¿Por qué las compañías que son atacadas por el cibercrimen tienen poca seguridad?

Cualquier empresa con un componente o presencia en línea está bajo ataque. Tener una gran seguridad no evita que ocurra un ataque, sino que sirve para mitigar un ataque exitoso o los resultados de un ataque exitoso. Los ataques no desaparecen automáticamente.

Las razones para que cualquier empresa tenga una seguridad débil son tan variadas como los tipos de empresas que existen. Algunos de estos pueden ser los siguientes (aunque esta no es una lista completa, y estoy seguro de que hay más de lo que mencioné)

1. El riesgo percibido cuesta menos que el costo de la mitigación del riesgo.

1. Los analistas de riesgos pueden haber determinado que costaría menos pagar las demandas y multas como resultado de una violación, que el costo de desplegar equipos y personal para mitigar o prevenir una violación. Muchas organizaciones están descubriendo que este ya no es el caso, ya que las compañías de tarjetas de crédito y los emisores ahora están poniendo sus pies en el fuego y haciéndolos pagar cualquier pérdida financiera como resultado de una violación. Esta pérdida puede ser en forma de transacciones fraudulentas, con el costo de reemitir nuevas tarjetas de crédito a todos los clientes afectados.

1. Pudo haber sido algo abstracto que tenían que tener para administrar su negocio, pero más allá de eso, por la noche ya no se les había pensado más. A veces es difícil para las personas honestas pensar en las cosas malas que pueden suceder.

1. Cambiar la infraestructura de red de una empresa no ocurre de la noche a la mañana. Tienen que estudiar cómo puede afectar a los usuarios de la red y planificar la capacitación si hay algún cambio en los procesos comerciales. Los nuevos activos de red deben adquirirse y la implementación debe planificarse y ejecutarse.
2. Un aparte de esto es que puede haber un sistema que sea integral para su proceso de negocio, pero no puede actualizarse porque rompería su funcionalidad. La tecnología y los controles de mitigación pueden haber estado en proceso de implementación cuando ocurrió la violación.

Una vez más, esto no pretendía ser exhaustivo, ni culpar, sino dar algunas razones plausibles de por qué una empresa puede tener una seguridad débil.

Una gran parte de esto es la falta de conocimiento entre la administración con respecto a la tecnología. Los gerentes pueden saber cómo administrar una empresa, pero con frecuencia no tienen una formación técnica, por lo tanto, toman decisiones sin tener pleno conocimiento del impacto de esas decisiones y no saben lo suficiente como para hacer las preguntas correctas a los expertos en la materia.

También está el problema de los egos. Las personas generalmente no quieren mostrar su ignorancia, por lo que prefieren hablar en grande que admitir que no saben cómo hacer algo (eche un vistazo a las publicaciones sobre Curious Perversions in Information Technology).

Sin mencionar que muchas empresas se centran en hacer el trabajo, en lugar de hacerlo bien. Por ejemplo, solía trabajar en un hospital y el CIO siempre hacía que el departamento de tecnología se volcara para garantizar la “atención al paciente”, en lugar de tomarse un segundo para considerar el impacto a largo plazo de lo que se nos pedía, y especialmente si la solicitud estaba realmente relacionada con la atención al paciente o si los solicitantes simplemente usaron el término para asegurarse de que obtuvieron lo que querían.

En última instancia, la mayoría de las personas quiere hacer lo correcto, pero con frecuencia se ven obstaculizadas por otras personas que piensan que saben mejor pero no están dispuestas a hacer preguntas, al menos en mi experiencia.

En lugar de pensar en la seguridad, recomendaría pensar en Quora (como ejemplo). Mire esta pregunta y sus maravillosas respuestas:
¿Qué le falta a Quora?

¿Crees que el equipo de desarrollo de Quora o alguien podría haber pensado en estas respuestas de antemano? No lo creo. Aquí están los problemas relacionados:

• La gente piensa en las pruebas como requisitos de validación o no (binario sí / no)
• Cuando los clientes encuentran defectos (como la pregunta que publiqué), las personas dan varias justificaciones, por ejemplo, este es un caso especial, o tenemos cosas más importantes
• Ningún CEO o CIO en el mundo entiende cómo probar la forma en que lo explicaré (¿y el desarrollo de software? No estoy seguro del desarrollo). Sin embargo, nadie podrá admitir que no entienden la calidad. Lo mismo es cierto para la mayoría de los desarrolladores.

En realidad, encontrar defectos por adelantado es extremadamente difícil. Es un proceso no lineal, sin comienzo ni fin. Los desarrolladores podrían usar su creatividad para resolver estos problemas. Sin embargo, la mayoría de las personas están demasiado atrapadas en los requisitos y la automatización de pruebas. La mayoría de los gerentes también manejan buscando números que en su mayoría no tienen sentido.

Además de esto, hay al menos dos problemas con la seguridad:
– Es técnicamente desafiante
– El adversario está tan motivado para entrar como la víctima no lo sabe. El punto es que un hacker siempre piensa de forma no lineal. Hará lo que sea necesario para encontrar una vulnerabilidad. No hay reglas. No hay requisitos

Como ejercicio para cualquiera que quiera resolver la seguridad, los desafiaría a tratar de encontrar incluso el 10% de la respuesta a la pregunta que publiqué anteriormente. Como la pregunta no es técnica, supongo que cualquier gerente también puede intentarlo.

El problema es que la gente de seguridad no toma las decisiones: es la alta gerencia la que no entiende las implicaciones de seguridad o no las conoce. La alta gerencia tiene el dinero y controla los presupuestos, los encargados de seguridad simplemente hacen lo que se les dice.

Entonces, la razón por la que la seguridad es mala es porque es costoso hacerlo correctamente.