La vulnerabilidad humana en la seguridad

Los ciberataques clásicos a menudo comienzan con un correo electrónico. Un usuario lo abre e inocentemente hace clic en el enlace que hay dentro y... se apagan las luces en la empresa. No es de extrañar que muchos tiendan a identificar la causa del problema con la vulnerabilidad del "usuario". Un análisis de Trend Micro.

La comprensión de que los usuarios son el problema dijo más de la mitad de los encuestados en dos seminarios web en alemán e inglés (para Europa) que tuvieron lugar en julio de 2021 con un total de más de 1000 participantes. Aquí se preguntó cuál de los siguientes problemas era el "mayor" en la seguridad informática de la propia empresa: que "los empleados cometen errores que conducen a infecciones", "falta de presupuesto", "herramientas de seguridad defectuosas" o "sobrecarga de la TI". Departamento de Seguridad. Por supuesto, en las empresas realmente afectadas por ciberataques, se aplican varios de estos factores. Pero los mayores quebraderos de cabeza los provocaron los empleados "sin experiencia", cada uno con más del 50%. No hay duda de que muchos problemas en la seguridad de TI están relacionados con el factor humano, pero un enfoque unilateral en el empleado descuidado puede llevar a conclusiones erróneas y consecuencias graves.

vulnerabilidad empleados

Esta tesis postula que un empleado que hace clic en un enlace o abre un archivo adjunto que parece sospechoso, sin saberlo, está ayudando a configurar un ataque. En realidad, el "empleado descuidado" es en realidad un problema bastante menor en relación con otros "puntos débiles del ser humano", pero es uno de los pocos tornillos de ajuste con los que se pueden lograr mejoras relevantes para todos los involucrados sin gran esfuerzo. Por lo tanto, los empleados definitivamente deben estar informados sobre los últimos trucos. También se les debe dar una forma de revisar los correos electrónicos sospechosos y decir gracias cada vez que un empleado ve un correo electrónico de ataque, porque ayuda a detener los ataques.

Por cierto, los empleados solo pueden identificar un ataque de este tipo porque los ciberdelincuentes todavía tienen suficiente éxito en el uso de correos electrónicos generados de forma genérica para lograr sus propósitos. Su próximo truco ha estado en el kit durante mucho tiempo. Emotet ya utilizó respuestas a correos electrónicos enviados anteriormente. E incluso eso no es el final de lo que es técnicamente posible. Pero los ciberdelincuentes evitan los esfuerzos innecesarios. Pero eso significa que cualquier entrenamiento solo sirve para dificultar el trabajo del atacante. No solucionará el problema.

Punto débil especialista en TI/seguridad

Si un empleado recibe un correo electrónico, ya ha pasado por varios niveles técnicos. Se han desarrollado métodos de sandbox, inteligencia artificial y otras tecnologías para detectar ataques directamente. Si no lo hacen, existen otras soluciones de seguridad a nivel de sistema y en la red, todas las cuales también deberían detectar actividad sospechosa. Estas son herramientas profesionales que se crean con toda la experiencia y se implementan específicamente para este propósito, con el fin de permitir que las personas trabajen con seguridad al final. Si todas estas herramientas técnicas no pueden prevenir el ataque o al menos identificarlo, surge la pregunta de por qué un usuario "normal" puede ser responsable de algo. Las herramientas de ingeniería, y un equipo para mantenerlas y afilarlas, se compran y pagan para que sea más fácil para las personas decidir si algo es bueno o no.

Las herramientas deben tomar decisiones

Pero aquí es exactamente donde radica un problema que a menudo se pasa por alto: la tecnología de seguridad de TI cambia constantemente. Así como los atacantes afilan sus armas, también lo hacen los defensores. Esto se traduce en constantes actualizaciones, cambios funcionales o estratégicos. Además, las empresas están construyendo entornos de TI cada vez más complejos y procesando cada vez más datos. Al mismo tiempo, el funcionamiento de TI es cada vez más crítico para las capacidades operativas de una empresa.

Los empleados de seguridad de TI a menudo están abrumados

Los empleados de seguridad de TI, si pueden concentrarse en la seguridad de TI, se sienten abrumados por la multitud de sistemas y las diferentes opciones de configuración. Si una empresa también decide comprar tácticamente soluciones de seguridad, la carga de trabajo aumenta exponencialmente. (La compra táctica es el comportamiento de intentar comprar un nuevo producto de seguridad solo cuando ha surgido un problema o ya no se puede ignorar). Este enfoque asegura, entre otras cosas, que los sistemas no actúen de manera coordinada, sino que solo cumplan con requisitos específicos. tareas. Esto crea lagunas en el conocimiento y errores debido a las exigencias excesivas. El exceso de trabajo a menudo conduce a la frustración en el trabajo.

