Hitachi Vantara potencia el almacenamiento híbrido en Azure
La velocidad de los ataques, el robo de credenciales, la expansión de la superficie digital y la incorporación de inteligencia artificial están transformando el rol del CISO. Camilo Gutiérrez, Field CISO de ESET para América Latina, plantea que la conversación debe abandonar la obsesión por impedir cualquier incidente y concentrarse en una pregunta más crítica para el negocio: ¿qué necesita seguir funcionando cuando el ataque consiga atravesar las defensas?
Hay una pregunta que durante años pareció perfectamente razonable en una conversación entre el CISO y el resto de la organización: ¿estamos protegidos? El problema es que el rol del CISO está cambiando al mismo ritmo que el riesgo cibernético. La velocidad de los ataques, el robo de credenciales, la expansión de la superficie digital y la incorporación acelerada de inteligencia artificial están obligando a los responsables de ciberseguridad a replantear su relación con el negocio.
Durante años, la respuesta se buscaba en firewalls, antivirus, controles de acceso, monitoreo, políticas y una creciente colección de herramientas destinadas a mantener al atacante fuera de la organización.
Pero algo cambió.
El negocio comenzó a moverse más rápido. La nube desdibujó el perímetro. Los proveedores pasaron a formar parte de procesos críticos. Las identidades se convirtieron en uno de los principales objetivos de los atacantes. Y ahora la inteligencia artificial está introduciendo una nueva capa de complejidad.
En paralelo, los ciberataques también aceleraron.
Por eso, quizás, la pregunta ya no debería ser si estamos protegidos, sino cuánto puede resistir el negocio cuando inevitablemente algo falle.
Esta fue una de las ideas que atravesó mi conversación con Camilo Gutiérrez, Field CISO de ESET para América Latina, con quien hablamos sobre la evolución del riesgo cibernético, la identidad, la inteligencia artificial, la cadena de suministro y, sobre todo, sobre el papel que está llamado a desempeñar el CISO dentro del C-Level.
La conversación completa está disponible en nuestro canal de YouTube, donde puede consultarse la entrevista íntegra.
¿Está avanzando el negocio más rápido que la ciberseguridad?
The Standard CIO: Hay una transformación que me parece especialmente interesante. Durante mucho tiempo la ciberseguridad parecía ser ese último accesorio que se incorporaba a la arquitectura tecnológica, casi como el tuning que se le hacía al coche antes de sacarlo del taller. Hoy hablamos de seguridad desde el diseño y de ciberresiliencia como una condición de continuidad del negocio. ¿Cuál es el principal desafío que está enfrentando el CISO latinoamericano?
Camilo Gutiérrez: Hay un tema transversal a todas las organizaciones, o por lo menos a la gran mayoría, y es la asimetría que existe entre la velocidad a la que va el negocio y la velocidad a la que va la ciberseguridad.
Ya no es solamente hacer frente a un incidente, frenarlo y bloquearlo. Tenemos que asumir que vamos a tener un incidente y estar preparados para hacerle frente.
Tenemos que tener los planes, probarlos y saber responder a esa eventualidad.
El desafío para el CISO es proteger ese crecimiento, garantizar la confianza y asegurar la continuidad del negocio ante cualquier incidente que pueda presentarse.
¿Está cambiando el rol del CISO?
The Standard CIO: Si aceptamos que la ciberresiliencia no es un proceso que se agota nunca, ¿cuál debería ser entonces la prioridad de la hoja de ruta del CISO?
Camilo Gutiérrez: Creo que la conversación debería pasar de plantearnos si estamos protegidos o no.
Hoy, con la tecnología y la forma en que funcionan los ataques, no tenemos herramientas para responder con total seguridad que sí estamos protegidos y que no va a pasar nada.
Entonces deberíamos preguntarnos cuáles son esos activos de información que no nos podemos dar el lujo de que se caigan, que los ataquen o que alguien ingrese a ellos.
¿Cuánto le costaría a la empresa que esos servidores o esos equipos dejaran de funcionar? ¿Qué pasaría si el correo electrónico no funcionara? ¿Tenemos el músculo operativo para sobrevivir cuando algo falla?
Si migramos la conversación hacia identificar realmente cuál es el apetito de riesgo de la organización, va a ser mucho más fácil definir cuáles son los esfuerzos, las inversiones en tecnología, procesos y personas que debemos hacer.
Ahí es donde deberíamos centrar los esfuerzos: en esas joyas de la corona que tenemos que garantizar.
Del break in al login: ¿estamos mirando correctamente el problema de la identidad?
The Standard CIO: Hay otro elemento que me genera inquietud. Durante años hemos construido una parte importante de la seguridad alrededor de un paradigma bastante pobre: un usuario, una contraseña y la expectativa de que ese usuario sea suficientemente disciplinado para protegerla. ¿No necesitamos romper de una vez con ese modelo?
