Asegurando la cadena de suministro global: aprovechando datos sin fronteras para la defensa cibernética

Los ciberataques a la cadena de suministro no son nuevos, pero están lejos de estar bajo control.

Un estudio reciente de Resilience 360 encontró casi 300 incidentes de ciberseguridad afectando entidades de cadena en 2019. Con el negocio promedio compartiendo datos con más de 500 terceros, no es de extrañar que el Instituto Ponemon reporte que aproximadamente el 61 % de empresas en EE. UU. han sufrido una brecha de datos en sus cadenas.

Mientras tensiones geopolíticas impulsaron una amplia franja de esos ataques, 2020 ha dado paso a una tormenta perfecta de oportunidades, ya que la COVID-19 ha forzado a una gran parte de la fuerza laboral global a trabajar remotamente. Organizaciones, desde gobiernos a empresas, deben asumir responsabilidad por proteger los datos que procesan y comparten. Con la colaboración tan crucial para sostener innovación y productividad, esto debe hacerse sin sofocar el flujo de ideas e información, o volver sistemas y procesos inoperables.

Cuando la COVID-19 golpeó a EE. UU. con fuerza en el primer trimestre, las organizaciones respondieron moviendo empleados a trabajo remoto casi de la noche a la mañana. A junio de 2020, un increíble 42 % de trabajadores estadounidenses realizaban negocios remotamente desde casa y migraban oficinas. Con una fuerza laboral altamente móvil y ecosistemas de proveedores cada vez más complejos y globalmente dispersos, la amenaza a la propiedad intelectual e información clasificada o sensible se intensifica.

Los equipos de proyecto usan plataformas móviles y cloud diariamente para compartir y almacenar datos, potencialmente exponiéndolos a acceso de usuarios no autorizados. También se transportan físicamente fuera de la organización en smartphones, discos duros extraíbles y USB, propensos a robo y pérdida. En este contexto, los datos cruzan constantemente fronteras de empresas y naciones. Ya no hay un perímetro claro que defender.

Aunque los hacks deliberados son ahora comunes, una de las mayores amenazas sigue siendo el robo, pérdida y mal uso de datos en movimiento. Una investigación de Apricorn en 2018 notó que el 29 % de organizaciones encuestadas sufrieron una brecha como resultado directo del trabajo móvil. La misma investigación en 2020 muestra que más de la mitad de encuestados aún creen que trabajadores remotos expondrán a su organización al riesgo de brecha.

Además, una investigación reciente de Digital Guardian muestra un aumento del 123 % en el volumen de datos descargados a medios USB por empleados desde que golpeó la COVID-19, sugiriendo que los equipos usan almacenamiento extraíble para llevar grandes volúmenes de datos a casa. A menos que estos dispositivos estén encriptados, es solo cuestión de tiempo antes de ver un pico en brechas asociadas a vulnerabilidad de trabajadores remotos.

Un enfoque centrado en datos y basado en políticas protegerá la información misma, dentro y fuera de los sistemas centrales de una organización, tanto en movimiento como en reposo, permitiendo comunicaciones seguras. La respuesta está en un enfoque multicapa combinando personas, procesos y tecnología.

Empieza desde dentro

La seguridad no es solo soluciones tecnológicas. La formación y programas de concienciación deben extenderse a equipos de socios y contratistas. Tu meta es hacer a todos los empleados conscientes del valor y riesgos asociados a los datos, y definir y reforzar su rol en protegerlos.

Además, pon en marcha mejores prácticas de seguridad de datos y gestiona su cumplimiento. Puedes dar ventaja a tu organización creando prácticas y políticas para cómo interactuar y asegurar datos. Al delinear y hacer cumplir mejores prácticas para tu equipo y cadena, ayudas a construir una cultura de responsabilidad.

Piensa en los datos en términos de ciclo de vida

Habiendo creado mejores prácticas para trabajar y asegurar datos, las organizaciones deben realizar una auditoría integral cubriendo:

• Qué tipo de datos se tienen y para qué propósito;
• Quién tiene acceso a esos datos;
• Dónde fluyen los datos, y
• Cómo se controlan actualmente.

Esto facilitará detectar áreas de incumplimiento, identificar dónde los datos pueden estar desprotegidos, e identificar tecnologías, políticas y procesos que minimicen la exposición al riesgo.

Haz cumplir la seguridad

Establece una estrategia que incluya documentar y hacer cumplir políticas que controlen cómo se manejan y usan datos sensibles, y que se extiendan a todos los endpoints, incluyendo socios y contratistas. La encriptación debe ser elemento clave. Si un medio extraíble cae en manos equivocadas, la información encriptada será ininteligible para cualquiera que intente acceder.

Especialmente en la «nueva normalidad» del trabajo remoto, es imperativo que los departamentos de TI investiguen, identifiquen y mandaten un dispositivo de almacenamiento móvil encriptado estándar corporativo, y hagan cumplir su uso mediante políticas de whitelisting. El dispositivo debe ser pre-configurable para cumplir requisitos de seguridad, como fortaleza de contraseña.

Y, como hablamos de cadena de suministro, los requisitos deben escribirse en contratos con terceros —estableciendo, por ejemplo, herramientas y tecnologías que deben usarse y cuándo actualizarse. Las organizaciones podrían tomar un enfoque aún más proactivo y establecer estos requisitos en el proceso de solicitud de propuestas (RFP), para que las expectativas estén claras antes de elegir un tercero.

Mide, monitoriza y reporta

Para equipos de TI y seguridad, el dicho «no puedes gestionar lo que no puedes medir» es especialmente acertado. La auditoría continua de cumplimiento, tanto dentro de la organización como a lo largo de la cadena, proporciona visibilidad rápida de violaciones de política, para que puedan abordarse mediante formación o procedimientos disciplinarios. El monitoreo también proporciona una pista de auditoría detallada que permite a la organización demostrar su posición de cumplimiento, así como un registro preciso de cualquier comportamiento de usuario no conforme.

Una combinación de medidas técnicas y organizativas puede ayudar a reducir la exposición al riesgo en la cadena, permitiendo el intercambio seguro y movilidad de información mientras seguimos trabajando desde casa. Las empresas que controlan sus datos adecuadamente pueden proteger confidencialidad, seguridad nacional y su propia reputación sin comprometer eficiencia, agilidad o ventaja competitiva.

La cadena de suministro en expansión, junto con cambios dramáticos en cómo y dónde trabajamos, significa que las organizaciones deben enfocarse continuamente en la seguridad de terceros. Creando un plan estratégico de seguridad de datos que audite y mida en el camino, con énfasis en concienciación y formación de empleados, podemos asegurar nuestras cadenas a pesar de la eliminación de fronteras físicas.

Jon Fielding es director general en Apricorn, fabricante de dispositivos de almacenamiento USB con encriptación por hardware.