Desarrollo de software de TI de vulnerabilidad

También se pueden encontrar desafíos similares en el desarrollo de software. Impulsado por la creciente necesidad de aplicaciones de los consumidores, se están desarrollando o ensamblando cada vez más componentes de software. En las prácticas de DevOps, el desarrollo es prácticamente un bucle sin fin y, por supuesto, las personas que trabajan aquí son expertas en TI. Y, sin embargo, son precisamente estos expertos quienes a menudo cometen los errores más ridículos... desde una perspectiva de seguridad. El "mundo entero" tiene acceso a la base de datos de clientes porque se olvidaron los permisos para definirlos. O programó los datos de inicio de sesión durante el desarrollo pero olvidó cambiar la solución alternativa simple nuevamente y, por lo tanto, el acceso a las tarjetas de crédito de los clientes solo está asegurado con el nombre de usuario y la contraseña "admin".

Todos estos errores ocurren, y si la empresa es lo suficientemente importante, un incidente será noticia. Una vez más, la causa principal es el estrés. Porque en el desarrollo de software hay presión. La nueva característica debería llegar hoy y no mañana. Se puede mejorar si es necesario. Uno u otro problema a menudo se pasa por alto o se ignora deliberadamente. Además, muy pocos desarrolladores de software desarrollan soluciones de seguridad. La seguridad es un truco no querido, que a menudo se ve obligado a usar.

Vulnerabilidad CISO - C-Level

Por supuesto, la dirección reconoce la importancia de la seguridad informática. Sin embargo, a menudo se lo ve como un mal necesario y rara vez como parte integral de la cadena de valor. Debe costar lo menos posible e idealmente apenas se nota. De hecho, la mayoría de las empresas han podido implementar esta táctica con mucho éxito en los últimos años, a pesar de los gastos relativamente pequeños. Fiel al lema "nunca cambie un sistema en funcionamiento", los conceptos de décadas de antigüedad no se cuestionan, sino que se persiguen constantemente.

La calidad de los ciberataques lleva años aumentando

Pero el mundo de la seguridad también ha cambiado. Tanto la cantidad como la calidad de los ataques cibernéticos han ido en constante aumento durante años. Solo en 2021 hubo mucha emoción con "Sunburst", "Hafnium" y "Kaseya", sin mencionar incidentes individuales con eco mundial como el "Colonia Pipeline" o el "JBS Hack". El boom económico del cyber underground no es una casualidad que volverá a desaparecer, sino un cambio estructural. Por lo tanto, la introducción de las criptomonedas y la animosidad política crearon una novedad histórica mundial con un mercado global incontrolado, quizás incluso incontrolable, para la actividad delictiva. La singularidad de esta situación es algo que ahora se está discutiendo incluso al más alto nivel político.

El índice de riesgo cibernético brinda claridad

Esto se refleja, por ejemplo, en la investigación del índice de riesgo cibernético de Ponemon/Trend Micro. Cabe destacar un claro descenso en la confianza de que el nivel C también se toma en serio la situación de amenaza, aunque prácticamente todos los encuestados asumen una situación de mayor riesgo. Esto está relacionado con una debilidad o talento demasiado humano, que no está especialmente extendido entre el personal de seguridad de TI. Se trata del talento para "vender" adecuadamente al gerente la necesidad de medidas. Porque, especialmente en las empresas donde la seguridad de TI anterior se ha defendido con éxito de todo, rara vez hay un presupuesto adicional para más personal o soluciones más modernas. Aquí es importante proceder diplomáticamente, porque el trabajo, que hasta ahora ha sido impecable, no puede ser criticado. Y, sin embargo, la situación cambia debido a los factores externos (como se describe anteriormente), que a menudo son difíciles de discutir para los especialistas en seguridad de TI porque existen fuera de su propia experiencia. A los CISO en particular les resulta difícil articular de manera creíble el cambio en la situación de amenaza para lograr mejoras presupuestarias, técnicas y de personal. Con la Ley de Seguridad de TI, el gobierno federal vuelve a subrayar la importancia de la TI y la seguridad de TI para las infraestructuras críticas con el fin de brindar más apoyo en términos de argumentación. Porque aunque eso suene cínico... a menudo algo solo sucede cuando se sienten las penas esperadas (lamentablemente).

Punto débil de seguridad informática: especialista en SOC

Muchas de las empresas sujetas a la Ley de Seguridad Informática, pero también cada vez más empresas medianas, están decidiendo por ello crear un centro de operaciones de seguridad. Los empleados altamente especializados que trabajan aquí están para analizar los incidentes de seguridad y subsanarlos lo antes posible. Lo que en teoría combate de manera efectiva el problema de los ciberataques, a menudo se convierte en un desafío en la práctica. Los problemas de la escasez de trabajadores calificados y el zoológico históricamente crecido de soluciones individuales compradas también significan que la carga de trabajo de los empleados de SOC aumenta enormemente. En una encuesta de Trend Micro a más de 70 encuestados en todo el mundo, el 2000 % afirmó que el estrés relacionado con el trabajo tenía un impacto en su vida personal. En el trabajo, la sobrecarga provoca, entre otras cosas, que se ignoren deliberadamente las alarmas (el 40 % lo admitió) para dedicarse a otra cosa y el 43 % abandonó su puesto de trabajo desbordado o simplemente apagó la alarma. Además, rara vez se aprecia su trabajo cuando "no pasa nada". El resultado es una alta fluctuación, especialmente en las medianas empresas, y asegura un mayor agravamiento del problema de personal.

