Diferentes líderes en seguridad comparten consejos que le pueden ayudar a sacar más provecho de sus inversiones actuales en ciberseguridad, que van desde evaluaciones de riesgos basadas en escenarios hasta el aprovechamiento de la inteligencia artificial.
En lo tocante a las inversiones en ciberseguridad, los inteligente es destinar el dinero a aquellas iniciativas que ofrecen la mayor protección al menor coste posible. Pudiera parecer un cálculo sencillo, pero a veces puede ser cualquier cosa menos eso.
Los CISO han de encarar retos de manera continua para conseguir la financiación necesaria para proteger su empresa. Y no son pocas las ocasiones en las que se ven en una posición difícil para estirar los recursos sin poner en peligro el negocio.
En consecuencia, tanto si lo que pretende es maximizar su presupuesto de ciberseguridad como demostrar el valor de sus operaciones de ciberseguridad con intención de obtener más inversión de cara al futuro, resulta imprescindible sacar el mayor partido de sus iniciativas de ciberseguridad. Para ello, aquí tiene siete maneras de mejorar el retorno de la inversión en ciberseguridad.
Calcule el impacto financiero potencial de las ciberamenazas
No puede medir el retorno de la inversión en ciberseguridad únicamente en términos de mejora de costes, eficiencias o aumento de ingresos. Así es como lo ve Joyce Harkness, directora de la empresa de investigación y asesoramiento tecnológico ISG. En su opinión, “La ciberseguridad existe para que el uso de la tecnología sea menos arriesgado tanto para las empresas como para los particulares”, y añade: “Las métricas precisas permiten a las organizaciones tomar decisiones basadas en información, identificar tendencias y compararse con la competencia, y esto le permite realizar ajustes estratégicos que conducen a mejores resultados”.
Harkness recomienda adoptar un enfoque de cuantificación del riesgo cibernético (CRQ) que mida el riesgo para que los líderes puedan entender y relacionar con sencillez cómo cuantificarlo desde un punto de vista financiero.
Para esta especialista, “el CRQ llama la atención de los altos directivos que desean gestionar las inversiones en ciberseguridad utilizando métricas claras, para nada técnicas, y accesibles para las empresas. En el entorno actual de ciberseguridad, que cambia rápidamente, las mediciones del CRQ ayudan a perfeccionar y mejorar las estrategias, lo que garantiza que los recursos limitados puedan utilizarse eficazmente, y eso conduce a resultados optimizados para obtener mejores resultados empresariales”.
Es más, a su juicio, un enfoque de CRQ también se traduce en iniciativas de seguridad más sólidas al tiempo que mejora el ROI.
Realizar evaluaciones de riesgos basadas en escenarios
Or Klier, socio y director general de la empresa de consultoría de gestión Boston Consulting Group, sugiere prestar atención a un enfoque eficaz, aunque poco utilizado, para mejorar el ROI, como es desarrollar evaluaciones de riesgos cuantitativas según distintos escenarios.
“Este enfoque, aplicado a diferentes niveles dentro de la organización, permite a toda la empresa optimizar su cartera de iniciativas de ciberseguridad”, y añade: “Garantiza que cada dólar gastado contribuya directamente a una reducción medida del riesgo”.
Por su parte, Vanessa Lyon, directora general y socia principal de Boston Consulting Group, la evaluación de los riesgos basada en escenarios puede mejorar la eficacia de la siguiente manera: “Identifica y cuantifica el impacto financiero de los riesgos, dejando claro qué iniciativas aportan más valor. Además, al vincular las iniciativas de ciberseguridad con los resultados empresariales, el enfoque garantiza que las decisiones se tomen en función de los riesgos, y no sólo para cumplir las normas. Combinar una evaluación detallada de los activos críticos con estrategias para toda la empresa da lugar a un enfoque equilibrado que cubre tanto los riesgos específicos como los sistémicos”.
