Captura de pantalla, , publicación en foro de piratería, por BleepingComputer.

Internet, hoy, es la plataforma de comunicación y comercial más grande, amplia, inclusiva y costo-efectiva. Sin duda, ha permitido digitalizar negocios y acceder a una cantidad exponencial de posibles clientes permitiendo el intercambio de valor a toda escala. 

Y es también un vector de amenazas y riesgos para empresas, personas y niños. Se estima que concentramos cerca del 90% de nuestros datos personales, laborales y financieros en esta red. Pese a sus beneficios esto abre las puertas a invitados no deseados, los ciber delincuentes. Además, como los datos son tratados y usados es una preocupación cada vez más constante en las empresas y personas; En un estudio realizado por Observatorio Digital y CustomTrigger, se afirma que 9 de cada 10 persona considera que las empresas, públicas y privadas, se benefician del intercambio de información privada (Fuente: Observatorio de Sociedad Digital y CustomTrigger, 2022).

Pese a los múltiples esfuerzos de entidades público y privadas, la ciberseguridad se mantiene como una problemática transversal que afecta tanto a empresas como personas buscando, en ambos casos, el revenue. Es decir, lucrar de alguna u otra manera sea a través de la extorsión, el daño de imagen, el secuestro digital, etc. Chile, si bien lento, ha estado trabajando en una serie de medidas que buscan adecuar la legislación al panorama de amenazas actuales siendo la Ley de Protección de Datos Personales (antigua: 1999 en un contexto bastante distinto y con una inclusión constitucional en 2018 consagrando la protección de datos personales a nivel constitucional) y la nueva ley de Delitos Informáticos (gran avance) busca hacer frente a estos riesgos proporcionando mecanismos jurídicos para actuar frente a ellos.

Así lo corroboró el último informe del panorama de riesgos mundiales del foro económico mundial (https://www3.weforum.org/docs/WEF_Global_Risks_Report_2023.pdf) donde un alto crecimiento del cibercrimen y los riesgos de ciberseguridad se posicionan en el octavo lugar. A nivel local, desde la Policía de Investigaciones de Chile firman que los ciber-delitos han aumentado en un 61% respecto de 2021 y 2023 y que este tipo de crímenes se ha sofisticado en términos de las herramientas que se emplean para su ejecución.

¿Qué hacemos?

Ante este adverso escenario, el desafío de empresas y entidades está en cómo gestionar correctamente su ciberseguridad mediante una postura activa y proactiva que permita incorporar los riesgos de ciberseguridad en la gestión corporativa para abórdalos, tratarlos y minimizarlos antes que estos se materialicen considerando, para esto, las distintas fuerzas que ejercen partes externas, la ley, clientes, socios, partner y proveedores como los propios objetivos del negocio. Se trata de gestionar la ciberseguridad protegiendo la información del negocio, de clientes, de las personas, proteger la red, la continuidad y más. Sin duda se trata de un desafío no menor que, hoy por hoy, debe ser incorporado en todas las organizaciones y también en las personas desde la perspectiva de cuánta información entrega y a quienes lo hace.

El factor humano, a nivel corporativo, es demasiado importante en particular frente al riesgo de phishing o el engaño para entrar en los sistemas; El rol de los usuarios es fundamental para mitigar el impacto de un ataque cibernético, ya que ataques como el phishing e ingeniería social requieren de la interacción de personas para su éxito o fracaso. 

El desafío de las organizaciones está en implementar una cultura basada en los riesgos posibles, en general y en particular relacionados con ciberseguridad. Sin duda, todos y cada uno de los colaboradores y personas componen la primera línea de defensa frente a ciberataques siendo la premisa, que el usuario es el eslabón más débil de toda la cadena y es, por lejos, más costo-eficiente buscar vulnerar a una persona que un control técnico implementado (un firewall, un cifrado, un endpoint; Solo por poner algún ejemplo). Por ello, la ciberseguridad debe (y lo es) ser considera como un proceso y como tal debe ser integrado a la gestión corporativa alineado a los objetivos de negocio, necesidades y requerimiento de una organización. 

Entonces, ¿Cómo podemos hacer frente al cibercrimen? A nivel de negocios, incorporar la gestión de riesgos de seguridad de la información y ciberseguridad. Existen. Están ahí, están siendo altamente explotados y debemos considerar el impacto que la materialización de un riesgo de este tipo para el negocio. Desde ahí, sin duda hay muchas medidas que nacen desde el tratamiento de estos riesgos. Siendo directos, al menos considera:

• Siempre mantener actualizado los sistemas y aplicaciones empleadas, lo cual ayudará a reducir brechas de seguridad que puedan existir
• Una de las herramientas más efectivas para los ciberdelincuentes es el engaño. Concientiza y educa a todos tus colaboradores. Es fundamental.
• Busca algún socio de negocios que te apoye. Es imprescindible. Delega en aquellos que saben.
• Realizar un análisis de tu actual postura de ciberseguridad y desde aquí, con este resultado, establece un roadmap que te permita llegar a determinado estado de gestión de ciberseguridad.
• Finalmente, re recomiendo este articulo: https://www.compunetgroup.net/blogs/post/prácticas-recomendadas-para-proteger-tu-red-del-ransomware Sin duda te será de ayuda.

El desafío que tenemos es grande y nos corresponde hacerle frente juntos. Las amenazas de ciberseguridad no son “algo” que solo está en películas, libros y series. Es una realidad que, hoy por hoy, representa el tercer mayor negocio a nivel mundial luego de las armas y el tráfico de drogas y se proyecta, para 2025, que pasará al primer lugar superando, por primera vez en la historia, a las armas y las drogas. Preocupante, sin duda.

