Hasta hace poco, la ciberseguridad se centraba en prevenir los ataques. Sin embargo, las empresas que confían demasiado en la prevención pueden verse desprevenidas si tampoco han planificado qué hacer después de que sus defensas hayan sido penetradas.
«La mayoría de las empresas no tienen un plan de respuesta a incidentes ni un socio adecuado. Cuando llega la crisis, cunde el pánico y el daño es aún peor», afirma Christophe Nicolas, vicepresidente sénior de Kudelski Security, la división de ciberseguridad de Kudelski Group SA.
«Muchas organizaciones no reconocen que las brechas son inevitables», afirma Charles Carmakal, director gerente de Mandiant, una unidad de la empresa de ciberseguridad FireEye Inc. «Las empresas tienen que hacer bien la seguridad todas las veces; al atacante solo le hace falta acertar una vez».
«A veces, que te pirateen no significa que te hayas dormido al volante. De hecho, algunas de las organizaciones más seguras del mundo han sido atacadas y vulneradas varias veces porque los actores de amenazas están dispuestos a invertir mucho tiempo y recursos para robar su propiedad intelectual. Las empresas con capacidades de seguridad maduras aprenden de los ataques y mejoran sus defensas», afirma el Sr. Carmakal.
No eres derrotista, sino realista, si admites que, por buenas que sean tus defensas, sufrirás una brecha. Entonces, ¿qué debes hacer cuando ocurra?
Evalúe la situación
Larry Collins, vicepresidente de E-Solutions de Zurich Insurance Group, afirma que las empresas deben preguntarse: «¿Hasta dónde llegaron? ¿Qué consiguieron? ¿Quiénes eran? ¿Cómo me recupero? ¿A quién debo informar? ¿Qué planes de negocio necesito para sustituir esa propiedad intelectual robada? ¿Cuáles son mis responsabilidades?»
Un aspecto importante que no siempre puede determinarse de forma concluyente es qué datos quedaron expuestos y cuáles fueron robados. «Quizá los intrusos tenían la capacidad de acceder a ciertos datos, pero eso no significa que sepamos que los atacantes los vieron o los copiaron del entorno», afirma el Sr. Carmakal.
Actúe con rapidez
Aunque los intrusos hayan estado en su sistema durante meses, solo dispone de horas para reaccionar una vez que se descubre una brecha. Esto se debe a que las brechas suelen salir a la luz cuando los clientes detectan facturas incorrectas, cargos fraudulentos en sus tarjetas de crédito o indicios de robo de identidad. Las fuerzas del orden, que vigilan a actores turbios —que a menudo operan desde el sistema informático de otra víctima—, podrían alertarle de una brecha. Los casos de robo de propiedad intelectual podrían mantenerse en secreto, pero es difícil ocultar el robo de datos de empleados o clientes.
«Hay que suponer que alguien revelará la brecha», afirma el Sr. Nicolas, de Kudelski. «Ahora creemos que es mejor revelar la brecha que dejar que lo haga otra persona».
El Sr. Nicolas cita la regla del ocho: «Tiene ocho minutos para decidir qué decir, ocho horas para decidir qué hacer y, en ocho días, se medirá lo bien que reaccionó».
Sea exhaustivo
Los hackers tienen cuidado de instalar varias formas de acceder a una red, afirma Jim Jaeger, estratega jefe de servicios cibernéticos de General Dynamics Fidelis Cybersecurity Solutions. «Si encuentra y elimina cuatro o cinco de esas puertas traseras, detiene la brecha y limpia gran parte de su malware, aun así tendrán formas de volver a entrar», afirma. «Se detendrán mientras usted realiza la investigación y, al cabo de uno o dos meses, volverán. A veces, simplemente seguirán adelante».
Por eso es necesario encontrar y erradicar al mismo tiempo todas las puertas traseras y demás herramientas utilizadas por los atacantes. «Si lo hace de forma secuencial y se centra primero en Europa, luego en Asia y después en Norteamérica, o en algunos sistemas y no en toda la red, volverán a entrar por uno de los centros de datos o sistemas que aún no haya erradicado e infectarán las zonas que acaba de limpiar», afirma el Sr. Jaeger. «En una gran multinacional comprobamos que se tardó casi dos meses en planificar la fase de erradicación y coordinar los recursos en todo el mundo para llevar a cabo la operación simultáneamente».
En lugar de dedicar tiempo a aislar, estudiar y erradicar el malware, algunas empresas aplican procedimientos más rápidos de «borrar y reconstruir». En cuanto se detectan indicios de malware en un dispositivo, se borra —se eliminan y reformatean todos los discos— y se reconstruye conforme a configuraciones estándar, restaurando los datos desde copias de seguridad.
Planifique con antelación
«El momento es ahora, antes de saber que tiene un problema», afirma el Sr. Collins. «Haga los deberes ahora para que, cuando tenga que hacer esa llamada de emergencia a las 2 a. m., ya conozca a alguien que vaya a ayudarle».
Un buen plan incluye elementos internos y externos:
—Análisis forense. Hacer frente a una brecha es demasiado trabajo para la mayoría de los departamentos de TI, por lo que conviene tener contratado a un especialista externo en análisis forense cibernético; no querrá tener que buscar uno en plena crisis.
