Mitigación de los riesgos de seguridad por errores humanos

Una imagen de , Noticias, Mitigación de riesgos de seguridad por errores humanos

El error humano es una preocupación creciente en la seguridad cibernética. De hecho, la investigación anual de violación de datos de Verizon para 2022 descubrió que el error humano era la causa principal de las violaciones de seguridad cibernética, y representaba el 82 por ciento de los ataques.

Las organizaciones se están dando cuenta del alcance de esta amenaza. Por ejemplo, Gartner estima que la capacitación en concientización sobre seguridad cibernética tendrá un valor de $ 10 mil millones para 2027, mientras que una encuesta de GOV de 2021 encontró que el 20 por ciento de las empresas del Reino Unido han evaluado a los empleados como parte de sus programas de educación sobre seguridad cibernética.

Sin embargo, ¿es suficiente una mejor educación? Dado que el costo del delito cibernético alcanzará los 10.5 billones de dólares para 2025, lo más probable es que la respuesta sea 'no'. Se debe hacer más para mitigar el creciente riesgo de ataque.

Es hora de gestionar las identidades

En el mundo cada vez más digitalizado de hoy, las huellas digitales de las personas abarcan numerosos dispositivos, aplicaciones, herramientas y plataformas, y cada instancia genera una identidad digital única. En un entorno de trabajo, esto significa que un empleado podría tener docenas de identidades vinculadas a él. Lo mismo es cierto para los no humanos, incluidos los bots. Hacer un seguimiento de esta expansión es una tarea enorme, pero si no se gestiona adecuadamente, las organizaciones se enfrentarán a un mayor riesgo de ataque o incumplimiento.

Gestión de acceso a la identidad (IAM) permite a las organizaciones mitigar estos riesgos. Se divide en dos ramas interconectadas, que juntas gobiernan cómo los usuarios y las identidades interactúan con la información, las herramientas y las aplicaciones en los sistemas internos.

La primera rama es de gestión de identidades. Una 'identidad' puede ser cualquier cosa, desde una persona, un objeto o un código que interactúa con la información. A cada uno se le debe asignar un nivel de privilegio y requerirá autenticación para garantizar que la persona o máquina detrás de la identidad es quien la organización cree que es. Una solución sólida de administración de identidades debe poder escalar para hacer frente a la proliferación de identidades dentro de la organización, y debe facilitar que los administradores agreguen y eliminen identidades a medida que las personas se unen y abandonan la empresa, o cuando la tecnología se implementa o se retira.

Además, cada identidad dependerá de los recursos establecidos para hacer su trabajo o completar sus tareas. Esto significa que las organizaciones deben asegurarse de que solo las identidades autorizadas puedan acceder a esos archivos, aplicaciones o servicios. Esta es la segunda rama de IAM: Gestión de Acceso.

Este concepto está bien ilustrado usando la infraestructura de una escuela. Los alumnos, maestros y administradores utilizan diferentes recursos durante el día escolar. En lugar de autorizar cada identidad única individualmente, un proceso que es oneroso y propenso a errores, se pueden agrupar según sus roles, los recursos a los que necesitan acceder y el nivel de acceso que necesitan para cada recurso. Por ejemplo, mientras que los maestros y los alumnos necesitarán acceso a los materiales didácticos, los administradores y los maestros necesitarán ver y/o editar datos de asistencia, boletas de calificaciones, resultados de exámenes y más. Tiene sentido en esta configuración que ciertos roles requieran acceso a información confidencial a la que otros no deben acceder. Aunque las identidades se superponen, los derechos de acceso son únicos. 

Si bien este es un caso de uso simple, los mismos principios se aplican en cualquier organización. La administración de acceso ayuda a crear y definir grupos, lo que permite que los usuarios y los bots accedan a lo que necesitan, y nada más.

Cuidado con el aumento de privilegios

Durante su empleo en una empresa, los usuarios suelen acumular privilegios. A medida que avanzan en una empresa o se incorporan a nuevos proyectos, se les otorgará acceso a nuevas aplicaciones y conjuntos de datos, a menudo a corto plazo. El problema aquí es que es fácil para las organizaciones perder la noción de cuándo se debe revocar este acceso, lo que deja a los usuarios con acceso a mucho más de lo que necesitan.

Gestión de acceso privilegiado (PAM) permite a las organizaciones reducir los privilegios de los usuarios y garantizar que las personas adecuadas tengan acceso a los recursos adecuados durante el tiempo adecuado. Protege sistemáticamente la información, los sistemas y las aplicaciones confidenciales, proporcionando acceso justo a tiempo (JIT), rotando las credenciales y monitoreando la actividad privilegiada. Estas herramientas a menudo imponen 'privilegios mínimos', lo que limita el acceso a lo esencial.

Sensibilización en seguridad

Si bien esta tecnología ciertamente puede ayudar a prevenir violaciones de seguridad maliciosas y accidentales relacionadas con la identidad, la educación de la fuerza laboral debe seguir siendo un componente clave en la estrategia de seguridad cibernética de cada organización. Si bien los empleados pueden preocuparse por los datos corporativos, es posible que no estén al tanto de los pasos que deben seguir para asegurarlos y protegerlos.

Para combatir esto, las empresas deben ejecutar programas educativos que inculquen la responsabilidad individual. También es importante deshacerse de las connotaciones negativas en torno a conceptos populares de seguridad cibernética como 'Zero Trust', que viene con el lema "no confíes en nadie, verifica todo". Hay una línea muy fina entre la usabilidad, la seguridad y la confianza, y es importante no ir demasiado lejos con las tecnologías de vigilancia.

Los programas de amenazas internas que se enfocan en monitorear comportamientos riesgosos son un buen compromiso aquí. La actividad riesgosa, o los usuarios, se pueden identificar en función de múltiples factores, y se pueden crear programas de capacitación que aborden estos casos de uso específicos.

Errar es humano, pero es importante recordar que los empleados construyen negocios y contribuyen a su crecimiento y éxito a largo plazo. En lugar de responsabilizarlos de ser cibernéticos, y culparlos cuando las cosas salen mal, necesitan educación sobre los riesgos que podrían enfrentar, y deben trabajar dentro de un marco en el que las identidades se administren y controlen de manera centralizada. Entonces, incluso si cometen errores, sus errores no expondrán a su empleador a ningún riesgo innecesario.

Una imagen de , Noticias, Mitigación de riesgos de seguridad por errores humanos

chris owen

Chris es actualmente responsable de ayudar a impulsar la innovación de productos, la hoja de ruta, los mensajes de lanzamiento al mercado y la inteligencia competitiva de Saviynt.

Ha adquirido una gran experiencia en gestión de acceso e identidad (IAM) y gestión de acceso privilegiado (PAM) durante una carrera de 15 años en varios puestos técnicos y de liderazgo en Quest/One Identity, CyberArk, BeyondTrust y Centrify.

Chris comenzó su carrera como líder técnico de uno de los proyectos de transformación más grandes de Europa en ese momento.