Aunar recursos de seguridad con socios del sector
Steve Tcherchian, CISO de la empresa de tecnología de seguridad XYPRO.com, recomienda provechar las redes de intercambio de inteligencia sobre amenazas dentro del sector en el que trabaje su empresa para defenderse de forma proactiva contra las amenazas emergentes dirigidas a ese sector.
En su opinión, las empresas pueden mitigar los riesgos de forma más rentable que abordándolos de forma aislada. Para ello basta con poner en común recursos e información. “Por ejemplo, las empresas de servicios financieros comparten inteligencia sobre amenazas para reforzar colectivamente sus defensas”, dice al respecto
Tcherchian considera que compartir inteligencia y recursos de seguridad proporciona una alerta temprana sobre amenazas y vulnerabilidades específicas dirigidas al sector en el que trabaje su empresa. Y añade: “Esto permite a todos los miembros de ese sector preparar sus defensas antes de que se produzca un ataque. Este enfoque colaborativo reduce la duplicación de esfuerzos y distribuye el coste de la inteligencia a través de la red del sector”.
En primer lugar, este especialista recomienda unirse a un grupo de intercambio de información específico del sector, como los recomendados por el Consejo Nacional de ISAC, o simplemente crear un consorcio privado con compañeros de confianza. “Integre la inteligencia compartida en sus sistemas SIEM o de detección de amenazas para la alerta y respuesta automatizadas y comparta sus esfuerzos”, afirma.
Deje que la IA se encargue de las tareas rutinarias
Nikhil Sarnot, director general de la unidad de seguridad de Accenture, reconoce que usar IA generativa con el propósito de gestionar tareas de seguridad operativas y repetitivas, es todo un cambio de juego si lo que se pretende es incrementar el retorno de la inversión en ciberseguridad.
Este especialista considera que “la IA genérica ofrece velocidad, coherencia y escalabilidad a la hora de automatizar la recepción y la clasificación, o bien acometiendo revisiones del código de vulnerabilidad o supervisando el cumplimiento, la IA”, señala.
A partir de recientes pruebas de conceptos y de un análisis de los costes de recursos humanos, tanto internos como externos, Sarnot sostiene que existe potencial para lograr reducciones de costes sostenidas del 30% al 50 %. Aunque eso depende, en su opinión, de las inversiones actuales de la organización en ciberseguridad, al tiempo que se incrementa de manera exponencial el alcance y la profundidad de las actividades de seguridad.
“La IA general permite a los profesionales de la ciberseguridad descargarse de tareas rutinarias que requieren mucho tiempo, manteniendo la precisión”, afirma Sarnot. Este especialista explica que, a diferencia de las técnicas tradicionales de IA/AA, que se ven limitadas por la necesidad de datos estructurados, la IA genérica puede albergar diversas señales de ciberseguridad y manejar de manera eficaz datos abstractos o no estructurados que antes requerían ser revisados por una persona. En consecuencia, esto permite a los profesionales de la ciberseguridad centrarse en trabajos de mayor valor tales como la gestión estratégica de riesgos cibernéticos y el modelado de amenazas. “En última instancia, se trata de escalar de forma más inteligente, mejorar la eficiencia y reducir el agotamiento de los flujos de trabajo manuales”, afirma.
Por eso Sarnot recomienda empezar poco a poco. Lo primero que propone es automatizar los flujos de trabajo de gran volumen y que requieren muchos recursos, que ahora realizan personas a partir de herramientas como runbooks. “Adopte un modelo de generación aumentada por recuperación (RAG) adecuado para garantizar que el modelo base siempre utilice aquel contexto organizativo que considere más apropiado”, para añadir: “A continuación, gane confianza gradualmente y extiéndalo a tareas más complejas, como el análisis de código para detectar riesgos de seguridad y privacidad”.
En última instancia, que esta adopción tenga éxito o no depende, según Sarnot, de la integración perfecta de la IA general en las herramientas y flujos de trabajo existentes, a la vez que se mantiene manteniendo la supervisión a través de un modelo sólido de colaboración entre humanos y IA. Sin embargo, recomienda abordar la tecnología con cautela. “Aunque su potencial es inmenso, las capacidades de la IA general aún están en las primeras etapas de comprensión y adopción entre los profesionales de la seguridad”, recomienda.
