Krypton Solid

Krypton Solid
Krypton Solid

La última tecnología en raciones de 5 minutos

Identificar brechas en los procesos de ciberseguridad para reducir el riesgo organizacional.

Los ciberataques van en aumento y las cifras de predicción no son alentadoras.

La mitad de todos los que respondieron a la encuesta de ISACA sobre el estado de la ciberseguridad de 2018 dijeron que experimentaron un aumento en la cantidad de ciberataques el año pasado, y el 80% dijo que es probable o muy probable que experimenten un ataque en 2018.

«Nunca estará 100% seguro, por lo que siempre habrá esas preguntas: ¿Tengo una brecha en mi seguridad? [layers], ¿cómo puedo medir dónde estoy y cómo puedo mejorar gradualmente? ”, dijo Rich Licato, CISO de Airlines Reporting Corp. (ARC) y miembro de ISACA, una asociación profesional internacional centrada en la gobernanza de TI.

El riesgo organizacional y las vulnerabilidades de seguridad cibernética siempre existirán en las empresas modernas. Pero a medida que la cantidad de amenazas sigue aumentando, los expertos dijeron que identificar y tomar medidas para cerrar las brechas de seguridad evitables representa oportunidades reales para fortalecer las defensas empresariales.

Llenar estas brechas de ciberseguridad se ha convertido en una preocupación de alto nivel en los últimos años, ganando más atención por parte de los directores ejecutivos y las juntas directivas, y con razón: Minerva Labs encuestó a 600 profesionales de seguridad y descubrió que dos tercios no creen que sus controles puedan prevenir un ataque de malware significativo en sus puntos finales; El 75% no cree que sus soluciones de malware existentes puedan detener más del 70% de las infecciones; ya la otra mitad le preocupa que las capacidades de evasión de análisis o sin archivos del software malintencionado puedan superar sus medidas de seguridad.

CONTENIDO RELACIONADO  Las empresas de servicios de TI hacen del marketing una preocupación fundamental

La Encuesta de CIO de Harvey Nash / KPMG de 2018 encontró que mejorar la ciberseguridad se encuentra entre los principales problemas comerciales, y el 49% de los 3.958 CIO y líderes de tecnología que respondieron lo enumeraron como una de las áreas principales que sus juntas quieren que aborde la TI.

Pero los expertos en ciberseguridad dijeron que los CISO que implementan políticas genéricamente amplias sin considerar su propio riesgo organizacional único a menudo pasan por alto vulnerabilidades críticas.

«Principalmente vemos brechas de seguridad porque la mayoría de los lugares no lo hacen de manera integral», dijo Mischel Kwon, fundador y director ejecutivo de MKACyber ​​Inc., una empresa de Fairfax, Virginia, que brinda servicios de consultoría en ciberseguridad.

«Están cumpliendo con la seguridad: están reduciendo las regulaciones y marcando la casilla. O son personas de metodología de seguridad de objetos brillantes: ven algo brillante y lo implementan. Y cuando eres uno de esos dos tipos, es difícil no tener brechas de seguridad «.

Kwon y otros coincidieron en que los marcos como NIST 800-53 son fundamentales para formular estrategias sólidas de ciberseguridad. Sin embargo, estas estrategias aún deben adaptarse a la organización en función del riesgo organizacional único del negocio.

«Si intentara aplicar todos los controles, sería un esfuerzo absurdo», dijo Frank Downs, director de prácticas de ciberseguridad de ISACA. «El objetivo de la guía es ver qué es lo correcto para usted; aquí entra en juego la discreción organizacional».

Incorporar la seguridad en las primeras etapas del proceso de desarrollo

Los profesionales de la seguridad están sintiendo los efectos del rápido ritmo de cambio actual a medida que se enfrentan a normativas, tecnologías y estrategias comerciales de privacidad y seguridad en constante evolución.

Hay una brecha en lo que consideramos «seguro por diseño». La seguridad debe estar en la parte delantera.

Tony BuffomanteLíder estadounidense en servicios de ciberseguridad, KPMG

«El ritmo está afectando la capacidad de seguridad para mantenerse al día», dijo Tony Buffomante, líder estadounidense en servicios de ciberseguridad de la consultora KPMG.

