211service.com
La seguridad de TI comienza con conocer sus activos: Asia-Pacífico
En asociación con Cortex Xpanse de Palo Alto Networks
En el mejor de los días, proteger las redes, los dispositivos y los datos de NTUC Enterprise no es tarea fácil. La cooperativa con sede en Singapur consta de nueve unidades comerciales, desde servicios de alimentos hasta seguros, y atiende a más de 2 millones de clientes en casi 1000 ubicaciones.
Cuando llegó la pandemia de coronavirus de 2020, muchos de los empleados de NTUC se vieron obligados a trabajar desde casa, a menudo en redes y dispositivos personales no seguros. Casi instantáneamente, las defensas tradicionales de la empresa, como los firewalls corporativos, desaparecieron, recuerda Ian Loe, director de tecnología de NE Digital, la unidad digital de NTUC.
La seguridad de TI comienza con conocer sus activos
Un ejemplo perfecto de los desafíos de seguridad del trabajo remoto ocurrió cuando un empleado de NTUC descargó accidentalmente malware en una computadora portátil que estaba usando para acceder a los archivos corporativos al conectar una unidad USB personal. Recibimos una alerta de seguridad de inmediato, pero la solución fue difícil, recuerda Loe. De hecho, tuvimos que enviar a un miembro del personal de seguridad cibernética a la casa del empleado en una motocicleta para recuperar la computadora para investigarla. En el pasado, podíamos proteger la red simplemente cortando el acceso a la computadora portátil del empleado. Pero cuando un empleado trabaja desde casa, no podemos correr el riesgo de perder ningún dato a través de Internet.
Bienvenido al nuevo panorama de amenazas a la ciberseguridad, donde El 61 % de las organizaciones está aumentando la inversión en ciberseguridad en la era de la pandemia del trabajo desde casa, según una encuesta de la Agenda de CIO de Gartner de 2021. Los trabajadores remotos confían en los servicios de computación en la nube para hacer su trabajo, ya sea manteniendo correspondencia con compañeros de trabajo, colaborando en proyectos o uniéndose a llamadas de videoconferencia con clientes. Y cuando los equipos de tecnología de la información (TI), ahora en una ubicación física, no responden a sus necesidades, los trabajadores remotos pueden comprar fácilmente sus propias soluciones en línea para los problemas. Pero todo eso pasa por alto las prácticas normales de ciberseguridad y abre un mundo de preocupaciones para TI.
Sin embargo, para muchas regiones del mundo, el trabajo remoto es solo uno de los muchos factores que aumentan la exposición de una organización a las violaciones de seguridad cibernética. La región de Asia-Pacífico no es una excepción, donde el 51 % de las organizaciones encuestadas por MIT Technology Review Insights y Palo Alto Networks informaron haber experimentado un ataque de ciberseguridad que se originó en un activo digital desconocido, no administrado o mal administrado.
Realizar un inventario completo de los activos conectados a Internet y reiniciar las políticas de seguridad cibernética para el entorno de trabajo remoto moderno de hoy puede mitigar los riesgos. Pero las organizaciones también deben comprender las tendencias y los desafíos de ciberseguridad que definen sus mercados, muchos de los cuales son exclusivos de las organizaciones que operan en Asia-Pacífico.
Para comprender mejor los desafíos que enfrentan los equipos de seguridad de hoy en día en esta región y las estrategias que deben adoptar, MIT Technology Review Insights y Palo Alto realizaron una encuesta global de 728 encuestados, 162 de Asia-Pacífico. Sus respuestas, junto con los aportes de expertos de la industria, identifican desafíos de seguridad específicos en el panorama de TI actual y brindan un marco crítico para proteger los sistemas contra un creciente batallón de malos actores y amenazas de rápido movimiento.
