Principales noticias de seguridad de noviembre: nuevos riesgos, reglas y esfuerzos de resiliencia

Los titulares sobre ciberseguridad de noviembre pusieron de relieve que el statu quo cibernético se está resquebrajando.  

Los equipos de seguridad están inundados de alertas, los gobiernos están reescribiendo las reglas de defensa y los operadores de infraestructura crítica se están preparando para ataques que se mueven más rápido que sus protecciones.

En toda la industria, los expertos están haciendo sonar la misma alarma: la prevención no es suficiente. Lo que las organizaciones realmente necesitan es resiliencia, aquella que se basa en la observabilidad, la contención y la claridad impulsada por la IA.

Las noticias de este mes presentan información de los principales expertos en seguridad sobre:

• Por qué los equipos de seguridad aún luchan contra la fatiga de alertas y qué pueden hacer al respecto
• Cómo la nueva Certificación del Modelo de Madurez de Ciberseguridad (CMMC) del Departamento de Defensa de EE. UU. cambia las expectativas para la Base Industrial de Defensa (DIB)
• Por qué el nuevo proyecto de ley de ciberseguridad y resiliencia del Reino Unido puede no ser lo suficientemente realista para proteger la infraestructura crítica actual

Dentro de la crisis de fatiga por alertas del SOC y dónde la IA puede ayudar

En un nuevo episodio del podcast TechSpective , De la fatiga de alerta a la resiliencia cibernética: repensar el futuro del SOC con IA, el presentador Tony Bradley se sentó con Raghu Nandakumara, vicepresidente de estrategia industrial de Illumio, para conversar sobre uno de los problemas más antiguos y frustrantes de la ciberseguridad: la fatiga de alerta.  

Bradley y Nandakumara analizaron por qué persiste la fatiga de alertas luego de décadas de promesas de gestión de eventos e información de seguridad (SIEM), orquestación, automatización y respuesta de seguridad (SOAR) y herramientas de detección. Los equipos de los centros de operaciones de seguridad (SOC) actuales reciben miles de alertas diarias de estas herramientas, y la mayoría no tienen importancia, hasta que una deja de tenerla.  

Nandakumara describió la tensión. Los analistas saben que la mayoría de las alertas son ruido, pero también saben que no pueden ignorar todo con seguridad. No quieres ser esa organización que ignora una cosa mala.  

Esa realidad dejó a los equipos exhaustos, reactivos y, con demasiada frecuencia, vulnerados.  

Nandakumara explicó cómo Illumio está abordando esto con Illumio Insights y su nuevo Insights Agent impulsado por IA.  

En lugar de saturar a los analistas con telemetría sin procesar, Insights agrega contexto crítico, incluido el mapeo de cargas de trabajo, flujos y posibles rutas de ataque, para ayudar a los equipos a detectar la señal en el ruido. A partir de ahí, el agente toma el control ofreciendo orientación práctica y basada en roles.

Como lo describió Nandakumara, un agente impulsado por IA puede “encontrar la aguja en el pajar”. Luego, les indicará de inmediato a los diferentes roles, como analistas de SOC, cazadores de amenazas, respondedores o líderes de cumplimiento, exactamente qué hacer a continuación.  

La conversación también abordó el tema de un cambio más amplio en la industria hacia la resiliencia cibernética, y no hacia el cumplimiento, como objetivo.  

La prevención sigue siendo importante, pero Nandakumara enfatizó una dura verdad: “En algún momento, esa capacidad de prevención dejará escapar a alguien”.  

Es por eso que Illumio se centra en la contención para detener la propagación de intrusiones inevitables. Los atacantes pueden violar el perímetro, pero no deberían poder mover.

Combine eso con la capacidad de observación impulsada por IA, argumentó Nandakumara, y las organizaciones obtienen velocidad y claridad, dos cosas de las que carecen desesperadamente los SOC actuales.

De cara al futuro, Nandakumara prevé que la pila de seguridad tenderá hacia agentes de IA interconectados que operan en un gráfico de seguridad unificado. Las herramientas enriquecerán un modelo compartido del entorno y los agentes basados en personas actuarán en consecuencia.  

Nandakumara animó a los líderes a adoptar esta evolución. “Siempre habrá un papel muy importante para la experiencia humana”, afirmó. “La IA simplemente hace que los humanos sean más productivos”.  

Siempre habrá un papel muy importante para la experiencia humana. La IA simplemente hace que los humanos sean más productivos.

La tan esperada Certificación del Modelo de Madurez de Ciberseguridad (CMMC) del Departamento de Defensa finalmente es ley

En su artículo de MeriTalk “Los líderes de la industria dicen que la implementación de CMMC redefine la seguridad y la responsabilidad en toda la DIB”, Lisbeth Pérez exploró cómo la tan esperada Certificación del Modelo de Madurez de Ciberseguridad (CMMC) del Departamento de Defensa (DoD) entrará en vigencia oficialmente el 10 de noviembre y por qué marca un cambio radical para la Base Industrial de Defensa (DIB).  

La norma introduce un marco de tres niveles que vincula los estándares de ciberseguridad directamente con la sensibilidad de los datos que manejan los contratistas. El Departamento de Defensa planea implementar el programa en cuatro fases durante los próximos tres años.