Incorpore un ingeniero de FinOps a su equipo
Richard Marcus, director de seguridad de la información de AuditBoard, un proveedor de software de auditoría, riesgo y cumplimiento, dice que los ingenieros de FinOps son capaces de identificar oportunidades fáciles para optimizar costes en las áreas en las que más se gasta. “Son expertos en optimización de licencias, negociación con proveedores y, lo que es más importante, racionalización y eliminación de duplicaciones en su cartera de soluciones”.
Un ingeniero de finanzas operativas es capaz de identificar formas de ahorrar sólo con migrar a tipos de servicios y recursos que sean más rentables y se adapten mejor a las necesidades específicas de protección. Según Marcus, la mayoría de los costes de seguridad se basan en la huella de la infraestructura como factor de escala.
“Al dimensionar correctamente la infraestructura, el ahorro puede venir tanto de la parte de los costes de infraestructura en sí, como también de todas las soluciones de seguridad necesarias para proteger la infraestructura, como WAF, IDS y muchas otras”, afirma Marcus, y añade que los ingenieros de FinOps también pueden garantizar la obtención del máximo valor de las diversas soluciones proporcionadas por los proveedores.
Invertir en automatización
Se ha demostrado que la automatización es muy útil para mejorar el retorno de la inversión en ciberseguridad, tanto en seguridad mejorada como en ahorro de resultados. Jon Taylor, director y responsable de seguridad de Versa Networks, proveedor de tecnología SASE y SD-WAN, cree firmemente en AIOps, una práctica que utiliza inteligencia artificial y aprendizaje automático para mejorar y automatizar numerosas operaciones de TI, incluida la seguridad.
Taylor asegura que las AIOps pueden, por ejemplo, mejorar mucho el rendimiento de las operaciones de seguridad, ya que prioriza los incidentes críticos y presenta la causa más relevante como punto de partida para cualquier investigación. “Cuando se integran en la infraestructura y los flujos de trabajo, se puede medir la respuesta a los incidentes en segundos y minutos en lugar de horas y días”.
Sea proactivo
Tia Hopkins, directora de ciberresiliencia y directora técnica de campo de la empresa de detección y respuesta gestionada eSentire, es de la opinión de que la gestión continua de la exposición a amenazas (CTEM), un término acuñado por Gartner, prioriza y remedia las amenazas. A su juicio, se trata de un enfoque proactivo de la ciberseguridad que identifica, prioriza y mitiga de manera continua la exposición a posibles amenazas, alineando los esfuerzos de seguridad con los objetivos empresariales.
“El CTEM aprovecha los conocimientos basados en datos y la validación continua para optimizar la reducción de riesgos y maximizar la eficacia de las inversiones en seguridad”, afirma.
El CTEM alinea las inversiones en seguridad de la empresa con resultados medibles mediante la evaluación y el tratamiento continuos de las posibles exposiciones a amenazas en toda la organización. “Si se hace bien, también mejora la comunicación interfuncional e impulsa la priorización al ayudar a las organizaciones a centrar sus recursos en sus riesgos más críticos”, recomienda Hopkins.
La adopción de CTEM consta de cinco etapas: alcance, descubrimiento, priorización, validación y movilización. Hopkins aconseja empezar por el alcance para definir los objetivos e identificar los activos, las amenazas y el contexto empresarial. “A continuación, pase al descubrimiento para trazar un mapa de las exposiciones, vulnerabilidades y rutas de ataque en toda la organización. Utilice la priorización para centrarse en los riesgos más críticos mediante el uso de métricas basadas en datos, seguido de la validación para garantizar la eficacia de los controles de seguridad y verificar las rutas de ataque críticas”.
“Por último, aproveche la movilización para integrar los hallazgos en flujos de trabajo que se puedan procesar, y no olvide automatizar los procesos y mejorar continuamente la postura de seguridad de su empresa en función de las amenazas en evolución», dice para concluir.
Fuente: Computerworld