Las operaciones de seguridad digital de alta confiabilidad incorporan el factor humano como una capa esencial de defensa.<\/p>\n
A finales del 2017, un trabajador de Maersk<\/a>, el mayor conglomerado de transporte mar\u00edtimo del mundo, vio c\u00f3mo las pantallas de los computadores de repente se pon\u00edan negras y se bloqueaban irremediablemente.<\/p>\n Ocurrido debido a un malware muy avanzado que se aprovech\u00f3 de los equipos de la empresa en Ucrania, que estaban sin los \u00faltimos Parches de seguridad de Microsoft Windows.<\/p>\n El gusano viol\u00f3 el sistema de tecnolog\u00eda de la empresa y bloque\u00f3 el acceso a todos los computadores y servidores en todo el mundo. Esto interrumpi\u00f3 las operaciones de env\u00edos por varios d\u00edas.<\/p>\n Este incidente le cust\u00f3 a Maersk<\/a> nada menos que US $ 200 millones en ingresos perdidos, adem\u00e1s de causar costos no cuantificados de bienes que no se pudieron rescatar y de esfuerzos para recuperarlos. A\u00f1adi\u00e9ndole, una gran cantidad de clientes insatisfechos.<\/p>\n Lo que sucedido con Maersk es bastante com\u00fan. En el 2015, cerca de 80 millones de datos de clientes fueron robados de Anthem porque un trabajador respondi\u00f3 inocentemente un correo electr\u00f3nico de phishing. En el 2017, el Servicio Nacional de Salud del Reino Unido sufri\u00f3 un ataque de ransomware<\/a> que result\u00f3 en 19.000 compromisos cancelados, debido al uso de una versi\u00f3n desactualizada y sin parche del Microsoft Windows.<\/p>\n Ya en el 2019, los datos de 106 millones de clientes de Capital One fueron robados por causa de un firewall mal configurado.<\/p>\n Estos son solo algunos ejemplos, pues la lista contin\u00faa y no es peque\u00f1a.<\/p>\n Con la ciberseguridad en el tope de la agenda corporativa, ser v\u00edctima de una filtraci\u00f3n catastr\u00f3fica es un escenario temido de pesadilla.<\/p>\n En medio de la pandemia de COVID-19, con el aumento repentino del trabajo remoto, los cr\u00edmenes digitales han aumentando dr\u00e1sticamente<\/a>.<\/p>\n Cada vez m\u00e1s, los CEOs tienen la obligaci\u00f3n de imprimir esfuerzos para evitar incidentes digitales, lo que nos lleva a la pregunta: \u00bfc\u00f3mo?<\/p>\n Es com\u00fan escuchar que: con el uso de tecnolog\u00edas m\u00e1s avanzadas, pero a\u00fan as\u00ed eso no habr\u00eda impedido el incidente de Maersk, donde una peque\u00f1a falla humana (una actualizaci\u00f3n de software no instalada) termin\u00f3 en consecuencias catastr\u00f3ficas.<\/p>\n Claramente la tecnolog\u00eda est\u00e1 en el foco de las inversiones de la industria y se espera que esos gastos sean de unos US $ 133 billones por a\u00f1o solo en el 2022. Pero, aunque escoger la tecnolog\u00eda correcta sea esencial, la mayor\u00eda de los incidentes se tratan de lagunas causadas por el factor humano, un problema persistente y muchas veces olvidado en la seguridad digital de la mayo parte de las organizaciones.<\/p>\n Si no se aborda la cuesti\u00f3n del factor humano, se convierte en un c\u00edrculo vicioso. Cuando las empresas incorporan nuevas tecnolog\u00edas, tambi\u00e9n a\u00f1aden m\u00e1s personas y procesos.<\/p>\n Mientras eso contin\u00fae, las interacciones entre la tecnolog\u00eda, los procesos y las personas se acumulan, y el nivel de complejidad aumenta exponencialmente. En alg\u00fan momento, esa complejidad sobrecarga la infraestructura de seguridad digital y opaca las amenazas que surgen, hasta que, sobrecarga los sistemas legados, la empresa se pone lenta en comparaci\u00f3n a los cibercriminales, y ocurre el ataque.<\/p>\n Em consecuencia, la empresa busca un parche tecnol\u00f3gico para esa amenaza espec\u00edfica, y luego el ciclo se repite.