Políticas para mitigar el riesgo cibernético
Este capítulo lo lleva a través de las diversas políticas establecidas para minimizar el riesgo cibernético. Solo con políticas bien definidas se pueden reducir las amenazas generadas en el ciberespacio.
Promoción de la I + D en Ciberseguridad
Debido a la dependencia cada vez mayor de Internet, el mayor desafío al que nos enfrentamos hoy es la seguridad de la información frente a los malhechores. Por tanto, es fundamental promover la investigación y el desarrollo en ciberseguridad para que podamos encontrar soluciones robustas para mitigar los riesgos cibernéticos.
Investigación en ciberseguridad
La investigación en ciberseguridad es el área que se ocupa de preparar soluciones para hacer frente a los ciberdelincuentes. Con una cantidad cada vez mayor de ataques de Internet, amenazas persistentes avanzadas y phishing, se requiere mucha investigación y desarrollos tecnológicos en el futuro.
Investigación en ciberseguridad: perspectiva india
En los últimos años, India ha sido testigo de un enorme crecimiento de las tecnologías cibernéticas. Por tanto, exige una inversión en las actividades de investigación y desarrollo de la ciberseguridad. India también ha visto muchos resultados de investigación exitosos que se tradujeron en negocios, a través de la llegada de empresas locales de ciberseguridad.
Inteligencia de amenazas
El trabajo de investigación para mitigar las amenazas cibernéticas ya se está iniciando en India. Existe un mecanismo de respuesta proactivo para hacer frente a las amenazas cibernéticas. Ya se están llevando a cabo actividades de investigación y desarrollo en varias organizaciones de investigación de la India para combatir las amenazas en el ciberespacio.
Cortafuegos de próxima generación
También se está trabajando en la experiencia basada en múltiples identidades, como el Firewall de próxima generación, que ofrece inteligencia de seguridad a las empresas y les permite aplicar los controles de seguridad más adecuados en el perímetro de la red.
Protocolo y algoritmos seguros
La investigación en protocolos y algoritmos es una fase significativa para la consolidación de la ciberseguridad a nivel técnico. Define las reglas para compartir y procesar información en el ciberespacio. En India, la investigación a nivel de protocolo y algoritmo incluye:
- Protocolos de enrutamiento seguros
- Protocolos de autenticación eficientes
- Protocolo de enrutamiento mejorado para redes inalámbricas
- Protocolo de control de transmisión segura
- Algoritmo de simulación de ataque, etc.
Técnicas de autenticación
Las técnicas de autenticación como la administración de claves, la autenticación de dos factores y la administración de claves automatizada brindan la capacidad de cifrar y descifrar sin un sistema de administración de claves centralizado y protección de archivos. Se están realizando investigaciones continuas para fortalecer estas técnicas de autenticación.
BYOD, nube y seguridad móvil
Con la adopción de diversos tipos de dispositivos móviles, ha aumentado la investigación sobre las tareas relacionadas con la seguridad y la privacidad en los dispositivos móviles. Las pruebas de seguridad móvil, la seguridad en la nube y la mitigación de riesgos BYOD (Bring Your Own Device) son algunas de las áreas en las que se está investigando mucho.
Análisis forense cibernético
Cyber Forensics es la aplicación de técnicas de análisis para recopilar y recuperar datos de un sistema o medio de almacenamiento digital. Algunas de las áreas específicas donde se están realizando investigaciones en la India son:
- Análisis forense de discos
- Análisis forense de redes
- Análisis forense de dispositivos móviles
- Forense de la memoria
- Medicina forense multimedia
- Forense de Internet
Reducir los riesgos de la cadena de suministro
Formalmente, el riesgo de la cadena de suministro se puede definir como:
Cualquier riesgo de que un oponente pueda dañarlo, escribirle alguna función maliciosa, deconstruir el diseño, la instalación, el procedimiento o el mantenimiento de un elemento de suministro o un sistema para que toda la función pueda degradarse.
