CISOs Priorizan Automatización Segura para Fortalecer Ciberseguridad en 2022

El espacio de ciberseguridad necesita considerar cómo superar una brecha de habilidades siempre presente.

2022 será el año cuando las organizaciones finalmente dejen ir la tradición de larga data de estar basadas en una oficina, trabajando horas fijas, y midiendo el volumen de trabajo versus el valor. A medida que aprendemos a vivir con estos cambios para mejor, los ajustes a patrones de trabajo introducidos apuradamente serán refinados e incrustados. Las organizaciones buscarán establecer y nutrir una cultura flexible de trabajo-desde-cualquier-lugar que empodere compromiso y productividad de empleados a través de una variedad de herramientas de colaboración y compartición de datos digitalmente habilitadas. Como el alma del negocio, los datos serán más dispersos, móviles y accesibles que nunca, lo que tiene enormes implicaciones para los equipos de seguridad encargados de proteger este entorno. Mientras tanto, una persistente escasez de talento en ciberseguridad impactará el proceso de toma de decisiones para ejecutivos C-Suite que deben establecer prioridades estratégicas para gestión de datos y mitigación de brechas con recursos limitados. Entonces, ¿cómo esperamos que se desarrolle el año?

El panorama de amenazas: amenazas diversificadas y múltiples vectores de ataque requieren respuesta de seguridad en capas

El nuevo ecosistema empresarial está emergiendo contra un telón de fondo de amenazas más diversas, persistentes y disruptivas a datos y operaciones. Estas amenazan cada capa de la organización — desde sistemas de software e infraestructura hasta empleados y la cadena de suministro.

Adversarios bien recursos, altamente oportunistas están aprovechando la empresa recién distribuida y intensificando campañas en todos los frentes, desde compromiso de email empresarial y Ransomware-como-Servicio, hasta ataques multi-etapa sofisticados originados en la cadena de suministro. Hasta que haya un esfuerzo coordinado internacional para combatir el cibercrimen y hacer responsables a aquellas partes que cometen estos actos, esperamos ver estos tipos de ataque lucrativos continuar escalando en frecuencia y severidad.

Abordar esta diversidad y frecuencia de amenazas requiere un enfoque en capas que siga y proteja datos a lo largo del negocio y más allá, con amenaza de cadena de suministro y riesgo de terceros subiendo en la lista de prioridades a medida que la escala de exposición a vulnerabilidades de proveedores se vuelve más clara.

En términos de trabajo remoto, esperamos ver mayor énfasis en buenos fundamentos de seguridad en lugar de añadir herramientas potencialmente innecesarias a la pila de seguridad. Establecer gestión de identidad fuerte (MFA, etc.), gestión de parches, logging, y permisos dimensionados correctamente será abordado más.

Riesgos internos: el backlog de proyectos de seguridad estratégicos permanece y el talento es escaso

Las amenazas externas no son el único problema. La disrupción de los últimos 18 meses ha visto a muchas organizaciones darse cuenta de que su postura de seguridad estratégica estaba detrás de la curva cuando la solicitud de trabajo remoto se volvió un requisito. Por ejemplo, investigación conducida durante el verano de 2020 encontró que la mayor amenaza notada por departamentos de seguridad era la incapacidad de implementar autenticación multifactor para facilitar acceso seguro de trabajadores remotos, algo que debería haber estado en su lugar ya. Sin embargo, con recursos estirados al punto de quiebre por las demandas inmediatas de la fuerza laboral casi exclusivamente remota, muchas organizaciones tuvieron que dejar proyectos de seguridad estratégicos en el back burner.

Ahora, mientras intentan ponerse al día urgentemente, los equipos de seguridad también enfrentan una escasez de talento en toda la industria. Los datos más recientes del Estudio de Fuerza Laboral de Ciberseguridad 2021 de (ISC)2 estiman que 700.000 profesionales adicionales se han unido al sector de ciberseguridad, pero que la brecha entre el número de profesionales adicionales necesarios para defender adecuadamente organizaciones y el número actualmente disponible se sitúa en 2,7 millones. Esto es claramente un enorme abismo entre la gente disponible y la cantidad que se necesita.

