Seguritecnia 490

Seguridad Corporativa Evidentemente, los gobiernos están avanzando en el cumplimiento de esta premisa mediante la aplicación de las le- gislaciones mencionadas, consiguiendo sobre todo documentos que detallan y explican a los operadores críticos: Cuál es su política de seguridad. Cómo se deben de organizar. Qué metodologías de análisis de ries- gos deben aplicar. De qué medios deben disponer para actuar en caso de incidente y su poste- rior recuperación. Cómo deben articular e integrar unos planes con otros. Es decir, hemos conseguido documen- tar todas las exigencias legislativas, y a la vez llenar nuestros escritorios y estan- terías de carpetas que los contienen. En algunos casos, llegamos incluso a dispo- ner de ficheros estructurados en nuestro disco duro o en la nube corporativa. Sin duda se ha avanzado mucho en estos últimos 10 años, pero la pregunta que últimamente nos hacemos es: ¿cómo pueden los directores de seguridad o los CISO, junto con sus equipos y terceras partes, operar de manera ágil y resiliente toda esa maquinaria que gestiona la gran cantidad de datos y procesos escritos o almacenados en esos documentos? A ciencia cierta, la gran mayoría de operadores llevará a cabo planes de in- formación, concienciación y simulación ante incidentes de manera tradicional. No hay duda de que hay profesionalidad y empeño en hacerlo bien, pero, ¿esta- mos aplicando esas tecnologías innova- doras de las que hablábamos al princi- pio? ¿Estamos transformado las culturas empresariales y las formas de hacer res- pecto a la Seguridad? ¿Estamos aprove- chando el estado del arte? Tecnología y resiliencia El mercado ya nos facilita herramientas que nos van a permitir ser más ágiles y resilientes en la operación. Ante inciden- tes y situaciones de crisis, los operado- res y responsables de seguridad tienen serios problemas para gestionar toda la información que les llega por diferentes medios (y mucho menos con el nivel de digitalización que viviremos en los próxi- mos años). Si a esto le añadimos que los procesos no están ni digitalizados ni automatizados, nos encontramos con lo que denominamos “efecto de la car- peta en la balda”; es decir, que todo lo necesario para simular y lanzar un plan en caso de necesidad, se encuentra en carpetas o, a lo sumo, en ficheros digita- les muy complejos de orquestar. Las nuevas tecnologías habilitadoras ( cloud computing , IoT, RPA, Inteligencia Artificial y Visual Analytics) nos están brin- dado la posibilidad de disponer de herra- mientas centralizadas para el intercambio de información en tiempo real, que per- miten digitalizar activos ciber-físicos, y que automatizan los procesos en base a: Analizar los riesgos en tiempo real. Predecir los posibles incidentes. Planificar los recursos: personas y tec- nología. Ser capaces de dar una respuesta in- mediata. Permitir recuperarse y dar una conti- nuidad al negocio. Analizar los ocurrido y obtener conclu- siones que nos mejoren los procesos. Y todo ello en el día a día (sin esperar a que ocurran incidentes o tengamos que simularlos), de manera que se intro- duce en nuestro gobierno corporativo de la seguridad para: formar, concienciar, medir y responder de manera eficiente, simple y resiliente. Debemos buscar soluciones que nos permitan gestionar las amenazas y vul- nerabilidades ciber-físicas de infraestruc- turas críticas para: 1. Evitar errores humanos en el uso y des- pliegue de planes. 2. Mejorar los tiempos de respuesta ante incidentes. 3. Retornar la Inversión (ROI) en nuevas técnicas, tácticas y procesos innova- dores. 4. Conseguir herramientas que podamos operar en el día a día: mantenimiento, formación, concienciación, actualiza- ciones y mejoras. / Octubre 2021 25