Camilo Gutiérrez: Hay algo que hemos discutido mucho dentro de nuestros equipos de investigación: durante años hemos dicho que el usuario es el eslabón más débil de la cadena.
Pero no podemos quedarnos en eso.
Los ataques han evolucionado y hoy los cibercriminales ya no necesariamente buscan romper algo para entrar. Buscan credenciales, una forma de acceder más silenciosamente y utilizar ese acceso.
Por eso hablamos de que estamos pasando del break in al login.
Hemos visto el crecimiento de los infostealers y del robo de credenciales porque son los insumos que utilizan los atacantes para conseguir acceso a las organizaciones.
Tenemos que modernizar la forma en que autenticamos a nuestros usuarios, utilizar doble factor de autenticación y gestionar adecuadamente los privilegios.
Pero hay algo más importante: tenemos que estar preparados para cuando alguien consiga acceder.
Tenemos que poder detectar que hay alguien dentro, que está pivotando de un equipo a otro, buscando información, intentando exfiltrar datos o ejecutar algún tipo de código.
Y ahí las tecnologías que nos dan visibilidad y capacidad de detección se vuelven importantes.
Porque hace seis meses podíamos hablar de semanas entre el momento en que el atacante ingresaba y dejaba un ransomware. Hoy estamos hablando de minutos.
Tenemos que tener capacidades de detección que equiparen la velocidad de las herramientas que utilizan los atacantes.
¿Seguimos culpando demasiado al usuario?
The Standard CIO: Me parece que aquí hay un cambio cultural importante. Porque si seguimos diciendo que el usuario es el eslabón más débil, terminamos trasladando a una persona una responsabilidad que quizás debería estar mucho más distribuida dentro de la arquitectura de seguridad.
Camilo Gutiérrez: Exactamente.
La capacitación tiene que seguir. Tenemos que trabajar en ciberhigiene y en el manejo adecuado de la información.
Pero no podemos quedarnos en que el usuario es el eslabón más débil.
Si alguien consigue el usuario y la contraseña y después entra, instala un ransomware y compromete la organización, no podemos simplemente decir que es culpa de la persona a la que le robaron la información.
Tenemos que preguntarnos qué más tenemos preparado.
Si alguien consiguió las credenciales, ¿cómo vamos a detectarlo? ¿Cómo vamos a saber que está dentro? ¿Cómo vamos a bloquearlo antes de que ese acceso se convierta en un incidente?
El usuario puede equivocarse. La arquitectura de seguridad no debería depender de que nadie se equivoque nunca.
¿Puede la inteligencia artificial oxigenar el déficit de talento?
The Standard CIO: Tenemos además una restricción que no desaparece: el déficit de capacidades profesionales. Lo vemos en América Latina, pero también en Europa. ¿Puede la IA comenzar a cerrar ese gap?
Camilo Gutiérrez: Creo que sí. La inteligencia artificial ayuda a facilitar y agilizar muchas tareas dentro de equipos que ya están sobrecargados.
Nosotros tuvimos un caso en investigación en el que encontramos una campaña que implicaba analizar más de 3.000 muestras de código malicioso.
Analizar 3.000 muestras para una o varias personas lleva tiempo. Con un modelo bien entrenado, con un agente bien entrenado y en un entorno controlado, una tarea que quizás nos hubiera llevado dos o tres semanas la terminamos resolviendo en dos días.
Te ayuda y te acelera muchísimo la forma de trabajar.
Pero la necesidad de personas va a seguir estando.
No es lo mismo que alguien con experiencia y conocimiento utilice y guíe una inteligencia artificial para obtener una solución, que alguien que no tiene conocimientos escriba un prompt y obtenga algo que parece válido.
La IA puede acelerar el trabajo, pero el criterio sigue siendo humano.
¿Y qué ocurre cuando la solución también amplía la superficie de ataque?
The Standard CIO: Aquí aparece una paradoja que me parece muy interesante. Necesitamos IA para aumentar nuestra capacidad, pero cada nueva tecnología también puede convertirse en una nueva superficie de ataque. ¿Cómo se resuelve esa contradicción?
Camilo Gutiérrez: Hay que gobernar la IA.
Si vamos a implementarla, tenemos que definir qué modelos vamos a utilizar, quién los va a utilizar, cómo se van a utilizar y capacitar a las personas.
Hay que hacerlo antes de escalar.
Con la nube tuvimos una experiencia parecida. Muchas empresas trasladaron lo que tenían en sus centros de datos a la nube porque era más ágil y permitía hacer muchas cosas, pero algunas lo hicieron sin considerar adecuadamente temas de regulación, privacidad y seguridad.
Con la inteligencia artificial tenemos que aprender de eso.
Tenemos que preguntarnos dónde vamos a utilizarla, qué información va a manejar, qué modelos vamos a utilizar y cuál es el presupuesto que tenemos.