Resumen de análisis

De hecho, las debilidades humanas son el problema de la seguridad informática. Pero no son los "empleados normales" los que causan la mayor preocupación. La falta de reconocimiento con una carga de trabajo en constante aumento, junto con la presión de ser lo más rápido y eficiente posible, aseguran una creciente frustración y susceptibilidad a los errores, especialmente entre los especialistas de TI y de seguridad de TI.

El problema de los parches, que existe desde hace más de 20 años, se ha multiplicado en los últimos años por una auténtica explosión de software y hace que los equipos de seguridad informática apenas tengan una visión general de lo que realmente se está utilizando y mucho menos del estado de seguridad de muchos sistemas es.

Los equipos de seguridad de TI pierden la pista

Las empresas, por otro lado, están perdiendo la capacidad de responder rápidamente a los incidentes y no tienen suficiente personal para hacer frente a emergencias reales. Por otra parte, está surgiendo una auténtica economía sumergida que, sobre todo, ha inspirado la especialización de sus protagonistas. En este clima, se necesita un replanteamiento urgente. Es necesario reconsiderar las estrategias tradicionales de seguridad de TI. Se implementan y optimizan modernas técnicas en el área de administración. Cuantos más automatismos existan para aliviar a los empleados, mejor podrán centrarse en problemas graves. Junto con sus socios revendedores, Trend Micro ofrece soluciones y procesos para respaldar esto.

Las personas son personas y así se queda. Lo que está cambiando son las condiciones marco y acaban de cambiar masivamente. Y he aquí otra ley de la naturaleza: Sobreviven aquellos que son más capaces de adaptarse a las nuevas condiciones ambientales.

Algunos consejos para una mayor seguridad informática

• Reduzca los ciclos de actualización de seguridad de TI. Necesitan poder implementar tecnología moderna más rápido. Con las ofertas de "Software as a Service", varios proveedores ofrecen la posibilidad de realizar ellos mismos estos ciclos. Al elegir un socio, también preste atención a qué tan bien un fabricante puede desarrollar nuevas tecnologías. Entregar tecnología de punta una vez no es suficiente. También es mucho más importante tener el poder de permanencia para mantenerse al día con los nuevos desarrollos.
• Analiza la manejabilidad de tus defensas. La complejidad de la seguridad no asusta a un ciberdelincuente. Mucho más importante es la cuestión de si puede realizar un seguimiento de los eventos inusuales en la red. Los empleados de SOC y de seguridad de TI, en particular, a menudo están sobrecargados de trabajo y casi nunca pueden hacer su trabajo habitual. Es difícil reaccionar correctamente en una emergencia.
• Según el BSI, la seguridad no es una meta que se logra, sino un proceso que se quiere adaptar. En el pasado, se intentaba agregar nuevas funciones periódicamente cuando caducaba una licencia. Hoy eso ya no es suficiente. A medida que los ciberdelincuentes trabajan para atacar a las empresas, las empresas también deben permanecer a la vanguardia de la tecnología para defenderse. Si sus propios empleados no pueden hacer esto, los proyectos de servicios administrados pueden ayudarlo en todos los asuntos.
• La protección externa no es suficiente. Los atacantes pueden atravesar cualquier defensa. Lo que importa es qué tan rápido puede localizarlos y luego solucionar el problema. Las llamadas estrategias XDR son la opción más nueva aquí. Nuestra estrategia XDR se llama Trend Micro Vision One.

Considere una estrategia de confianza cero. Sobre todo, debe asumir que la tecnología de su empresa se ha visto comprometida. Porque aunque es posible convencer a una persona de que haga algo malo, esto suele ser mucho más difícil que robar contraseñas y engañar a la tecnología. Este es también el tema de una estrategia XDR.

Más en TrendMicro.com

 

---

Acerca de Trend Micro

Como uno de los principales proveedores de seguridad de TI del mundo, Trend Micro ayuda a crear un mundo seguro para el intercambio de datos digitales. Con más de 30 años de experiencia en seguridad, investigación de amenazas globales e innovación constante, Trend Micro ofrece protección para empresas, agencias gubernamentales y consumidores. Gracias a nuestra estrategia de seguridad XGen™, nuestras soluciones se benefician de una combinación intergeneracional de técnicas de defensa optimizadas para entornos de vanguardia. La información de amenazas en red permite una protección mejor y más rápida. Optimizadas para cargas de trabajo en la nube, terminales, correo electrónico, IIoT y redes, nuestras soluciones conectadas brindan visibilidad centralizada en toda la empresa para una detección y respuesta más rápidas a las amenazas.

---

 

Artículos relacionados con el tema