
El papel del CISO en la era de la exposición continua a las amenazas de seguridad
En este informe analizamos cómo está evolucionando el rol de los responsables de seguridad en las organizaciones para adaptarse a unos ciberataques cada vez más numerosos y sofisticados. El papel del CISO en tiempos de creciente prevalencia y evolución de las ciberamenazas no es precisamente fácil de interpretar. La superficie de ataque de las empresas y organizaciones ha aumentado exponencialmente a medida que las redes empresariales y corporativas han pasado de estar principalmente en las instalaciones a estar implementadas en la nube. Al mismo tiempo, las redes corporativas se están deslocalizando cada vez más, ya que los empleados se conectan desde diferentes dispositivos y ubicaciones, utilizando diferentes herramientas e incluso credenciales. Los recursos corporativos han pasado de estar protegidos (con mejor o peor suerte) “detrás” de firewalls, gateways o dispositivos de seguridad, a estar expuestos en nubes públicas y/o privadas que sustituyen o complementan a los despliegues on-premise tradicionales. Este cambio de topología ha permitido a las empresas beneficiarse de las virtudes del cloud computing en aspectos como la escalabilidad, el mantenimiento de equipos y aplicaciones (gestión de licencias, actualizaciones, etc.) y el ahorro de costes. Sin embargo, estas ventajas van asociadas al aumento de la superficie de ataque mencionado anteriormente. Cuando hablamos de “superficie de ataque” nos referimos a todos aquellos puntos de entrada potenciales de los cibercriminales a los recursos corporativos de una empresa u organización con el objetivo de obtener datos, información o beneficios económicos a partir de prácticas como el ransomware. Además, las herramientas que utilizan los cibercriminales para atacar a las empresas han pasado a adoptar un modelo similar al de las App Stores, pero centrado en ofrecer kits para ciberataques, prácticamente “as a Service”. El Ransomware as a Service, de hecho, es una de las tendencias para 2024 en materia de ciberseguridad. En este escenario de aumento de la superficie de ataque, nos enfrentamos a distintos tipos de amenazas, tanto externas como internas. El CISO tiene que entender la naturaleza y el alcance de estas amenazas para poder tomar medidas preventivas o encaminadas a hacer frente a una amenaza en curso que pueda tener éxito. Ataques desde el “exterior” de las organizaciones Los ataques externos son los más similares a las amenazas tradicionales, excepto por la mayor diversidad y frecuencia con que estas amenazas pueden convertirse en realidad. Se trata de ataques que aprovechan vulnerabilidades en el software de las aplicaciones o en los sistemas operativos y plataformas en los que se implementan las redes corporativas. Hablamos del mencionado ransomware, así como de malware, malvertising, phishing o ataques DDoS. El problema para los CISO con este tipo de amenazas no radica solo en las amenazas en sí, sino en la enorme cantidad de alertas y avisos que generan en los sistemas tradicionales de gestión de vulnerabilidades. En el pasado, era factible gestionar y abordar estas alertas de forma sistemática y organizada, pero el aumento de la superficie de ataque de las organizaciones hace necesario adoptar estrategias de gestión de amenazas de forma proactiva, en lugar de reactiva, y de forma continua y unificada. Y las soluciones de seguridad tienen que adaptarse a estas necesidades. En concreto, en el caso de Outpost24 y según David García, Account Executive de Outpost24, la compañía está tendiendo hacia la adopción de la estrategia CTEM a través de su plataforma: “El objetivo es acabar con la diferenciación que hay ahora mismo en diferentes verticales de producto y que todo se base en una visión unificada. De esta forma, las organizaciones pueden encontrar en empresas como Outpost24 un aliado a la hora de pasar de soluciones Open Source o herramientas de detección de vulnerabilidades de bajo coste o gratuitas, a otras más profesionalizadas y automatizadas que les permitan hacer frente a este aumento de ciberataques, así como al incremento de las superficies de ataque de las organizaciones. Se espera que el costo asociado con el cibercrimen supere los 27 mil millones de dólares en 2027, en comparación con los 8,4 mil millones de dólares en 2022, según datos citados por Anne Neuberger, asesora adjunta de seguridad nacional de Estados Unidos para tecnologías cibernéticas y emergentes. Ataques desde organizaciones “internas” Los ataques desde dentro de las organizaciones también están aumentando como resultado de este cambio de topología en las redes corporativas, de ser locales a implementarse en mayor o menor medida en la nube, a medida que las aplicaciones y los recursos corporativos migran a modos de acceso “XaaS” y los empleados acceden a estos recursos desde una variedad más amplia de dispositivos y ubicaciones. No es que los empleados tengan un interés personal en convertirse en cibercriminales. En algunos casos puede ser así, pero la mayoría de los ataques internos están asociados con cibercriminales que usurpan credenciales válidas y, en última instancia, obtienen acceso a los recursos corporativos. Los ataques asociados a la ingeniería social van a aumentar debido a la aparición de la IA en sus métodos. Usurpar la identidad de un jefe de departamento delante de los empleados empieza a ser más fácil mediante la suplantación de voz, por ejemplo, con todo lo que ello conlleva en términos de posibles riesgos de seguridad para las empresas. El CISO debe afrontar la realidad: la exposición a las amenazas de seguridad es continua y cambiante. Este panorama de creciente prevalencia y frecuencia de los ciberataques implica que el papel del CISO debe cambiar. El CISO debe adoptar un papel más proactivo que reactivo ante la exposición continua a alertas y amenazas. Esta exposición continua a las amenazas es incompatible con un rol tradicional de CISO, centrado en la reactividad. Además, los recursos humanos disponibles en los equipos de ciberseguridad, lejos de crecer, están sujetos a políticas de contención de la dirección, lo que complica la relación del CISO con el resto de miembros de los equipos directivos de las organizaciones. “El CISO no se ve amenazado por una tendencia concreta como tal, sino que su rol dependerá de la estrategia de cada organización. Que la estrategia de un negocio decida externalizar