Incluso habrá que decidir si tiene sentido utilizar un modelo de frontera, invertir en infraestructura propia para correr nuestros modelos o recurrir a un tercero que nos proporcione esa infraestructura.
La discusión sobre IA va a pasar necesariamente por la gobernanza.
Si ya no existe un perímetro propietario, ¿dónde termina la responsabilidad del CISO?
The Standard CIO: La nube nos enseñó que migrar todo no necesariamente era la respuesta. Hoy tenemos un escenario todavía más complejo: proveedores cloud, SaaS, modelos de IA e infraestructura de terceros. ¿Cómo está cambiando la gestión de la cadena de suministro?
Camilo Gutiérrez: Estamos cada vez más interconectados y dependemos de infraestructuras y servicios de terceros.
Antes pensábamos en esos terceros como proveedores con los que trabajábamos.
Ahora son básicamente parte del perímetro del negocio.
Si tengo un proveedor que maneja información de mi organización, tengo que poder exigirle cómo maneja y gobierna esa información y cuáles son sus medidas de ciberseguridad.
Y aquí tenemos un reto importante en nuestra región porque existe una gran disparidad entre las empresas grandes, que tienen más conciencia y músculo financiero, y las empresas pequeñas.
Tenemos que conseguir que esos eslabones de la cadena de suministro tengan una gestión adecuada de la seguridad para que, si uno falla, no termine afectando a toda la organización.
¿Los directorios ya entienden el riesgo cibernético?
The Standard CIO: Una de las cosas que más me interesa es saber si todo esto ya escaló realmente al directorio. ¿El riesgo cibernético está siendo tratado como el riesgo financiero, reputacional o de continuidad del negocio?
Camilo Gutiérrez: Creo que el tema ya escaló al C-Level.
Los directorios ya entendieron que el riesgo de ciberseguridad existe.
Pero todavía falta bastante trabajo en gobernanza.
Algo que he escuchado conversando con responsables de ciberseguridad de Chile, Argentina y Paraguay es que muchas empresas tienen como principal preocupación cumplir alguna normativa para que no las multen.
Y ese no debería ser el mayor riesgo.
El riesgo debería ser que te ataquen y que alguien comprometa la ciberseguridad de tu organización.
Si gestionas y mitigas ese riesgo, vas a estar respondiendo también al riesgo de que te pongan una multa porque estás haciendo las cosas bien.
Tenemos que cambiar ese switch.
Entonces, ¿a qué está llamado el CISO?
The Standard CIO: Si la complejidad va a seguir creciendo y la velocidad de los ataques también, ¿a qué está llamado el CISO en el corto plazo?
Camilo Gutiérrez: Creo que la conversación debería cambiar.
En lugar de preguntarnos si estamos protegidos, tenemos que identificar cuáles son esos activos de información que no nos podemos dar el lujo de perder.
Tenemos que saber cuánto le costaría a la empresa que esos sistemas dejaran de funcionar y si tenemos el músculo operativo para sobrevivir cuando algo falla.
Tenemos que identificar esas joyas de la corona y, a partir de ahí, centrar los esfuerzos en garantizar su seguridad.
La tecnología es fundamental, pero las personas y los procesos no se pueden dejar de lado.
Si tenemos un proceso de backup y recuperación para cuando una infraestructura tenga un ransomware o deje de estar disponible, ese plan tiene que estar probado.
Tenemos que comprobar que realmente podemos restablecerlo en el tiempo esperado.
Si cambiamos el alcance de estas discusiones dentro del C-Level, podremos evolucionar.
En últimas, lo que le interesa al negocio es que siga funcionando.
Y si llega a tener un problema, tener las herramientas suficientes para volver a estar operativo lo más rápido posible, minimizando las pérdidas dentro de la organización.
El rol del CISO cambia cuando cambia la pregunta
Hay una idea que queda dando vueltas después de la conversación con Camilo Gutiérrez.
Quizás el problema no sea que las organizaciones necesiten simplemente más seguridad.
Quizás seguimos haciendo la pregunta equivocada.
Durante años hemos construido buena parte de la conversación alrededor de “¿estamos protegidos?”.
Pero en un entorno donde las credenciales se roban, los atacantes operan a velocidad de minutos, la IA amplía simultáneamente nuestras capacidades y nuestra superficie de exposición, y los proveedores forman parte del perímetro del negocio, esa promesa resulta cada vez más difícil de sostener.
La pregunta que empieza a importar es otra:
¿Qué no puede dejar de funcionar?
A partir de ahí aparecen las verdaderas conversaciones del negocio: apetito de riesgo, impacto financiero, prioridades, inversión, recuperación y continuidad.
Y quizás esa sea la transformación más importante en el rol del CISO.
Dejar de ser únicamente el responsable de impedir que el ataque ocurra para convertirse en el responsable de que, cuando ocurra, el ataque no consiga detener el negocio.