<\/p>\n Cerrar la laguna del factor humano, incorporar nuevas acciones y el conocimiento colectivo como parte de la cultura y el curso normal de los negocios, no es una tarea peque\u00f1a, pero es la mejor defensa contra los ciberataques.<\/p>\n Existe una analog\u00eda para abordar este tipo de riesgo y aprovechar el factor humano como capa fundamental de defensa: la organizaci\u00f3n de alta confiabilidad (HRO), que puede ser definida como una organizaci\u00f3n que tiene un n\u00famero notablemente bajo de percances, de forma consistente a lo largo de un per\u00edodo razonable y ejecuta tareas altamente complejas e peligrosas.<\/p>\n El concepto de HRO surgi\u00f3 de pr\u00e1cticas originadas hace m\u00e1s de 60 a\u00f1os con el Programa de Propulsi\u00f3n Nuclear Naval de los Estados Unidos, que reconoci\u00f3 la necesidad de tener pr\u00e1cticas organizacionales \u00fanicas para colocar un reactor nuclear extremamente complejo en un barco, en el fondo del oc\u00e9ano, y operarlo con seguridad con una tripulaci\u00f3n joven de marineros.<\/p>\n Eso significaba evitar la cultura militar tradicional que existi\u00f3 durante siglos: seguir \u00f3rdenes, hacer lo que se pide y no hacer preguntas.<\/p>\n Tras la p\u00e9rdida del transbordador espacial de la NASA, Columbia<\/em>, el Consejo de Investigaci\u00f3n de los accidentes consider\u00f3 la marina nuclear estadounidense como el modelo m\u00e1s importante de una organizaci\u00f3n de alta confiabilidad.<\/p>\n Las ideas de HRO ganaron notoriedad como parte de la respuesta del sector energ\u00e9tico a la creciente complejidad y a cat\u00e1strofes como el desastre en Deepwater Horizon<\/em>, y luego se extendieron a los campos de la salud, manufactura y seguridad digital.<\/p>\n Las HROs son diferentes a las no-HROs, en 3 formas espec\u00edficas:<\/p>\n Las HROs muestran una alerta cr\u00f3nica \u2013 un estado de hipervigilancia ante las primeras se\u00f1ales de peligro.<\/p>\n Las HROs identifican problemas emergentes de forma temprana y responden r\u00e1pidamente para interrumpir el desarrollo del incidente.<\/p>\n Las HROs aprenden con cada evento y comparten el conocimiento r\u00e1pidamente para mejorar el sistema.<\/p>\n En la marina nuclear de EUA, significa, que todo submarino que va hacia el mar representa las lecciones acumuladas de m\u00e1s de 6.200 a\u00f1os de operaci\u00f3n de la planta del reactor.<\/p>\n Esas caracter\u00edsticas de una HRO fueron bien estudiadas y caracterizadas, pero los pilares del programa no son tan comprendidos. Los pilares operacionales individuales, al aplicarse colectivamente, dan lugar a un rendimiento superior de una HRO.<\/p>\n Esos pilares son: formalidad, nivel de conocimiento, integridad, actitud inquisitiva y respaldo activo del equipo.<\/p>\n Operaciones de alta seguridad digital (HRCOs) emplean los mismos pilares HRO para cerrar la laguna del factor humano y a\u00f1adir una capa adicional fundamental de ciberseguridad.<\/p>\n Hace tiempo que la seguridad digital dej\u00f3 de ser responsabilidad exclusiva del departamento de TI, y ser responsabilidad de todos.<\/p>\n La aplicaci\u00f3n de los 5 pilares de las organizaciones de alta confiabilidad puede ayudar a una organizaci\u00f3n a hacer que su operaci\u00f3n de seguridad digital sea de alta confiabilidad.<\/p>\n Aplicaci\u00f3n en la HRCO<\/p>\n Aplicaci\u00f3n en la HRCO:<\/p>\n Aplicaci\u00f3n en la HRCO:<\/p>\n Aplicaci\u00f3n en la HRCO:<\/p>\n Aplicaci\u00f3n en la HRCO:<\/p>\n Vamos a considerar como una HRCO se parece en la pr\u00e1ctica. Todos en una HRCO tienen un alto nivel de conocimiento<\/em>. Entienden la facilidad con que las contrase\u00f1as pueden ser comprometidas y los riesgos de un acceso no autorizado, ya que reconocen que la ciberseguridad es responsabilidad de todos. Ellos leen y toman en serio los avisos que el departamento de seguridad digital env\u00eda todas las semanas.