La nube impulsa la resiliencia empresarial

La resiliencia, esa capacidad de una persona u organización para sobreponerse ante algún momento crítico e inesperado y poder adaptarse al entorno, ha sido una de las cualidades más buscadas y valoradas por las empresas al enfrentarse a las circunstancias que trajo la pandemia de covid-19. Una de las principales herramientas que han impulsado esa cualidad en las empresas ha sido, sin lugar a dudas, la computación en la nube.

Gigi Agassini

En entrevista con ComputerWeekly en Español, Gigi Agassini, directora comercial de Genetec México y profesional de protección certificada (CPP), explicó cómo añadir funciones analíticas al uso de la nube puede llevar más allá la continuidad de negocios, y fortalecer la prevención ante las amenazas y riesgos, e incluso buscar predecir algunos de ellos utilizando también tecnología de inteligencia artificial con aprendizaje profundo y aprendizaje automático para identificar patrones de comportamiento.

¿Qué se entiende por resiliencia empresarial y cómo la nube ayuda a obtenerla?

Gigi Agassini: Me gustaría comenzar por el significado de resiliencia: es la capacidad que tiene una persona/empresa para superar o sobreponerse a momentos críticos y adaptarse luego de experimentar alguna situación inusual e inesperada. Si trasladamos esto a las empresas, es indudable mencionar que existe una crisis mundial que nos ha llevado a recortar presupuestos por todos lados y, desafortunadamente, Seguridad es una de las primeras áreas donde se cortan estos presupuestos. Sin embargo, la operación continúa y los riesgos incrementan, y cada vez nuestros planes de seguridad tienen que ser mucho más dinámicos y holísticos para adaptarse a cualquier circunstancia adversa y dar esa continuidad al negocio.

A partir de este último rubro quiero abordar la siguiente parte de la pregunta sobre la nube. Sin duda, aún hay mucho temor al uso de la nube, pues existe esa sensación de que si no lo tengo a mi lado, entonces ‹no está seguro›. La nube es una gran oportunidad para brindar esa continuidad al negocio, a la operación y para adaptarse también a los recortes presupuestales. Entre los beneficios puedo mencionar:

• Reducción del «footprint» de hardware;
• Menos dependencia del departamento de TI;
• Las nubes serias nos ayudan al cumplimiento de normativas y estándares de ciberseguridad y protección de datos personales;
• Existe mayor enfoque en la operación, ya que las actualizaciones y mantenimiento no dependen del área de seguridad o de TI, lo que permite un mayor enfoque en nuestro día a día.

Podría seguir con la lista de beneficios, pero dentro de los más palpables y relevantes tenemos estos. Muchas corporaciones están migrando a la nube, pero solo para los sistemas administrativos, aunque en seguridad hay una gran oportunidad de ahorro para el negocio sin necesidad de sacrificar eficiencia en la operación ni la continuidad del negocio.

¿Cuáles considera que son las principales amenazas contra las que deben protegerse las empresas actualmente?

Gigi Agassini: Bueno, existen un sinfín de amenazas a las cuales nos enfrentamos, dependiendo del tipo de negocio y la locación geográfica. Sin embargo, hay varias amenazas que todo tipo de negocio, sin importar en donde se encuentre y a lo que se dedique, está expuesto, como el cibercrimen, en todas sus variables –robo de información, de identidad, phishing, smishing, extorsión y más– y el robo de datos personales.

¿Qué políticas y procedimientos deben contemplarse como parte de un plan de DR y BC que considere la resiliencia?

Gigi Agassini: Los BCP y los DRP van directamente relacionados con el tipo de negocio, los objetivos, misión y visión de este, así como el framework de referencia que use cada organización. Por mencionar algunos generales en el BCP, puedo nombrar:

• Comprensión de procesos críticos;
• Desarrollo de estrategias de continuidad;
• Desarrollo de planes de respuesta;
• Pruebas y ejercicio (importantísimo);
• Medición y monitoreo.

Para el DRP, por mencionar algunos puntos:

• Pensar en el desastre;
• La gestión humana del riesgo;
• Hacer un inventario de las aplicaciones;
• Definir las prioridades, las técnicas y los costos;
• Elegir el equipo adecuado (especialistas);
• Pruebas;
• Marco legal (MUY importante);
• PDCA (mejora continua);
• Mediciones, y sobre todo pruebas del RPO (Recovery Point Objective), RTO (Recovery Time Objective), WRT (Work Recovery Time) y MTD (Maximum Tolerable Downtime), lo que nos dará una clara idea del tiempo en el cual recuperaremos lo más crítico para el negocio y brindar esa continuidad.

¿Cuál es la importancia de la analítica para la resiliencia empresarial?

Gigi Agassini: En seguridad, existe una gran oportunidad y es movernos de la reacción (ya ocurrió algo, hasta entonces pongo un remedio) a la prevención, que siempre tendrá un costo menor que la incidencia. ¿Y por qué no llegar a pensar en la predicción? Pero, sin duda, es un camino y hoy la tecnología nos permite, a través de deep learning o machine learning, aprovechar toda la información que generamos diariamente de cada uno de los sistemas que forman parte de nuestra organización para identificar patrones de comportamiento y poder detectar a tiempo alguna amenaza, antes de que se materialice en un impacto para el negocio.

El aprendizaje profundo y el aprendizaje automático nos ayuda también a poder ordenar toda esa generación de información, colocarla de manera ordenada y limpia para la toma de decisiones y, sobre todo, generar reportes y métricas, ya que ‹lo que no se mide, no se puede mejorar› y será difícil estar en esta mejora continua sin contar con planes holísticos que permitan dar continuidad a los negocios.

En el caso de modelos de nube híbrida, ¿hay elementos o procesos adicionales que se debe tener en cuenta?

Gigi Agassini: La nube híbrida ha sido de las mejores alternativas para probar lo mejor de dos mundos y que no pasa nada si tenemos sistemas de seguridad en la nube. Debemos considerar nuestra infraestructura para estar seguros de que tenemos lo que se requiere para su implementación o, en su defecto, hacer las adecuaciones y que no sufran los servicios. Aunque parezca muy obvio, es uno de los errores más comunes que ocurre: no saber a quién llamar en el centro de datos donde tenemos nuestros servicios en caso de alguna incidencia. Tenemos que hacer de este proceso parte de nuestro BCP y DRP.

Finalmente, teniendo en cuenta el panorama, ¿qué considera que es lo más importante para reponerse de un ciberataque, especialmente en el caso de empresas pequeñas y medianas?

Gigi Agassini: Lo más importante es quitarnos del pensamiento que estas cosas les pasan a otros y darle la seriedad y el peso que requiere. Preguntarnos algo muy básico: ¿qué valor tiene la información de mi negocio o empresa?, sin importar el tamaño, ya que precisamente esto último, el tamaño, nos hace pensar que no nos ocurrirá un ataque, cuando estos se han incrementado significativamente debido a que la digitalización de procesos y servicios se ha convertido en la prioridad de muchas PyMes en el país.

De acuerdo con la Asociación Mexicana de Emprendedores, 85 % de las PyMes en México ya cuenta con algún tipo de presencia digital (pagina web, redes sociales, comercio electrónico, etc.). En México, 44 % de las empresas han sufrido algún tipo de ataque relacionado con secuestro de información y ahora, con buena parte de los empleados en home office, bajo esquemas híbridos o trabajando remotamente, se ha detectado un incremento del 40 % de incidentes de ciberseguridad. Por ello, la inversión en herramientas de detección, planes de recuperación, políticas y cultura deben ser parte fundamental de todo negocio y/o empresa, sin importar su tamaño.