Problemas de la cadena de suministro
La cadena de suministro es un problema global y existe la necesidad de conocer las interdependencias entre clientes y proveedores. En el escenario actual, es importante saber: ¿Cuáles son los problemas de SCRM? y ¿Cómo abordar los problemas?
Un enfoque eficaz de SCRM (gestión de riesgos de la cadena de suministro) requiere una sólida asociación público-privada. El gobierno debe tener autoridades sólidas para manejar los problemas de la cadena de suministro. Incluso el sector privado puede desempeñar un papel clave en varias áreas.
No podemos ofrecer una solución única para todos para gestionar los riesgos de la cadena de suministro. Según el producto y el sector, los costes de reducción de riesgos pesarán de forma diferente. Se deben fomentar las asociaciones público-privadas para resolver los riesgos asociados con la gestión de la cadena de suministro.
Mitigar los riesgos mediante el desarrollo de recursos humanos
Las políticas de ciberseguridad de una organización pueden ser efectivas, siempre que todos sus empleados comprendan su valor y muestren un fuerte compromiso para implementarlas. Los directores de recursos humanos pueden desempeñar un papel clave en la protección de las organizaciones en el ciberespacio aplicando los siguientes puntos.
Asumir la propiedad del riesgo de seguridad que plantean los empleados
Como la mayoría de los empleados no se toman en serio el factor de riesgo, a los piratas informáticos les resulta fácil apuntar a las organizaciones. En este sentido, RR.HH. juega un papel clave en la educación de los empleados sobre el impacto que tienen sus actitudes y comportamiento en la seguridad de la organización.
Garantizar que las medidas de seguridad sean prácticas y éticas
Las políticas de una empresa deben estar sincronizadas con la forma en que los empleados piensan y se comportan. Por ejemplo, guardar contraseñas en los sistemas es una amenaza, sin embargo, el monitoreo continuo puede prevenirlo. El equipo de RR.HH. está en la mejor posición para asesorar si es probable que las políticas funcionen y si son apropiadas.
Identificación de empleados que pueden presentar un riesgo particular
También sucede que los ciberdelincuentes necesitan la ayuda de personas con información privilegiada de una empresa para piratear su red. Por lo tanto, es esencial identificar a los empleados que pueden presentar un riesgo particular y tener políticas de recursos humanos estrictas para ellos.
Creando conciencia de ciberseguridad
La ciberseguridad en India aún se encuentra en su etapa de evolución. Este es el mejor momento para crear conciencia sobre cuestiones relacionadas con la seguridad cibernética. Sería fácil crear conciencia desde el nivel de base, como las escuelas, donde los usuarios pueden conocer cómo funciona Internet y cuáles son sus amenazas potenciales.
Todos los cibercafés, computadoras personales / domésticas y computadoras de oficina deben estar protegidas mediante firewalls. Los usuarios deben recibir instrucciones a través de sus proveedores de servicios o pasarelas para que no vulneren redes no autorizadas. Las amenazas deben describirse en negrita y los impactos deben destacarse.
Los temas de concienciación sobre ciberseguridad deben introducirse en las escuelas y universidades para que sea un proceso continuo.
El gobierno debe formular leyes sólidas para hacer cumplir la ciberseguridad y crear suficiente conciencia transmitiendo las mismas a través de anuncios de televisión, radio e Internet.
El intercambio de información
Estados Unidos propuso una ley llamada Cybersecurity Information Sharing Act of 2014 (CISA)mejorar la ciberseguridad en el país mediante un mejor intercambio de información sobre las amenazas a la ciberseguridad. Esas leyes son necesarias en todos los países para compartir información sobre amenazas entre los ciudadanos.
Las infracciones de la seguridad cibernética necesitan un mecanismo de notificación obligatorio
El malware reciente llamado Uroburos/Snakees un ejemplo del creciente ciberespionaje y la ciberguerra. El robo de información sensible es la nueva tendencia. Sin embargo, es lamentable que las empresas de telecomunicaciones / proveedores de servicios de Internet (ISP) no compartan información relacionada con los ciberataques contra sus redes. Como resultado, no se puede formular una estrategia sólida de ciberseguridad para contrarrestar los ciberataques.