Sin embargo, no es solo el ritmo lo que puede ser un problema, dijeron Buffomante y otros; también es una cuestión de tiempo. Con demasiada frecuencia, las organizaciones adoptan iniciativas móviles, de IoT o de IA sin la participación del personal de seguridad en las primeras etapas.

«Hay una brecha en lo que pensamos como ‘seguro por diseño'», dijo Buffomante, y señaló que ha habido un problema de larga data con el negocio y la tecnología moviéndose primero y luego trayendo seguridad al proyecto más tarde. «La seguridad debe estar en la parte delantera».

Las empresas donde los líderes de seguridad comprenden las necesidades comerciales de la empresa y el riesgo organizacional asociado pueden cerrar parte de esa brecha, dijeron los expertos.

Por ejemplo, ninguna empresa puede prepararse completamente para un ataque de día cero. Pero muchas empresas sufren ciberataques exitosos que explotan vulnerabilidades conocidas en su pila de tecnología porque se retrasaron en la aplicación de parches o la implementación de actualizaciones de seguridad, dijo Downs.

Los expertos coincidieron en que un enfoque estático de la seguridad puede crear una serie de brechas en las defensas empresariales.

«Considérelo como un programa de proceso continuo que configuró», dijo Licato. «Nunca terminas. Siempre estás evaluando dónde estás y dónde quieres estar, y eso está cambiando constantemente».

Licato realiza auditorías anuales y busca certificaciones externas como la ISO / IEC 27001 como parte de la evaluación de su equipo de las defensas de ciberseguridad de la empresa. Utiliza tales revisiones no solo como un informe sobre las tareas completadas, sino como un punto de partida para el trabajo futuro.

“Así es como terminamos creando nuestro plan estratégico, qué vamos a hacer este año y el próximo. Es una autoevaluación continua”, agregó.

Cerrando la brecha de la ciberseguridad

La mayoría de las organizaciones tienen un número creciente de herramientas destinadas a frustrar los ataques, pero un gran volumen de tecnologías de seguridad distribuidas en pilas de tecnología cada vez más complejas también oculta las posibles vulnerabilidades de seguridad cibernética, dijo Kwon.

«Pueden tener una brecha en la visibilidad, una brecha en lo que está sucediendo si no están administrando bien sus datos de seguridad», dijo.

Explicó que a las empresas les resulta difícil asegurarse de que el contenido de los diferentes sistemas (como los detalles del servidor de seguridad y del proxy) coincida para crear una vista holística que luego se puede evaluar para determinar el éxito frente a las necesidades de seguridad de la organización.

Para evitar puntos ciegos, Adrian Asher, CISO del London Stock Exchange Group, dijo que los líderes de seguridad deben invertir en tecnologías de detección, reactivas y receptivas, así como capas protectoras. Por ejemplo, dijo que agregó Morphisec para mover la defensa contra amenazas después de identificar una vulnerabilidad a esa clase de ataque en sus capas de seguridad existentes.

Las empresas también deben estar preparadas para agregar esas nuevas capas a medida que surgen y a medida que evolucionan las necesidades empresariales, dijo.

«Tienes que diseñar flexibilidad en tu arquitectura», agregó Asher, «porque si surge algo, entonces eres capaz de reaccionar».

¡Haz clic para puntuar esta entrada!
(Votos: Promedio: )

También te puede interesar...

¿Qué es el mapeo de la cadena de valor?

Mapeo de flujo de valor es una herramienta de visualización de manufactura esbelta para registrar todos los pasos repetibles que se requieren para llevar un producto al mercado. El mapeo de la cadena de valor

¿Qué esperan los clientes de un SLA?

¿Qué buscan los clientes en los acuerdos de nivel de servicio (SLA) para los servicios de recuperación de desastres basados ​​en la nube? No todas las ofertas de recuperación ante desastres como servicio (DRaaS) se

¿Qué son las gafas de Google y sus beneficios?

Google Glass es un dispositivo Android portátil controlado por voz y movimiento que se asemeja a un par de anteojos y muestra información directamente en el campo de visión del usuario. Google Glass ofrece una

¿Qué es una red neuronal artificial (ANN)?

