A pesar de la posición emitida por CrowdStrike descartando la conexión del llamado ‘apagón cibernético’ provocado hoy (19) con la cuestión de la seguridad de la información, debido al hecho de que no hubo un ataque cibernético, los expertos en el tema afirman que el caso sí configura un incidente de seguridad. Para estos profesionales, el acontecimiento evidencia la necesidad de que las empresas pongan en la lista de prioridades de sus negocios el cumplimiento de las reglas establecidas en la ISO 27001 y planes estructurados de continuidad de negocios y respuestas a incidentes.
Para Bruna Fabiane da Silva, socia de DeServ Academy, que fue elegida a finales del año pasado como una de las 50 Mejores Mujeres en Seguridad Cibernética de las Américas por WOMCY (LATAM Women in Cybersecurity), el caso no deja de haber sido un incidente de seguridad porque el problema afectó el pilar de la ‘disponibilidad’, que es una de las tres bases de la seguridad de la información. “La falla que ocurrió durante una actualización de sistemas hizo que varios activos de seguridad de la información fueran inaccesibles y eso causó perjuicios y daños en una proporción significativamente grande geográficamente”, dijo.
Según ella, el incidente evidencia que la mejor estrategia de seguridad para las empresas no es solo tener cuidados con la seguridad de la información en lo que respecta a la ‘confidencialidad’, que estarían ligados a evitar fugas de datos o exposiciones indebidas. Tampoco basta con preocuparse por problemas relacionados con la ‘integridad’ de la información, que es cuando los datos son modificados de forma indebida. Además de estos dos aspectos, es necesario también proteger la ‘disponibilidad’ de los datos, que es un aspecto totalmente orientado a la continuidad de los negocios.
“Para una empresa que quiera prevenir esta indisponibilidad durante mucho tiempo, es indispensable adoptar la regla de política de respaldo presente en la ISO 27001, que es la ISO de seguridad de la información. Esta norma trae recomendaciones en el sentido de tener una estrategia de respaldo 3,2,1. Significa que la organización debe disponer de tres entornos para almacenar la información, siendo dos de ellos, al menos, en medios físicos instalados en lugares separados y un tercero en la nube, por ejemplo,” explica.
Ya el CEO y fundador de DeServ, Thiago Guedes, llama la atención sobre el hecho de que las empresas suelen basarse mucho en una solución específica de seguridad vinculando toda la estrategia a una única herramienta.
“Al parecer, debido a la confianza en esta tecnología, muchas de ellas no tienen estrategias robustas de continuidad de negocios. Pero el caso de hoy, así como muchos que ya ocurrieron en el pasado, muestran que, incluso teniendo soluciones de alta confiabilidad y de alto nivel, es fundamental tener un plan de continuidad de negocios para evitar una parada más larga de las actividades”, concluye.
Leave a Reply