Luego de años de retrasos y debates, CMMC ya no es sólo orientación cibernética. Es la ley.

El cambio no podría ser más urgente. Gary Barlet, director de tecnología del sector gubernamental de Illumio, dijo a MeriTalk que el CMMC era una medida necesaria pero que era esencial para la defensa nacional.  

Incluso en medio del último cierre gubernamental, cuando muchas operaciones se suspendieron, los adversarios de Estados Unidos no lo hicieron, explicó Barlet. Las agencias y los proveedores con los que hacen negocios deben seguir comprometidos con la resiliencia.  

En definitiva, el cumplimiento no es sólo cuestión de papeleo, sino de supervivencia operativa.

“CMMC garantiza que la ciberseguridad ya no sea opcional”, afirmó Barlet. “Incorpora la responsabilidad en todos los niveles y obliga a los proveedores a abordar vulnerabilidades que a menudo se pasan por alto”.  

Para el DIB, el mensaje es claro: la seguridad es ahora un diferenciador. La resiliencia es el nuevo requisito para hacer negocios con el gobierno de Estados Unidos.

CMMC garantiza que la ciberseguridad ya no sea opcional. Incorpora la responsabilidad en todos los niveles y obliga a los proveedores a abordar vulnerabilidades que a menudo se pasan por alto.

El nuevo proyecto de ley sobre ciberseguridad y resiliencia del Reino Unido se centra en la infraestructura crítica. ¿Pero es práctico?

En su artículo de ITPro “Proyecto de ley de ciberseguridad y resiliencia: los expertos en seguridad cuestionan la viabilidad y el alcance de la nueva legislación”, el periodista Ross Kelly analizó el intento más reciente del Reino Unido de endurecer las ciberdefensas nacionales y por qué los líderes de seguridad están divididos sobre si el proyecto de ley va lo suficientemente lejos.  

El proyecto de ley llega en un momento de creciente riesgo sistémico. Como señaló Ross, las nuevas cifras de la Oficina de Responsabilidad Presupuestaria muestran que un ataque importante a una infraestructura crítica podría aumentar el endeudamiento del gobierno en 30.000 millones de libras, y que el costo medio de un ciberataque significativo supera actualmente las 190.000 libras.

La legislación tiene como objetivo someter por primera vez a los proveedores de servicios digitales y operadores esenciales, incluida la gestión de TI para la atención sanitaria, el agua, la energía y el transporte, a estándares mínimos de seguridad unificados.  

Las organizaciones deberán informar rápidamente sobre incidentes importantes y mantener planes de respuesta estables. Los reguladores y los ministros reciben amplia autoridad para forzar la acción cuando la seguridad nacional está en riesgo.  

“La ciberseguridad es seguridad nacional”, afirmó la Secretaria de Tecnología del Reino Unido, Liz Kendall. “Les estoy enviando un mensaje claro: el Reino Unido no es un blanco fácil”.

Trevor Dearing, director de soluciones industriales de Illumio, recibió con gran satisfacción el cambio hacia reportes de incidentes más amplios y tempranos. Dijo que esto aborda un punto ciego de larga data en la gestión de riesgos de infraestructura crítica.  

“El cambio de informar solo sobre las infracciones exitosas a informar sobre todos los incidentes cibernéticos es algo que ya se debía hacer hace tiempo”, dijo. También elogió los nuevos poderes para aislar o monitorear los sistemas de alto riesgo, calificándolos de “medida inteligente” para reducir la exposición sistémica.

Pero ¿es el proyecto de ley lo suficientemente práctico para el panorama de amenazas actual? No todos los expertos estuvieron de acuerdo.

Chris Dimitriadis, director de estrategia global de la Asociación de Auditoría y Control de Sistemas de Información del Reino Unido (ISACA), criticó el enfoque limitado del proyecto de ley. Dijo que ignora dónde reside realmente el riesgo moderno.  

“La era en que la regulación cibernética podía centrar únicamente en la infraestructura nacional crítica terminó”, afirmó. Dado que organizaciones del Reino Unido como M&S, Co-op y Jaguar Land Rover (JLR) se vieron recientemente afectadas por importantes infracciones de seguridad, advirtió que “todo empleador importante es parte de la economía digital y, por lo tanto, parte del panorama de amenazas”.  

Dearing también señaló que las sanciones más severas deben ir acompañadas de inversiones para ayudar a las organizaciones, especialmente aquellas con cotizaciones limitadas, a cumplir con los nuevos requisitos.  

“Es igualmente importante que se brinde suficiente apoyo para ayudar a las organizaciones a lograr el cumplimiento”, afirmó.  

El nuevo proyecto de ley sobre ciberseguridad y resiliencia del Reino Unido sin duda supone un avance significativo para la gobernanza de la ciberseguridad. Pero su ejecución y asignación de recursos determinarán si fortalece la resiliencia nacional o simplemente agrega otra capa de papeleo a un ecosistema ya sobrecargado.

Prueba Illumio Insights gratis para ver cómo la IA reduce el ruido de alerta, identifica amenazas reales y guía cada rol hacia una contención más rápida.