<\/p>\n Hay un nivel de formalidad<\/em> en c\u00f3mo los procesos de seguridad se gestionan, un protocolo claro para gestionar cuentas e informaci\u00f3n privilegiada, que solo funciona cuando est\u00e1 ligado a la integridad<\/em><\/strong>, la disposici\u00f3n de operar dentro de los protocolos de seguridad, a\u00fan cuando no sea conveniente de forma personal.<\/p>\n Esa formalidad tambi\u00e9n resalta cuando algo est\u00e1 fuera de lugar o es fuera de lo com\u00fan, permitiendo una actitud dubitativa<\/em>, que evita que los trabajadores hagan clic en un correo electr\u00f3nico o URL cuestionable que parece sospechoso, como un ataque de phishing.<\/p>\n Adem\u00e1s, quienes est\u00e1n en un HRCO siempre cuentan con un apoyo mutuo \u2013 backup activo del equipo <\/em>\u2013 por lo tanto, al configurar el nuevo acceso al firewall, los miembros del equipo verifican y prueban las actualizaciones, no por desconfianza, sino para verificar su integridad y precisi\u00f3n.<\/p>\n Esos pilares pueden verse afectados por cada individuo de la organizaci\u00f3n y, por ende, servir como base para ayudarlos a transformarse en un HRCO.<\/p>\n Aunque las culturas usualmente se describan en t\u00e9rminos colectivos o descriptivos, el impacto en los comportamientos individuales es la \u00fanica forma en que realmente se podr\u00e1 cambiar esa cultura.<\/p>\n El primer paso es desarrollar un conocimiento b\u00e1sico de c\u00f3mo los individuos ven la cultura a su alrededor y lo que ellos consideran como cultura ideal.<\/p>\n En caso de que se vean lagunas importantes en el rendimiento de una cultura actualmente, pero exista un acompa\u00f1amiento organizacional muy fuerte sobre como la cultura se pretende transformar, la batalla no est\u00e1 totalmente perdida.<\/p>\n Por otro lado, si el personal de primera l\u00ednea y los directivos tienen opiniones muy diferentes sobre lo que es ideal, ser\u00e1 dif\u00edcil mudar a las pr\u00e1cticas HRCO hasta que se resuelva la discordia.<\/p>\n La comunidad de seguridad digital est\u00e1 despertando ante la enorme laguna del factor humano. En febrero de este a\u00f1o, el \u201celemento humano\u201d fue el tema central de una importante conferencia de seguridad digital<\/a>.<\/p>\n Las principales ideas emergentes son familiares: la tecnolog\u00eda por si sola es insuficiente, todo est\u00e1 cambiando de forma muy r\u00e1pida, debemos aprovechar las pr\u00e1cticas organizacionales como una defensa adicional importante.<\/p>\n Incluso la mejor tecnolog\u00eda fallar\u00e1 o se har\u00e1 obsoleta ante hacks cada vez m\u00e1s sofisticados. Los billones usados en gastos tecnol\u00f3gicos de ciberseguridad no resuelven el problema.<\/p>\n Aunque los protocolos y procedimientos fuertes sean imperativos, no pueden ser responsables en todos los escenarios.<\/p>\n Se recomienda que los directivos vuelvan a las lecciones de las HROs \u2013 organizaciones que fueron capaces de operar en entornos descentralizados y de alto riesgo, con un n\u00famero de incidentes notablemente bajo \u2013 y comience su viaje de convertirse en un HRCO.<\/p>\n Incorporar comportamientos de HRCO ofrece un beneficio que no tiene sustituci\u00f3n: Cuando la tecnolog\u00eda y los procesos fallan, la intervenci\u00f3n humana es lo \u00fanico que se interpone entre usted y un ciberataque.<\/p>\nOperaci\u00f3n de seguridad digital de alta confiabilidad<\/h2>\n
Atenci\u00f3n<\/h3>\n
Responsabilidad<\/h3>\n
Capacidad de aprendizaje<\/h3>\n
Pilares HRO y su aplicaci\u00f3n en la seguridad digital<\/h2>\n
Formalidad<\/h3>\n
\n
\n
Nivel de conocimiento<\/h3>\n
\n
\n
Integridad<\/h3>\n
\n
\n
Actitud inquisitiva<\/h3>\n
\n
\n
Backup de equipo activo<\/h3>\n
\n
\n