Escrito por: César Millavil A.

Es sorprendente lo que el marketing ha podido hacer con un término tan desagradable. En casi cualquier contexto fuera de la seguridad, la confianza cero tiene pocas connotaciones positivas, si es que tiene alguna. “Hay cero, repito, cero confianza entre nosotros” no es realmente algo que la mayoría de la gente quiera escuchar. Es abrasivo, incluso agresivo.

Cuando empezamos a hablar de confianza cero en un contexto laboral, los empleados se sienten identificados, como si estuvieran bajo observación. Los defensores de la privacidad emergen como por arte de magia. Dado que la confianza es una parte integral del ecosistema del lugar de trabajo (por cierto, un término botánico secuestrado por el lenguaje corporativo), la confusión es comprensible. 

¿Por qué todo el bombo con Zero Trust?

La mayoría de las personas, incluidos los líderes de TI, consideran que la confianza es importante. Nos gusta transmitir dónde depositamos esa confianza, incluso hasta el punto de que los padres fundadores estadounidenses lo declararon en su moneda: "En Dios confiamos". Confiamos en nuestros cónyuges, parejas, familiares y amigos cercanos. Es una parte del ser humano que cualquiera que alguna vez haya tratado de persuadir a sacar dinero de tu bolsillo lo sabe bien. Por lo tanto, los especialistas en marketing de pequeña maravilla están haciendo todo lo posible para generar suficiente publicidad para capturar audiencias no técnicas con un término como confianza cero. 

Lo último en una larga lista de bajas en la jerga de la industria

Todas las industrias tienen términos y jerga únicos para un área específica de especialización. Estos son a menudo secuestrados por pensadores de panorama general recién salidos del seminario de gestión de fin de semana: piense en Michael Scott (o David Brent). Hablan sobre el ancho de banda, hacer ping a los contactos, trabajar en silos, líneas cruzadas (¿cables telefónicos?), abrir puertas y ejecutarlo en el asta de la bandera. Luego está la persona que promete dar la vuelta, incluso cuando su camino es lineal y en la dirección opuesta.

Entonces, ¿qué es la confianza cero?

La confianza cero es un término de seguridad. Es un enfoque para proteger los activos digitales de los ataques; no se trata de cansarse de tener literalmente cero confianza para nadie, sino de cero suposiciones de confianza automática basadas en factores como la ubicación (dentro o fuera del perímetro de la red), el usuario o el dispositivo. La confianza implícita cero no tenía el mismo tono, por no mencionar un acrónimo desafortunado. Así nació la confianza cero.  Es una estrategia, una mentalidad, un sistema de creencias, como quiera clasificarlo, siempre y cuando comprenda que es una estrategia en evolución para combatir amenazas en evolución. 

¿Por qué la necesidad de un nuevo enfoque?

Los cambios a la nube, el trabajo remoto, las políticas de traiga su propio dispositivo (BYOD) y el Internet de las cosas (IoT) significan que ya no es efectivo simplemente asegurar un perímetro de red y asumir que cualquier actividad interna es confiable. El mantra de confianza cero de "nunca confíes, siempre verifica" tiene un claro atractivo para los profesionales de seguridad de TI. La confianza cero puede reducir el riesgo organizacional de la piratería, el error humano y la sombra de TI, por nombrar algunos. 

Dado que la seguridad al 100 % es una falacia conocida, cuando los equipos de TI implementan la confianza cero correctamente, pueden mantener las soluciones de seguridad existentes, como las que imponen el acceso con menos privilegios y los controles de acceso basados en roles. Pero Zero Trust complementa estas soluciones "tradicionales" con un enfoque en soluciones automatizadas que reconocen desviaciones de las actividades normales, incluso cuando los usuarios, dispositivos, redes y cargas de trabajo (en términos de tráfico de datos) se verifican adecuadamente. 

Lo que no es la confianza cero

En resumen, no podemos enfatizar lo suficiente lo que no es la confianza cero:

• La confianza cero no es un producto.  No es una solución que diga si los usuarios o dispositivos pueden o no acceder a una red. Pero implementar zero trust significa requerir autorización y autenticación de cada sesión de usuario . 
• La confianza cero no es una propuesta lista para usar.  La implementación variará según la organización, según la infraestructura de TI y los desafíos específicos de protección de datos. 
• La confianza cero no se basa en la seguridad del perímetro.  Las organizaciones ya no tienen un perímetro de seguridad fácilmente definido.
• La confianza cero no es una forma encubierta de espiar a los empleados.  En cambio, es una estrategia en evolución para evitar que los piratas informáticos y los malintencionados se aprovechen de las estrategias de seguridad anteriores que se basaban en la confianza otorgada a los dispositivos y usuarios dentro de la red. 
• La confianza cero no es solo para las grandes empresas.  Las organizaciones de todos los tamaños pueden beneficiarse de esta estrategia de seguridad. 

Proteja la empresa moderna con principios de confianza cero

No se deje intimidar por el término frío y despiadado "confianza cero". En su lugar, tómelo a bordo, llévelo al asta de la bandera y fomente un nuevo punto óptimo para su organización. Imagine su futuro impulsado por los resultados como líder intelectual, impulsando soluciones súper críticas para la próxima generación de soluciones y servicios con aversión al riesgo. Sobre todo, y no pierda esto en la maleza, no aprovechar la confianza cero puede conducir a un crecimiento negativo y una reducción significativa del daño de una violación de datos. ¿Tienes todo eso? ¿Alguna pregunta? Nuestras puertas, ventanas y tragaluces siempre están abiertos porque confiamos implícitamente en nuestros vecinos. ¡Ups!