馃帳#Entrevista | La nube, con todos los beneficios que trae, no es intr铆nsecamente m谩s segura: Cisco

Juan Marino, gerente de Estrategia de Ciberseguridad para Am茅rica Latina de Cisco, habl贸 con DPL News sobre avances y retos en la materia, posici贸n de la regi贸n y cambio de tendencias en los ataques en el contexto de pandemia. La ciberseguridad como cualidad y la importancia de ser digitalmente confiable.

834

Conversaci贸n, an谩lisis, plan de acci贸n y de ah铆 generar capacidad para saber el nivel de exposici贸n en los distintos ambientes de trabajo son los desaf铆os que presentan las entidades en materia de ciberseguridad, se帽al贸 a DPL News Juan Marino, gerente de Estrategia de Ciberseguridad para Am茅rica Latina de Cisco. Consider贸 que, a煤n en un contexto de mayor consciencia, todos est谩n expuestos y si alguien quiere atacar lo m谩s probable es que lo logre: hay que prepararse y minimizar el da帽o. 

驴Qu茅 es la ciberseguridad para Cisco? 

La ciberseguridad no es lo mismo que hace 10 a帽os. Para nosotros transciende la definici贸n que podes encontrar en Google, que puede ser que son procesos, herramientas y tecnolog铆as para proteger activos o sistemas digitales. Eso es parcial, porque habla de la seguridad como el medio pero tambi茅n es una cualidad, la de poder hacer algo con una percepci贸n de la que el riesgo es aceptable. Si entras a un banco, te sentis seguro, porque hay muchos controles. En el 谩mbito digital es lo mismo, ciberseguridad es la cualidad que logra una entidad que desde la 贸ptica del cliente o consumidor maneja bien sus datos, garantiza privacidad y, en definitiva, es digitalmente confiable. Eso es la ciberseguridad y, para lograrlo, est谩 la otra parte, la de proteger sistemas digitales. Tomarlo seriamente es que el m谩s alto nivel de una organizaci贸n entienda todas estas dimensiones y lo vea como un aliado, como un elemento que te habilita a ser m谩s competitivo en el negocio. Hoy un cliente elige a su proveedor tambi茅n porque es confiable desde lo digital.

驴Cu谩les son los tres desaf铆os m谩s urgentes en materia de ciberseguridad?

Ya pasamos por la etapa de continuidad, de poder seguir trabajando en el contexto de pandemia, y podemos decir que fue un 茅xito porque las empresas siguieron funcionando pero eso nos trae un aumento del riesgo: algunas empresas lo saben y otras no. La prioridad es tener una conversaci贸n seria a todos los niveles para replantearse el riesgo actual y las condiciones que existen para gestionarlo. Primero el an谩lisis, despu茅s el plan de acci贸n por etapas, en la que la inicial es robustecer los controles de acceso, que hoy no pueden depender de un usuario y una contrase帽a. El tercero es capacidades para tener visibilidad y saber lo que est谩 pasando en tu ambiente, que ahora no es solo una oficina. Esa capacidad te va a permitir saber si est谩s expuesto a riesgos muy grandes y luego monitorear para poder detectar y responder a tiempo.

La pandemia forz贸 a replantearse cosas. En las organizaciones en las que la ciberseguridad estaba un poco relegada se puede ver (al contexto) como acelerador pero en l铆neas generales no se avanza lo suficientemente r谩pido. Se habla de muchas cosas pero falta madurez

驴En qu茅 aspectos considera que hubo avances y en cu谩les retroceso en los 煤ltimos a帽os en materia de ciberseguridad?

En general s铆, hubo un avance. La pandemia forz贸 a replantearse cosas. En las organizaciones en las que la ciberseguridad estaba un poco relegada se puede ver (al contexto) como acelerador pero en l铆neas generales no se avanza lo suficientemente r谩pido. Se habla de muchas cosas pero falta madurez. Para cada caso hay un bagaje tecnol贸gico que se puede aplicar y que puede funcionar a un costo razonable pero a ninguna entidad le sobra: falta plata, gente, talento, profesionales que sepan m谩s all谩 de lo t茅cnico y lo operativo. Falta una visi贸n m谩s estrat茅gica, ese talento es m谩s escaso. Entonces, al final, el cliente est谩 un poco perdido. Ah铆 la importancia de las empresas como Cisco, que tienen un rol de consultores clave para definir la estrategia correcta.

Va a estar mejor protegido el recurso en la nube, s铆, pero es relevante controlar el flujo de la informaci贸n

驴Cu谩les son las mejores pr谩cticas para proteger servicios de nube cada vez m谩s implementados en empresas? 

