Seguridad en la nube e internet de las cosas son prioridades de ciberseguridad para 2021

Los ataques recientes a diferentes tipos de empresas y sectores han demostrado que los ciberdelincuentes están utilizando un arsenal muy variado y que muchas de las amenazas tradicionales, las cuales ya son conocidas por aquellas empresas que tienen un sólido departamento de seguridad informática, están dejando paso a nuevas y sofisticadas herramientas.

En la actualidad, los ciberdelincuentes ya no necesitan emplear tácticas de intrusión comunes, sino que pueden iniciar sesión con credenciales débiles, robadas o suplantadas. Esto adquiere una mayor importancia cuando se trata de credenciales privilegiadas, como las que utilizan los administradores del área de sistemas para acceder a la infraestructura crítica. Se estima que estas credenciales están involucradas en el 80 % de las vulneraciones de datos.

El panorama dinámico de amenazas de hoy en día requiere que los profesionales de la seguridad se adapten a una superficie de ataque en constante expansión. No importa dónde residen los datos que necesitan proteger, o quién está tratando de acceder a los datos en última instancia, o si se trata de una persona o una máquina. Lo que cuenta es minimizar lo antes posible el riesgo de exfiltración de datos.

En 2021 se presentarán amenazas diversas y mucho más agresivas, por lo que se debe tener algunas consideraciones para permanecer seguros. Por ejemplo, una vez que llegó el COVID-19, muchas organizaciones se dieron cuenta de que carecían de la escalabilidad para respaldar el trabajo desde casa, lo que aceleró el traslado de cargas de trabajo a la nube. Sin embargo, muchas empresas no han descubierto cómo proteger su infraestructura en la nube.

De hecho, de acuerdo con un estudio realizado por la unidad de investigación de SILIKN, el 96,3 % de las organizaciones admiten que se enfrentan a una brecha de preparación para la seguridad en la nube. Desafortunadamente, todavía existe un malentendido generalizado sobre quién es responsable de asegurar el acceso privilegiado a las cargas de trabajo en la nube.

Este mismo análisis de la unidad de investigación de SILIKN –aplicada a 532 empresas mexicanas y extranjeras que operan en CDMX, Nuevo León, Jalisco, Morelos, Yucatán, Querétaro y Puebla– señala que el 58,9 % de las organizaciones creen incorrectamente que el proveedor de la nube es responsable de asegurar el acceso privilegiado, mientras que el modelo de responsabilidad compartida establece claramente que es responsabilidad de la organización. Sin embargo, este cambio a la nube no ha pasado desapercibido para los ciberdelincuentes. De hecho, las filtraciones de datos en la nube debido a configuraciones incorrectas y el abuso de credenciales privilegiadas han aumentado en los últimos años.

Otro punto importante es que, si bien los especialistas en ciberseguridad advierten constantemente sobre el riesgo de ciberataques, pocas veces mencionan los riesgos asociados con internet de las cosas (IoT). Esto es algo que se requiere de forma urgente, pues hay muchos ejemplos de brechas de seguridad de IoT que han logrado su cometido, como Stuxnet, botnet Mirai, dispositivos cardíacos conectados, etcétera. La IoT en cualquiera de sus presentaciones –sistemas de seguridad física, luces, electrodomésticos, calefacción, aire acondicionado, sistemas y agentes automatizados basados en inteligencia artificial, como chatbots– expone tanto a las empresas como a los consumidores a una amplia gama de amenazas de seguridad.

Por lo tanto, la IoT debe considerarse parte de una superficie de ataque más amplia que requiere medidas de protección. Si bien los dispositivos de IoT de consumo como Amazon Alexa, Google Home, los sistemas de automatización del hogar Nest Labs y los dispositivos portátiles inteligentes acaparan todos los titulares, la mayor proporción de dispositivos de IoT no se utiliza en los hogares. Se implementan en plantas de fabricación, negocios minoristas y en la industria de la salud. Las fuertes tasas de adopción en estas verticales están vinculadas a los beneficios que brindan los dispositivos de IoT en términos de seguimiento de inventario, administración de máquinas, aumento de la eficiencia, mejora de la interacción y el servicio con el cliente, reducción de costos de mantenimiento e incluso salvar vidas.

Otro punto a considerar es que las identidades incluyen no solo personas, sino también cargas de trabajo, servicios y máquinas. De hecho, las identidades no humanas representan la mayoría de los “usuarios” en muchas organizaciones. A menudo se asocian con cuentas privilegiadas y, por lo general, tienen una huella mucho mayor que las cuentas privilegiadas humanas tradicionales dentro de las infraestructuras de tecnología modernas. Esto es especialmente cierto en entornos de nube, donde la automatización de tareas juega un papel dominante. Estos a menudo representan un punto ciego, ya que las identidades de la máquina, la IoT, la cuenta de servicio y la aplicación no siempre se consideran al establecer controles de seguridad.

Establecer un perímetro sólido e invertir en un equipo de seguridad bien formado sigue siendo importante, pero las organizaciones deben ajustar sus estrategias de seguridad para adaptarse a las amenazas modernas y centrarse en la identidad y las credenciales. En este contexto, otorgar privilegios mínimos es esencial para evitar el acceso no autorizado a los sistemas críticos para el negocio y a los datos confidenciales, tanto por parte de personas internas como de agentes externos de amenazas.

Estamos a muy buen tiempo de reflexionar y definir la estrategia de ciberseguridad para 2021. Necesitamos tener una avanzada tecnología y un personal capacitado, pues la estrategia de ciberseguridad debe ser parte de la estrategia de negocios. Y siendo así, es una responsabilidad de toda la organización.

Sobre el autor: Víctor Ruiz es fundador de SILIKN.