Este problema se puede abordar formulando una buena ley de ciberseguridad que pueda establecer un régimen regulatorio para las notificaciones obligatorias de infracciones de ciberseguridad por parte de las empresas de telecomunicaciones / ISP.
Las infraestructuras como las redes eléctricas automatizadas, las plantas térmicas, los satélites, etc., son vulnerables a diversas formas de ciberataques y, por lo tanto, un programa de notificación de infracciones alertaría a las agencias para que trabajen en ellos.
Implementación de un marco de ciberseguridad
A pesar de que las empresas están invirtiendo en iniciativas de ciberseguridad, continúan ocurriendo violaciones de datos. Según The Wall Street Journal, "se esperaba que el gasto global en ciberseguridad de las industrias de infraestructura crítica alcanzara los 46.000 millones de dólares en 2013, un 10% más que el año anterior según Allied Business Intelligence Inc." Esto requiere la implementación efectiva del marco de ciberseguridad.
Componentes del marco de ciberseguridad
El Marco consta de tres componentes principales:
- El núcleo,
- Niveles de implementación y
- Perfiles de marco.
El núcleo del marco
Framework Core es un conjunto de actividades de ciberseguridad y referencias aplicables que tiene cinco funciones simultáneas y constantes: identificar, proteger, detectar, responder y recuperar. El núcleo del marco tiene métodos para garantizar lo siguiente:
- Desarrollar e implementar procedimientos para proteger la propiedad intelectual y los activos más críticos.
- Disponga de recursos para identificar cualquier brecha de seguridad cibernética.
- Recuperarse de una infracción, siempre y cuando ocurra.
Los niveles de implementación
Los Niveles de implementación del marco definen el nivel de sofisticación y consistencia que emplea una organización al aplicar sus prácticas de ciberseguridad. Tiene los siguientes cuatro niveles.
Tier 1 (Partial)- En este nivel no se definen los perfiles de gestión de ciberriesgos de la organización. Existe una conciencia parcial del riesgo de ciberseguridad de la organización a nivel de organización. No se ha reconocido la metodología de toda la organización para gestionar el riesgo de ciberseguridad.
Tier 2 (Risk Informed)- En este nivel, las organizaciones establecen una política de gestión del riesgo cibernético que es aprobada directamente por la alta dirección. La alta dirección se esfuerza por establecer objetivos de gestión de riesgos relacionados con la ciberseguridad y los implementa.
Tier 3 (Repeatable)- En este nivel, la organización se ejecuta con medidas formales de ciberseguridad, que se actualizan periódicamente en función de los requisitos. La organización reconoce sus dependencias y socios. También recibe información de ellos, lo que ayuda a tomar decisiones de gestión basadas en riesgos.
Tier 4 (Adaptive)- En este nivel, la organización adapta sus prácticas de ciberseguridad "en tiempo real" derivadas de las actividades de ciberseguridad anteriores y actuales. A través de un proceso de desarrollo incesante en la combinación de tecnologías avanzadas de ciberseguridad, colaboración en tiempo real con socios y monitoreo continuo de actividades en sus sistemas, las prácticas de ciberseguridad de la organización pueden responder rápidamente a amenazas sofisticadas.
El perfil del marco
Framework Profile es una herramienta que proporciona a las organizaciones una plataforma para almacenar información sobre su programa de ciberseguridad. Un perfil permite a las organizaciones expresar claramente los objetivos de su programa de ciberseguridad.
¿Por dónde empezar con la implementación del marco?
La alta dirección, incluidos los directores, debe familiarizarse primero con el Marco. Después de lo cual, los directores deben tener una discusión detallada con la gerencia sobre los Niveles de Implementación de la organización.
Educar a los gerentes y al personal sobre el Marco garantizará que todos comprendan su importancia. Este es un paso importante hacia la implementación exitosa de un vigoroso programa de ciberseguridad. La información sobre las implementaciones del marco existentes puede ayudar a las organizaciones con sus propios enfoques.