Caso 1: Michael Coates – Former CISO en Mozilla y Twitter
La preparación es todo
El incidente
Aprendizajes de Brechas de Seguridad: Caso 1 | A Michael Coates le vienen a la mente dos incidentes interesantes de su época en Twitter. El primero fue un ataque de Estado-nación perpetrado por Arabia Saudita en conjunto con empleados que manejaban información privilegiada. «Era el peor de los casos, adversarios bien financiados e información privilegiada»
Por otro lado, se produjo otra supuesta filtración en la que los atacantes informaron a los periodistas de que habían tenido acceso a millones de nombres de usuario y contraseñas. Al final, resultó ser una afirmación falsa, pero aun así tuvimos que pasar por los procedimientos de respuesta a incidentes.
Las malas noticias pueden llegar por distintos canales. «En todas esas situaciones se te para el corazón y hay un poco de pánico», recuerda Coates. «Inmediatamente empiezas a pensar en reunir información para probar, refutar o investigar más a fondo. ¿A quién traemos a la sala? ¿Qué sistemas necesitaremos?».
En realidad, deberías estar pensando en la preparación que ya has ejecutado. Los libros de ruta y de jugadas. Desde el punto de vista táctico, también es el momento de despejar los calendarios, poner manos a la obra y prepararse para largas noches de trabajo.
Los aprendizajes
Una brecha no significa un fracaso
Algunos ven la seguridad como un equipo destinado a prevenir todas las infracciones. Coates discrepa, en cierto modo. Si a un equipo de seguridad se le asigna el objetivo de prevenir todas las violaciones, entonces aplastaría todos los riesgos en todo momento. Esto anularía cualquier decisión empresarial que pudiera reducir el riesgo. Por otro lado, los clientes esperan que usted proteja sus datos.
«Una filtración de datos no significa necesariamente un fracaso, pero eso sí, con un asterisco muy grande», dice Coates. «Lo que importa es lo grave que sea la filtración y cuánto te hayas preparado con antelación».
La preparación de una empresa tiene un límite. Es posible que una empresa haga todo lo humanamente posible y utilice las últimas herramientas de ciberseguridad, y aun así se produzca una brecha.
Se espera que…
→ Se han implementado todos los controles de seguridad estándar del sector.
→ Se ha planificado y se han preparado para una brecha.
→ Cuando se produzca una brecha, serán sinceros y harán público lo que saben y lo que no saben.
→ Como tienen controles de mitigación, la brecha no será catastrófica.
«Lo que los consumidores, las empresas y el público en general no entenderán es si la brecha es atroz», dice Coates. «Solo entonces es que creo que una violación de datos podría significar un fracaso».
Conocerás mejor a tu equipo
«Definitivamente se ve quién está preparado para trabajar bajo presión», dice Coates. «Una cosa que Hollywood consigue bien es la imagen de gente encorvada sobre ordenadores portátiles rodeada de cajas de pizza. Todos trabajan juntos hasta después de haber pensado que se irían a casa y hasta que las neuronas dejan de funcionar».
También verás quién es capaz de resolver problemas de forma creativa, ya sea uniendo los puntos o trabajando cuando un conjunto de datos no está perfectamente formateado. Verás quién es capaz de pensar como un atacante. La psicología y la motivación empiezan a jugar un papel. Hay muchas cosas que podrían pasar, pero la pregunta es ¿qué hizo el atacante? Te darás cuenta quiénes son las personas que pueden adoptar esa mente de detective.
Otra característica es la «organización en desorden». Algunas personas son capaces de tomar datos dispares y formularlos en un informe preciso de lo sucedido. Son capaces de establecer líneas de tiempo y reconocer dónde hay lagunas, de modo que esas lagunas puedan constituir líneas de investigación.
«Si has construido un equipo bueno y sólido con antelación, eso se verá reflejado ampliamente en situaciones en las que tengan que brillar», aconseja Coates.
No intentes contratar “unicornios”
«Algunos de los mejores ingenieros y analistas de seguridad con los que he trabajado tenían antecedentes variados y únicos», recuerda Coates. Muchas de las personas que prosperan durante una brecha grave son personas que en el pasado se han visto en situaciones estresantes, y no necesariamente relacionadas con la tecnología.
Una de las personas con las que trabajó Coates tenía experiencia previa como coordinador de peones. Eso le aportó capacidad de gestión y una mentalidad de resolución de problemas de incalculable valor. Otro tenía experiencia como técnico de emergencias médicas en situaciones de gran tensión.
«La ‘preocupación por la escasez de talentos’ es un reflejo de la inmadurez del sector», dice Coates. «Demasiados directores de seguridad contratan a lo que yo llamaría unicornios». Algunas descripciones de puestos en el sector de la ciberseguridad son poco realistas y exigen 10 o 15 años de experiencia laboral. Estas descripciones tienen demasiada antigüedad y solapan disciplinas.
Los responsables de ciberseguridad deben revisar sus equipos y dividir las funciones en distintos niveles. Hay que distinguir las funciones senior y también las tareas junior para los nuevos talentos. Con esas nuevas funciones junior se puede formar un «pipeline». «En Mozilla y Twitter teníamos una magnífica cantera de jóvenes talentos y becarios a través de Year Up», dice Coates. «Así que no sé si me creo lo de ‘la escasez’. Creo que gran parte recae sobre nosotros».
¿Te pareció interesante esta información? No te pierdas de más aprendizajes de líderes de empresas multinacionales junto con nuestros amigos de Lumu Technologies para aprender sobre brechas de seguridad.
Para cualquier tipo de ciberataque, la preparación lo es todo… ¿tu empresa está lista para hacer frente a cualquier reto de ciberseguridad? De la mano de BG2 Services podrás tener equipos altamente capacitados y una cobertura superior gracias a nuestras soluciones avanzadas. ¡Contáctanos para obtener más información!
Fuente:
- Brown, J. (2022). CISOs´ LESSONS from Security Breaches. Lumu Technologies. https://lumu.io/resources/cisos-lessons-from-security-breaches/
