drásticamente la exposición de su infraestructura. Las políticas bien planificadas de protección del acceso privilegiado deben incluir los siguientes mecanismos:

Protección perimetral de la infraestructura crítica

Aislar sus activos críticos y securizar el acceso a ellos es vital. Las soluciones de Gestión de los Accesos Privilegiado (PAM) proporcionan una serie de capacidades importantes que hacen que, una vez que aisla los activos, usted puede conceder un acceso seguro y controlado cuando sea necesario. También puede asegurarse de que tan solo la persona adecuada pueda acceder al sistema correcto por la razón apropiada. Se acabaron los usuarios con privilegios excesivos y sin ningún tipo de control.

Gestión de las identidades

Las soluciones de gestión de los accesos, con el fin de mitigar los riesgos asociados a la responsabilidad y gestión de las identidades de los usuarios remotos (es decir, la verificación), pueden proporcionar varias funciones adicionales:

• Un portal web para habilitar el acceso remoto seguro y reducir la superficie de ataque de su infraestructura a la vez que se facilita el acceso a los usuarios externos.
• La integración de la solución Identity-as-a-Service (IDaaS) ofrece unas opciones de seguridad contextuales para adaptar la autenticación según se necesite y así asegurar la identidad de un usuario basándose en su ubicación, entre otros factores.

Principio del Menor Privilegio

Una manera eficaz de asegurarse de que un usuario con privilegios no pueda dañar su infraestructura es simplemente eliminando privilegios. Sin embargo, lo más probable es que, si de repente un usuario de este tipo se encuentra con que no tiene acceso a los recursos necesarios para llevar a cabo su trabajo esta drástica medida tenga un impacto significativo tanto en el propio usuario como en su productividad. Al implementar la política del Principio del Menor Privilegio, por ejemplo con una solución de gestión de privilegios de los endpoints, usted puede restringir los privilegios de acceso al mínimo y facilitar el rendimiento del trabajo. De esta forma, tan solo el privilegio correcto se administrará al usuario adecuado durante el periodo de tiempo necesario y por la razón apropiada.

Seguridad bien planeada: Ya no es necesario jugársela

Los riesgos están en la propia naturaleza de los negocios. Optimizar la producción, seleccionar el equipo, definir el presupuesto… todo es cuestión de tomar las decisiones informadas, calculadas y adecuadas para conseguir que su organización tenga mucho éxito y pocas pérdidas. Lo mismo se aplica a la gestión de riesgos cibernéticos: si planea su estrategia correctamente e implementa las protecciones adecuadas, su empresa estará alcanzará el estrellato.