No es solo sobre cantidad. Con la industria moviéndose tan rápido, a menudo es difícil definir precisamente las habilidades exactas que los equipos requieren. Adicionalmente, los estreses de la pandemia han llevado a empleados en todas las industrias a re-evaluar su relación con el trabajo y el sector de ciberseguridad es tan susceptible como cualquier otro con gente decidiendo jubilarse temprano, buscar empleo a tiempo parcial o elegir otro camino completamente.

Para líderes C-Suite esto crea un problema espinoso. ¿Cómo cumplir sus ambiciones de seguridad estratégicas con recursos limitados y sin poner presión inaceptable en sus equipos?

Automatizar para acelerar

La respuesta es de dos puntas. Primero, la automatización será la palabra de orden y una alta prioridad, como base esencial para asegurar que negocios de nueva forma funcionen efectiva y seguramente. Al desplegar automatización en la mezcla de seguridad, los negocios pueden levantar la carga de tareas repetitivas y mundanas de empleados calificados y en su lugar permitirles flexionar su talento en áreas más interesantes y de mayor valor.

Esto debería ayudar retención de empleados así como eliminar errores humanos derivados de aburrimiento o volúmenes excesivos de alertas. La automatización impulsará productividad y se convertirá en una inversión clave en la batalla contra adversarios cibernéticos; también verá herramientas de Orquestación, Automatización y Respuesta de Seguridad (SOAR) alcanzar el siguiente nivel de eficiencia y aplicación inteligente. Organizaciones que se muevan rápido en esto se encontrarán en una posición competitiva más fuerte, capaces de acelerar proyectos sin tener que reclutar recursos escasos.

Tomando la vista larga en habilidades cibernéticas

El segundo impulsor debe ser a largo plazo. La aguja se mueve lentamente en la dirección correcta en reclutamiento de ciberseguridad, con (ISC)2 reportando 700.000 personas adicionales uniéndose a la profesión en el último año, pero con 2,7 millones de puestos aún por llenar necesitamos un cambio de paso en cómo construimos una tubería de profesionales de seguridad. Rutas de educación superior dedicadas a ciberseguridad siguen siendo raras, y el grupo de graduados en ciencias de la computación no es profundo — y está en alta demanda. Necesitamos empezar a ser creativos sobre reclutar especialistas de un conjunto más diverso de disciplinas en seguridad y cultivar nuestros propios pipelines de talento. El Centro Nacional de Ciberseguridad del Reino Unido está emprendiendo actualmente una serie de actividades destinadas a reclutar un pool de talento más diverso, introduciendo jóvenes a los conceptos y dinámicas de ciberseguridad, y esto es algo que todos deberíamos considerar. Como parte de esto necesitamos promover los beneficios, estabilidad, satisfacción laboral y oportunidades de progresión que una carrera en ciberseguridad ofrece — es un área de alta demanda y eso no es probable que cambie pronto.

Las organizaciones necesitan pensar en retención también. El auge del trabajo remoto ha abierto un mercado más global, permitiendo a altos desempeñadores mirar más allá de su área local. Por tanto, énfasis en entrenamiento y desarrollo debe ser prioridad, no solo para mantener el ritmo con una industria que evoluciona rápido sino también para ofrecer una carrera desafiante y gratificante.

Al crear el ambiente correcto — donde las tareas mejor adaptadas a bots sean automatizadas y donde el talento humano sea valorado por sus habilidades e ingenio — podemos jugar nuestro papel en construir y nutrir la próxima generación de talento de ciberseguridad listo para proteger y defender el nuevo negocio ultra-conectado, impulsado por datos.

2022 será otro año ocupado en ciber, y es la naturaleza del negocio que a menudo nos enfocamos en responder a la amenaza inmediata frente a nosotros, pero instaría a todos mis pares en la industria a dedicar algo de tiempo al largo plazo y cómo podemos atraer más talento a este sector único y esencial.