La nube, con todos los beneficios que trae, no es intr铆nsecamente m谩s segura. El proveedor de un servicio s铆 tiene excelente capacidad para resguardar esa infraestructura, seguro m谩s que la empresa que contrata el servicio pero el problema es que la seguridad hay que verla en todo el trayecto: qui茅n controla lo que estoy subiendo a la nube, c贸mo se comparte esa informaci贸n entre nubes o entre usuarios y no hay que asumir que todo est谩 resuelto por el proveedor de servicio. A veces est谩 la ilusi贸n de que como es en la nube est谩 m谩s seguro pero primero hay que cuestionar. Va a estar mejor protegido el recurso en la nube, s铆, pero es relevante controlar el flujo de la informaci贸n. Ah铆 es que son necesarias soluciones complementarias. Primero hay que hacer un an谩lisis muy claro de arquitectura y despu茅s hay que implementar soluciones tecnol贸gicas. La seguridad por DNS –Cisco tiene la soluci贸n Umbrella-, es una forma muy f谩cil y efectiva de tener un control de todo lo que va hacia Internet.

Se est谩n creando propuestas educativas que apuntan a ese nuevo perfil, que debe entender qu茅 pasa y asesorar al negocio para tomar las decisiones porque el que tiene  el perfil tecn贸logo a veces no sabe qu茅 hacer; no todo se resuelve comprando tecnolog铆a

Con las nuevas formas de consumir servicios de seguridad, 驴las empresas  necesitan contratar capacidades o talentos para tener sus datos m谩s seguros?

Hoy todas las empresas son tecnol贸gicas, todo est谩 basado en procesos y tecnolog铆a. Entonces si vamos a las pymes de servicio, por ejemplo, todas la utilizan. Siempre tiene que haber alguien de tecnolog铆a. Si no se puede tener empleados, es necesario confiar en alg煤n proveedor que te ayude asesorando, implementando y monitoreando, tambi茅n manteniendo. Las grandes empresas s铆 tienen cada vez m谩s gente. Lo que se est谩 viendo en esos casos es que la ciberseguridad ya pas贸 a tener una entidad propia, paralela a TI, con l铆nea de reporte directa al m谩s alto nivel, lo que es s铆ntoma de madurez. 

Hay que reconocer que falta ese recurso, en un contexto en el que Am茅rica Latina tiene 600 mil puestos vacantes por falta de talento. Tambi茅n hay un cambio en eso, hist贸ricamente la educaci贸n en ciberseguridad estaba orientada a saber operar tecnolog铆as y ahora se ven aspectos t茅cnicos, legales y muchas otras aristas. Se est谩n creando propuestas educativas que apuntan a ese nuevo perfil, que debe entender qu茅 pasa y asesorar al negocio para tomar las decisiones porque el que tiene  el perfil tecn贸logo a veces no sabe qu茅 hacer; no todo se resuelve comprando tecnolog铆a. Hay que entender de una forma m谩s macro la relaci贸n entre tecnolog铆a y negocio y qu茅 es cr铆tico y que no y tambi茅n revisar los riesgos que se heredan de terceros: puedo proteger lo m铆o pero si tengo un proveedor que es parte de mi cadena de suministro y no tengo control sobre 茅l puedo estar en problemas. 

Hay una econom铆a del cibercrimen que busca un esfuerzo redituable: es mejor atacar a un pez gordo que tenga activos que se puedan capitalizar. Hoy si alguien tiene la intenci贸n de atacar, est谩n todas las posibilidades de que lo logre, entonces el tema es c贸mo lidiar con esa situaci贸n que va a ocurrir y minimizar el da帽o

驴Qui茅nes est谩n m谩s expuestos a los ciberataques: empresas, gobierno o personas? 

Expuestos est谩n todos por igual pero s铆 se puede analizar el riesgo. El riesgo lo podemos ver como una ecuaci贸n con variables como la vulnerabilidad, si hay una forma de atacar esa vulnerabilidad, si es probable que alguien me ataque y si en definitiva me genera un impacto, porque si no me hace nada no hay riesgo. De nuevo, expuestos est谩n todos: personas, empresas y gobierno pero el riesgo es mayor en entidades m谩s interesantes. Hay una econom铆a del cibercrimen que busca un esfuerzo redituable: es mejor atacar a un pez gordo que tenga activos que se puedan capitalizar. Hoy si alguien tiene la intenci贸n de atacar, est谩n todas las posibilidades de que lo logre, entonces el tema es c贸mo lidiar con esa situaci贸n que va a ocurrir y minimizar el da帽o. Si alguien se lo propone, va a lograr algo, porque es m谩s f谩cil atacar que defenderse. Vemos como tendencia un mayor enfoque de los ataques a entidades a las que se puede sacar m谩s r茅dito, antes era m谩s irregular pero ahora est谩n m谩s dirigidos.

驴Cu谩l es la posici贸n de Am茅rica Latina en el contexto mundial?

No estamos tan lejos del resto del mundo. Hay algunos 铆ndices que lo miden y dentro de la regi贸n est谩n bien posicionados, como Chile, Brasil, est谩 heterog茅neo. Tambi茅n es por olas, hay gobiernos que se enfocan en la transformaci贸n digital y luego se estanca un poco. No estamos ni mejor ni peor, lejos de sitios como Israel o Estonia que se sacan 10 en todo en materia de ciberseguridad, pero en general se observa falta de madurez. Como el cibercrimen est谩 globalizado, porque da igual atacar a una entidad de cualquier sitio, los pa铆ses menos preparado son m谩s vulnerables.