A principios de este año, uno de nuestros proveedores externos de comunicaciones OPSWAT un incidente de seguridad por su parte que podía haber dado a conocer información comercial limitada relacionada con nuestro cliente. La notificación procedía directamente del proveedor y fue seguida de una coordinación activa entre su equipo y el nuestro.
No se detectaron indicios de actividad maliciosa en OPSWAT , ni pruebas de fuga de datos de nuestro cliente, ni existía ninguna amenaza activa en el momento en que se nos notificó. Aun así, tratamos la situación con la seriedad que merecía.
Como responsable de seguridad de la información (CISO), incidentes como este ponen de manifiesto varias realidades que son fáciles de analizar en teoría, pero mucho más difíciles de gestionar en la práctica.
En primer lugar, el riesgo de terceros ya no es una preocupación secundaria. Las empresas modernas están profundamente interconectadas. Las plataformas de identidad, las integraciones SaaS y los sistemas de interacción con los clientes generan un valor empresarial real, pero también amplían la superficie de exposición cuando surge un problema fuera de su control directo. Incluso cuando su propia postura de seguridad se mantiene firme, el impacto puede llegar a afectar a su organización.
En segundo lugar, la transparencia dentro de la empresa es tan importante como la contención. Una vez que tuvimos claro el alcance y el impacto, decidimos comunicarnos directamente con nuestros empleados. No lo considerábamos una amenaza real, pero sabíamos que la gente toma mejores decisiones cuando está informada. En lugar de generar incertidumbre con el silencio, decidimos fomentar la confianza a través de la comunicación.
En tercer lugar, la calidad de la respuesta viene determinada por la preparación, no por el pánico. Nuestros equipos de seguridad, TI y aplicaciones empresariales pudieron actuar con rapidez porque ya contaban con funciones definidas, vías de escalado y procesos de gestión de pruebas. Se conservaron los registros. Se revisaron las rutas de acceso. Se utilizó la inteligencia sobre amenazas para detectar riesgos secundarios. Esa disciplina se había consolidado con antelación, antes incluso de que se produjera el incidente, precisamente porque sabíamos que la disciplina no surge durante un incidente sin un trabajo previo de preparación.
Por último, este tipo de incidentes suelen ir seguidos de intentos de phishing o de ingeniería social. Aunque los sistemas sigan estando protegidos, las personas pueden seguir siendo objeto de ataques. Mantener la vigilancia, verificar las solicitudes inesperadas y denunciar cualquier actividad sospechosa siguen siendo algunas de las defensas más eficaces de las que disponemos.
Planteo esta perspectiva para poner de relieve un principio más amplio, más que para destacar un incidente concreto relacionado con un proveedor. La ciberseguridad abarca mucho más que la prevención de violaciones de seguridad; también incluye la forma en que una organización responde a los incidentes que afectan a su entorno, la claridad de su comunicación y el refuerzo continuo de la confianza entre las partes interesadas.
En OPSWAT, seguiremos considerando la seguridad como una responsabilidad operativa, no como una función secundaria. Esto implica exigirnos a nosotros mismos y a nuestros socios el cumplimiento de unos estándares elevados, comunicarnos con franqueza cuando sea necesario y mantener los pies en la tierra, sabiendo que la resiliencia se construye a través de la preparación y las personas, no de la perfección.
- Mike Barker
, director de seguridad de la información (CISO) y director de operaciones (COO) de OPSWAT