Las vulnerabilidades de un entorno en la nube
La nube sigue desempeñando un papel fundamental en la aceleración de la transformación digital. Y por una buena razón: las tecnologías en la nube ofrecen beneficios sustanciales, que incluyen mayor flexibilidad, ahorro de costos y mayor escalabilidad. Sin embargo, los entornos de nube son responsable del 79% de las exposiciones observadas , en comparación con el 21 % de los activos locales, según el informe de amenazas de gestión de superficie de ataque de Cortex Xpanse de 2021.
Esa es una preocupación clave, dado que casi la mitad (43 %) de las organizaciones de Asia-Pacífico informan que al menos el 51 % de sus operaciones están en la nube.
Una forma en que los servicios en la nube pueden comprometer la postura de seguridad de una organización es contribuyendo a la sombra de TI. Debido a que los servicios de computación en la nube se pueden comprar e implementar fácilmente, dice Loe, el poder de adquisición se traslada de la oficina financiera tradicional de una empresa a sus ingenieros. Con nada más que una tarjeta de crédito, estos ingenieros pueden comprar un servicio en la nube sin que nadie realice un seguimiento de la compra. El resultado, dice, son puntos ciegos que pueden frustrar los esfuerzos de TI para proteger la superficie de ataque de una empresa: la totalidad de los posibles puntos de entrada. Después de todo, agrega Loe, no podemos proteger lo que no sabemos que existe, esa es una realidad extrema hoy en día.
Agnidipta Sarkar de Biocon está de acuerdo. Sin la burocracia asociada con la adquisición de capacidades de TI, la TI en la sombra puede funcionar desenfrenadamente, dice Sarkar, director de seguridad de la información (CISO) del grupo en la compañía farmacéutica india. A menos que una organización realmente planee la resiliencia digital, el crecimiento no planificado y descontrolado de los activos digitales puede escapar de la gobernanza enfocada que requiere la seguridad de la información.
El crecimiento exponencial de los dispositivos interconectados también desafía a las organizaciones a proteger sus infraestructuras en la nube. Muchas personas no son conscientes de que los dispositivos de Internet de las cosas, como los sensores, son en realidad computadoras y que son lo suficientemente potentes como para lanzar bots y otros tipos de ataques, advierte Loe. Cita el ejemplo de las cerraduras inteligentes y otras aplicaciones móviles que permiten a los empleados desbloquear y abrir puertas, y permiten que los piratas informáticos obtengan acceso no autorizado a las redes corporativas.
Si bien los servicios en la nube y los dispositivos interconectados plantean problemas de ciberseguridad universales, las organizaciones de Asia-Pacífico enfrentan desafíos adicionales. Por ejemplo, Loe señala los diversos grados de madurez en ciberseguridad entre los países de la región. Tenemos países como Singapur, Japón y Corea que ocupan un lugar destacado en términos de madurez cibernética, dice. Pero también encarnamos a Laos, Camboya y Myanmar, que se encuentran en el extremo más bajo de la madurez. De hecho, algunos funcionarios gubernamentales en estas áreas todavía usan cuentas gratuitas de Gmail para la comunicación oficial. Algunos países vulnerables ya se han utilizado como plataformas de lanzamiento para ataques contra vecinos, dice Loe.
Otro factor que distinguió a algunos países de Asia-Pacífico de otras regiones del mundo fue la falta de preparación para pasar rápidamente al trabajo remoto en los primeros meses de la pandemia. Según Kane Lightowler, vicepresidente de Cortex, la división de la plataforma de detección de amenazas de Palo Alto, las organizaciones atrasadas en sus esfuerzos de transformación digital tenían que priorizar la continuidad del negocio ante todo, lo que permitió que la ciberseguridad quedara en un segundo plano. Desafortunadamente, agrega, muchas de estas empresas aún no se han puesto al día para realizar negocios de manera segura y compatible. Solo ahora, en 2021, comienzan a priorizar nuevamente la seguridad.
Descargar el reporte completo .
Descubra qué están haciendo organizaciones en otras regiones del mundo para comprender y contrarrestar las ciberamenazas actuales.
Este contenido fue producido por Insights, el brazo de contenido personalizado de MIT Technology Review. No fue escrito por el equipo editorial de MIT Technology Review.