«La gente de TI conocerá empresas de análisis forense, pero probablemente tendrá que insistir para que le den los nombres», afirma el Sr. Collins. «En TI hay mucho orgullo por el trabajo bien hecho. Les gusta pensar que nunca piratearán su sistema. Hay que entender que es un objetivo móvil. Búsquelo con antelación y pida tres recomendaciones. Y alguien del equipo directivo debe estar dispuesto a firmar el cheque para contratar estos servicios de forma permanente. Esto tiene un coste».
También son importantes las relaciones con las fuerzas del orden locales y federales.
—Asesoría jurídica. Si sufre una brecha, «es muy probable que se emprenda algún tipo de acción legal como consecuencia», afirma el Sr. Jaeger. «En los delitos cibernéticos, con demasiada frecuencia la víctima es quien recibe una demanda de las compañías de tarjetas de crédito, los fiscales generales estatales y toda una serie de organismos reguladores. Por eso, conviene contratar a la empresa de respuesta a incidentes [análisis forense] a través del bufete externo especializado en derecho cibernético, para que las comunicaciones con ella estén amparadas por el secreto profesional entre abogado y cliente».
Cada país de la Unión Europea tiene su propia oficina de protección de datos; las leyes de Asia y América Latina varían según el país. Cuarenta y seis estados de EE. UU. tienen leyes de protección de datos. «Es posible que cada uno tenga requisitos distintos sobre qué debe notificarse», afirma el Sr. Collins. Ante una red tan compleja de autoridades, «por lo general se necesita un asesor jurídico externo que sepa a quién hay que notificar».
Dependiendo de los datos que se hayan visto comprometidos, quizá deba informar a los reguladores, clientes, socios comerciales, compañías de tarjetas de crédito o a su procesador de pagos, afirma el Sr. Carmakal.
—Seguros. «El seguro cibernético hace que valore sus datos», afirma Lillian Ablon, investigadora de RAND Corp., un centro de estudios. «Pero cuanto mayor sea el valor que les atribuya, más pagará».
Una evaluación de riesgos es crucial, afirma Alan Brill, director gerente sénior de Kroll Inc., una empresa de riesgos y seguridad. «Debe descubrir los riesgos que ya cubren sus controles, los que quizá quiera transferir a un seguro y aquellos sobre los que, en la práctica, no puede hacer mucho y que debe aceptar».
—Copias de seguridad. «Como se tarda tanto en descubrir una vulneración, quizá ya no haya pruebas forenses disponibles», afirma el Sr. Carmakal. «Es posible que los registros se hayan sobrescrito. Algunas normas exigen conservarlos durante al menos un año. Contar con registros de seguridad que se remonten al inicio de la vulneración facilitará una investigación más rápida y exhaustiva».
Entre los registros pertinentes figuran los relativos a cortafuegos, el sistema de nombres de dominio (DNS), el protocolo de configuración dinámica de host (DHCP), el servidor web y los eventos de seguridad.
—Simulacros de crisis. «Normalmente, la primera vez que el equipo se reúne es después de que ocurra la primera brecha», afirma el Sr. Collins. «Hagan un ensayo antes, para que no les pille por sorpresa y no haya disputas sobre competencias. Resuelvan eso de antemano. Asegúrense de que todos se hayan conocido. ¿Ya se han reunido con los especialistas en análisis forense?»
Con demasiada frecuencia, los planes de respuesta a incidentes se centran en el personal de TI y seguridad de redes, afirma el Sr. Jaeger. El equipo debe incluir representantes de las áreas de operaciones comerciales, medios de comunicación y asesoría jurídica general de la empresa.
Hay que reunir la información de contacto habitual —en un lugar seguro y sin conexión— y mantenerla actualizada ante cambios y traslados, tanto para el equipo interno como para los socios externos de ciberseguridad, incluidas las fuerzas del orden.
Resuelvan de antemano todos los aspectos, como «contratar un centro de llamadas para avisar a un millón de personas de que han perdido sus datos», afirma el Sr. Collins, o «qué le dirán al periodista que llame para pedir una declaración».
Estos «simulacros de crisis» permiten detectar deficiencias en la planificación o el personal y ayudan a los miembros del equipo a sentirse más seguros y actuar con mayor eficacia cuando se produce la crisis real. «Los ejercicios de simulación ayudan a aprender a gestionar las emociones y las comunicaciones, y a hacer lo correcto en el momento oportuno», afirma el Sr. Nicolas. «En definitiva, se trata de la gestión tradicional de crisis».
Los atacantes intentan tener resiliencia. «Disponen de varios puntos desde los que operar si uno deja de funcionar. Intentan aumentar sus puntos de presencia desplazándose lateralmente o creando puertas traseras en su sistema», afirma la Sra. Ablon, de RAND Corp.
Esa es una lección que las empresas deben aprender de sus atacantes. «¿Cómo puedo seguir operando durante una brecha con un impacto mínimo en el negocio? ¿Cómo afronto una pérdida de reputación? No se trata solo de operar a través de la red», afirma. «La resiliencia es crucial».
Publicado en colaboración con Zurich Knowledge Hub
Autora: Catherine Bolgar es colaboradora invitada de Zurich.
Imagen: Una ilustración muestra la proyección de un código binario sobre un hombre que sostiene un ordenador portátil en una oficina de Varsovia el 24 de junio de 2013. REUTERS/Kacper Pempel.