Latam CISO | Gobiernos nacionales deben liderar protección a infraestructuras críticas
Los gobiernos nacionales o federales son quienes deben liderar la protección a las infraestructuras críticas de los países y con ello trabajar con los niveles estatales y municipales, coincidieron especialistas en ciberseguridad durante el foro LATAM CISO.
Salma Jalife, CEO de Centro México Digital, señaló que en los últimos 13 años se han notado más lo que ha provocado estos “escrupulosos” ataques que han ocasionado pérdidas muy grandes en dinero, pero también se han incorporado las pérdidas humanas.
“Las infraestructuras críticas pueden incluir aquellas industrias como materiales químicos, biológicos, y también el sector salud y financiero. De ser afectados pueden comprometer incluso la seguridad nacional. Hoy con mayor frecuencia están incidiendo en la destrucción de infraestructuras críticas. Con la aparición del Internet industrial y máquinas con sensores, la línea entre tecnologías de la información y tecnologías operativas se está difuminando”, comentó Jalife.
Brian Hansen, vicepresidente y oficial regional de Seguridad en Mastercard, ejemplificó cómo en Costa Rica hubo ataques el año pasado contra sus sistemas críticos, como el seguro social. Dijo que en ese ataque pasó un largo tiempo en que los pacientes no pudieron recibir tratamiento médico, perdieron sus historias médicas, no podían darles recetas porque los médicos no sabían qué cantidad.
“El gobierno nacional tiene como deber proteger su infraestructura crítica, y de ahí se va bajando hasta los alcaldes de pueblos más pequeños que también tienen ese deber. Es necesario que busquen los recursos para poder proteger estas infraestructuras”, comentó el ejecutivo de Mastercard.
Luis Padilla, gerente nacional de la firma Crowdstrike, dijo que mayormente se conocen las infraestructuras críticas tradicionales como sistemas de agua, de energía, sistemas críticos que sustentan la operación de una nación. Sin embargo, dijo que hay unas no tan obvias como industria química, comunicaciones, o servicios financieros.
“Se estima que son 84 minutos los que pasan cuando ocurre el acceso inicial en un ataque, cuando éste empieza a hacer daño en las organizaciones. Eso es un reto en términos de defensa. Uno de los principales problemas es la visibilidad, no sabemos lo que no vemos, cobrar visibilidad para tener acciones de control se agrega a la complejidad de proveer seguridad”, dijo el ejecutivo de Crowdstrike.
Aldo Bolívar, CIO de Grupo Peñoles, dijo que se piensa que la tecnología es quien debe defender la infraestructura crítica, pero debe ser un multidisciplinario, la tecnología no es proceso sino un medio.
“Debemos tener un plan de continuidad del proceso. Partiendo de esta premisa, lo correcto es hacer un análisis de riesgo, a que estamos expuestos, quien es nuestro adversario. A partir de este análisis podremos determinar quiénes deben participar. El personal específico que trabaja en el día a día con la infraestructura crítica es muy importante porque ellos la conocen, pero también gente que no es responsable del día a día para reforzar”, comentó Bolívar.
Juan Lara, director global de Seguridad, Tecnología Operativa en Tenable, advirtió que hay muchas industrias que usan procedimientos de protección para infraestructuras críticas que no fueron diseñados para ello.
Comentó que el último año se ha visto un crecimiento a nivel global de mandatos ejecutivos y regulación para infraestructura crítica.
“Los mandatos de regulaciones deben tener un inventario claro, saber en qué estado están los dispositivos, saber la superficie de riesgo, monitorear cambios y quién los está monitoreando, incluso generar una alarma o reporte.
“Ese es el mandato principal de todo tipo de regulación, pero el problema es que las herramientas que tenemos a nivel informativo causan muchos daños porque son modelos distintos, protocolos no documentados o que llevan años de existencia, y altamente interconectados hoy en día. Necesitamos mandatos específicos para proteger a las industrias que son el motor económico de los países”, agregó Lara.