How I Became a Cyber Security Innovator (Part 1)

Summary

Eric, con su vasta experiencia en ciberseguridad, comparte lecciones clave aprendidas durante su carrera, primero en la CIA y luego en su transición a la defensa cibernética. Destaca la importancia de equilibrar los riesgos y de ver la ciberseguridad como un habilitador de negocios, no un obstáculo. Subraya la relevancia de hacer las preguntas correctas y cómo eso lo llevó a descubrir principios fundamentales, como la relación entre seguridad y funcionalidad. Finalmente, ofrece reglas prácticas de seguridad y reflexiona sobre su misión personal de hacer ciberespacio un lugar más seguro para todos.

Takeaways

• 😀 La ciberseguridad debe ser vista como un habilitador de negocios, no como un obstáculo. El trabajo de un CISO es equilibrar la seguridad con las necesidades empresariales.
• 😀 Los profesionales inteligentes saben las respuestas correctas, pero las personas brillantes hacen las preguntas correctas. Hacer buenas preguntas puede abrir nuevas oportunidades.
• 😀 La ciberseguridad no puede probar que un sistema es 100% seguro, solo puede probar que no lo es. Esta idea impulsó el cambio hacia el hacking ético y las pruebas de penetración.
• 😀 La única manera de lograr 100% de seguridad es con cero funcionalidad. Añadir funcionalidad siempre disminuye la seguridad de un sistema.
• 😀 Cualquier sistema accesible desde internet nunca debe contener datos críticos y debe estar completamente actualizado y parcheado.
• 😀 Los sistemas accesibles desde internet deben ser vigilados constantemente, ya que las brechas de seguridad más grandes suelen provenir de sistemas mal configurados o sin actualizar.
• 😀 El rol de un CISO no es decir 'no' a proyectos, sino encontrar soluciones para asegurar proyectos de negocio sin comprometer la seguridad de la empresa.
• 😀 Ser presente en las reuniones y hacer preguntas inteligentes te puede posicionar para nuevas oportunidades y responsabilidades.
• 😀 Trabajar en el gobierno fue una experiencia valiosa, pero la burocracia limitó el crecimiento personal, lo que motivó al orador a pivotar hacia el ámbito privado y crear sus propias empresas.
• 😀 La ciberseguridad debería centrarse en la creación de un espacio digital seguro para que las personas puedan vivir, trabajar y desarrollar sus vidas sin sufrir en el ciberespacio.
• 😀 En su transición hacia la defensa cibernética, el orador adquirió una comprensión más profunda de cómo hacer ciberespacio más seguro y de la importancia de compartir este conocimiento con otros.

Q & A

¿Cuál es el papel fundamental de un CISO en una organización?

El CISO debe equilibrar los riesgos de ciberseguridad con las necesidades del negocio. No se trata de rechazar proyectos por cuestiones de seguridad, sino de proponer alternativas que permitan llevar a cabo los proyectos de manera segura, habilitando el negocio en lugar de obstaculizarlo.

¿Qué diferencia a una persona inteligente de una brillante en el ámbito de la ciberseguridad?

Una persona inteligente sabe las respuestas correctas, mientras que una persona brillante sabe hacer las preguntas correctas. En ciberseguridad, hacer preguntas bien pensadas es clave para demostrar liderazgo y obtener respeto, más que simplemente dar respuestas.

¿Qué ocurrió cuando el orador levantó la mano durante una reunión importante en la CIA?

El orador levantó la mano durante una reunión donde nadie había hecho preguntas y, al ser llamado, hizo una simple pregunta: '¿Cómo sabemos que estos sistemas son seguros?' Esto llevó a que se le encargara la tarea de investigar cómo asegurar esos sistemas, lo que marcó el inicio de su carrera en seguridad informática.

¿Qué lecciones aprendió el orador sobre la ciberseguridad en la CIA?

Una de las lecciones más importantes fue que la ciberseguridad debe ser un habilitador del negocio, no un obstáculo. Además, el orador aprendió que siempre que se añaden nuevas funcionalidades a un sistema, se disminuye la seguridad, lo que subraya la importancia de mantener un equilibrio entre funcionalidad y seguridad.

¿Qué descubrió el orador al investigar cómo asegurar los sistemas?

El orador descubrió que no es posible probar que un sistema es 100% seguro, sino que solo se puede probar que no lo es. Esto lo llevó a comenzar a trabajar en el área de pruebas de penetración y hacking ético.

¿Cuál es la regla fundamental que el orador aprendió sobre la ciberseguridad?

La regla fundamental es que 'la única manera de lograr una seguridad del 100% es tener cero funcionalidad'. Cada sistema que tiene alguna funcionalidad tiene riesgos inherentes de seguridad.

¿Qué aprendió el orador sobre las brechas de seguridad más grandes?

Las brechas de seguridad más graves generalmente involucran sistemas accesibles desde internet que no están completamente parchados, que contienen datos críticos no cifrados correctamente y que no han sido adecuadamente protegidos. Estos son factores comunes en las brechas más grandes.

¿Cuáles son las dos reglas esenciales para proteger los sistemas accesibles desde internet?

1) Nunca almacenar datos críticos en sistemas accesibles desde internet. 2) Asegurarse de que estos sistemas estén completamente parchados y actualizados.

¿Por qué el orador encontró aburrido el trabajo ofensivo en ciberseguridad?

El orador encontró aburrido el trabajo ofensivo porque, después de realizar pruebas de penetración durante varios años, se dio cuenta de que siempre había una manera de entrar en los sistemas, lo que lo llevó a buscar un enfoque más desafiante y gratificante en la defensa cibernética.

¿Cómo se dio cuenta el orador de que no disfrutaba trabajar para una burocracia?

A pesar de que el orador estaba orgulloso de trabajar para el gobierno, se dio cuenta de que no le gustaba la estructura burocrática y que prefería un entorno más ágil. Esto lo llevó a pivotar hacia la creación de empresas enfocadas en la defensa cibernética.