Cyber Security Top Best Practices of Sucessful CISOs in 2021

Summary

En este video, un CISO experto discute cómo construir una organización de seguridad cibernética efectiva, abordando la importancia de identificar riesgos reales en lugar de dejarse llevar por soluciones de moda. Señala cuatro vectores principales de ataque: servidores expuestos a internet, ataques de spear-phishing, amenazas internas y riesgos de proveedores terceros. Además, enfatiza que, aunque la capacitación de concientización es útil, no es suficiente por sí sola. Se proponen medidas prácticas, como verificar correos sospechosos en dispositivos no Windows, para mitigar riesgos de seguridad.

Takeaways

• 😀 La venta emocional no es eficaz en la ciberseguridad: las soluciones deben basarse en riesgos reales y necesidades organizacionales, no en emociones o intuiciones.
• 😀 En ciberseguridad, el enfoque debe ser el riesgo, no el producto: es crucial identificar primero los riesgos más altos antes de evaluar las soluciones.
• 😀 Existen cuatro vectores principales de riesgo por los cuales los adversarios pueden ingresar a una organización: servidores visibles desde Internet, clientes (phishing), activos internos comprometidos y terceros proveedores.
• 😀 Los servidores accesibles desde Internet deben estar completamente parchados y no contener datos críticos. Estas son reglas no negociables para una gestión de seguridad efectiva.
• 😀 El phishing, especialmente el spear-phishing, sigue siendo una de las amenazas más significativas para las organizaciones, incluso con programas de concientización previos.
• 😀 La concientización sobre ciberseguridad ayuda, pero no es suficiente para prevenir ataques. Se deben implementar estrategias prácticas como verificar correos sospechosos en dispositivos no Windows.
• 😀 La concientización y el entrenamiento ejecutivo no garantizan que los empleados eviten ataques de phishing; la emocionalidad detrás de estos correos aún puede engañar incluso a los más entrenados.
• 😀 Para protegerse contra ataques dirigidos, los empleados deben usar dispositivos no Windows (como iPads o iPhones) para realizar una primera validación de correos electrónicos sospechosos.
• 😀 El CISO debe adoptar un enfoque de análisis de riesgos de alto nivel, priorizando las amenazas más críticas y asegurando que los equipos de seguridad estén estructurados para abordar estos riesgos de manera eficiente.
• 😀 El uso de métricas claras y reglas inquebrantables ayuda a establecer un enfoque de seguridad organizado que puede prevenir vulnerabilidades comunes como servidores sin parches o accesos indebidos a datos críticos.
• 😀 La ciberseguridad es un trabajo en equipo: los CISOs deben trabajar estrechamente con sus equipos técnicos para evaluar y abordar los riesgos de manera precisa, sin dejarse distraer por soluciones que no alinean con los riesgos más relevantes.

Q & A

¿Por qué es importante evitar el apego emocional a los productos en ciberseguridad?

En ciberseguridad, el apego emocional a los productos puede desviar la atención de los riesgos reales que enfrenta una organización. Es crucial centrarse en las soluciones que aborden problemas específicos de seguridad, en lugar de ser influenciados por tácticas emocionales de los vendedores.

¿Cuáles son los cuatro vectores principales de riesgo que una organización debe evaluar en ciberseguridad?

Los cuatro vectores principales son: servidores visibles desde internet, clientes atacados mediante spear-phishing, amenazas internas (empleados descontentos o acceso físico), y vulnerabilidades a través de proveedores externos o terceros.

¿Por qué es esencial que los servidores accesibles desde internet no contengan datos críticos?

Es esencial porque estos servidores son más vulnerables a ataques externos. Si contienen datos críticos, se convierten en un punto de entrada para los atacantes, lo que puede comprometer la seguridad de toda la organización. Deben ser completamente parchados y no almacenar información sensible.

¿Cómo se puede prevenir efectivamente el phishing dirigido a los empleados de una organización?

El entrenamiento de conciencia es útil, pero no suficiente. Es recomendable que los empleados, especialmente los de alto perfil, verifiquen los correos sospechosos en dispositivos no basados en Windows, como iPads o iPhones. Esto ayuda a identificar los correos maliciosos antes de que puedan afectar los sistemas principales.

¿Qué se entiende por 'conexiones de terceros' como un vector de riesgo?

Las conexiones de terceros se refieren a las relaciones con proveedores y otros socios externos que pueden representar un punto de acceso para los atacantes. Un compromiso en uno de estos sistemas externos puede afectar la seguridad de la organización interna.

¿Qué deben hacer los equipos técnicos al evaluar servidores accesibles desde internet?

Los equipos deben asegurarse de que cualquier sistema accesible desde internet esté completamente parchado y que no contenga datos críticos. Si un sistema no puede ser parchado adecuadamente, debe ser eliminado o protegido de otra manera.

¿Por qué el phishing dirigido es un riesgo importante para las organizaciones?

El phishing dirigido, o spear-phishing, aprovecha la psicología humana, engañando a los empleados para que hagan clic en enlaces maliciosos. Aunque se realicen entrenamientos sobre los riesgos, los atacantes son cada vez más sofisticados y pueden manipular a las personas emocionalmente para hacerlas cometer errores.

¿Cuál es la estrategia recomendada para lidiar con el phishing, especialmente en relación con correos electrónicos sospechosos?

La estrategia recomendada es realizar un primer chequeo de los correos electrónicos sospechosos en dispositivos que no sean Windows, como tablets o teléfonos móviles. Esto reduce el riesgo de comprometer el sistema principal, ya que los ataques dirigidos a Windows no afectan a otros dispositivos de la misma manera.

¿Cómo impactan las vulnerabilidades de los servidores accesibles desde internet en la seguridad de una organización?

Las vulnerabilidades de estos servidores pueden exponer a la organización a ataques externos si no se gestionan adecuadamente. Los servidores que están mal protegidos o no se actualizan pueden ser explotados para acceder a datos sensibles o para infiltrarse en la infraestructura interna de la organización.

¿Cuál es el objetivo principal de un CISO cuando evalúa los riesgos de una organización?

El objetivo principal de un CISO es identificar los riesgos más críticos para la organización y estructurar el equipo de seguridad para abordarlos de manera eficiente. Esto implica evaluar los vectores de riesgo y asegurar que las soluciones implementadas sean las más adecuadas para mitigar dichos riesgos.