¿Qué es una red neuronal? En tecnología de la información (TI), una red neuronal artificial (ANN) es un sistema de hardware y / o software que sigue el patrón del funcionamiento de las neuronas en

Mantener un programa de gestión de vulnerabilidades

En este consejo, exploramos el tercer requisito principal de PCI DSS: mantener un programa de gestión de vulnerabilidades … Esta parte del estándar contiene requisitos que cubren software antivirus, codificación segura, administración de parches y

Temas de VMware – BuscarVMware

Los componentes de redes y hardware de un centro de datos pueden mejorar en gran medida el retorno de la inversión (ROI) de su entorno VMware, ya que el rendimiento resultante depende en gran medida

¿Qué es Windows 2000? – Definición de Krypton Solid

Windows 2000 (W2K) es una versión comercial más del sistema operativo Windows en evolución de Microsoft. Anteriormente llamado Windows NT 5.0, Microsoft enfatiza que Windows 2000 es evolutivo y «construido sobre tecnología NT». Windows 2000

¿Qué es VCAP (VMware Certified Advanced Professional)?

VMware Certified Advanced Professional (VCAP) es el tercer nivel de certificación más alto de VMware. Se requiere una certificación VMware Certified Professional (VCP) antes de intentar la certificación VCAP. VMware actualmente ofrece tres pistas de

Comprender el papel de la empresa inteligente en RR.HH.

A medida que las aplicaciones en la nube SaaS, los sistemas ERP y la conectividad continúan desarrollándose, los proveedores están construyendo sistemas empresariales inteligentes que operan de manera más inteligente y permiten un uso rápido

Cómo resolver el código de fin anormal 4038

Q:Estamos involucrados en la migración de LE desde tiempos de ejecución VS COBOL II. Me enfrento a una terminación anormal de CEE3204s (S0C4) mientras llamo a una rutina (programa A), que es un código generado

¿Qué es Atlantis Computing? – Definición de Krypton Solid

Atlantis Computing es un proveedor de software y hardware de infraestructura hiperconvergente (HCI). La empresa ofrece dispositivos hiperconvergentes y software HCI para infraestructura de escritorio virtual (VDI), virtualización de servidores y aceleración de bases de

Por qué un paquete COTS requiere pruebas

¿Está probando un sistema de software comercial listo para usar (COTS)? ¿Por qué sería necesario probar un paquete COTS? A menudo, los gerentes de proyecto y otras partes interesadas creen erróneamente que uno de los

Dominar MySQL: Diez consejos esenciales

Comenzar con el sistema de administración de bases de datos relacionales de código abierto, MySQL, no tiene por qué ser difícil. Aquí, hemos dejado de lado nuestros útiles consejos sobre MySQL en los que más

Fsutil limpia el exceso de transacciones antiguas

Al leer TenForums este fin de semana, encontré una nueva fuente potencial de consumo de espacio en disco en Windows. Resulta que NTFS a veces puede asignar mucho espacio para transacciones. Utiliza una función incorporada

Nuevos métodos para enfriar centros de datos

Entre la demanda de la administración de costos más bajos y el mayor enfoque de la sociedad en la eficiencia energética, se encuentra el dilema de los centros de datos de refrigeración. Si puede responder

Fraude de ciberseguridad avanzada y cómo combatirlo

El ímpetu detrás del fraude en ciberseguridad tiene raíces históricas profundas. Considere la historia de los comerciantes marítimos griegos Hegestratos y Xenothemis, que solicitaron un seguro contra su barco y su cargamento de maíz en

Sube a la carrera de ingeniero de redes en la nube

A medida que las empresas buscan modelos híbridos y de múltiples nubes, las habilidades de redes tienen una gran demanda. Se necesita un personal experimentado para conectar múltiples entornos de TI, y aquí es donde

Scrum y recopilación de requisitos

Hola. Somos una empresa muy pequeña interesada en ágil, específicamente Scrum. Me pregunto si obtener la certificación en Scrum sería realmente útil o si podría prescindir de esta certificación. La recopilación de requisitos ha sido

Protocolo de voz sobre Internet (VoIP)

Por Stephen J. Bigelow, escritor senior de tecnología Las empresas tradicionalmente se han enfrentado a dos redes: una para transportar datos y otra (mucho más antigua) que transporta voz. La voz y los datos existían

¿Qué es una clave de cifrado?

¿Qué es una clave de cifrado? En criptografía, una clave de cifrado es un valor variable que se aplica mediante un algoritmo a una cadena o bloque de texto sin cifrar para producir texto cifrado

Deja un comentario