La ciberseguridad requiere resiliencia colectiva

Cuando un parche de CrowdStrike generó inadvertidamente disrupción en los terminales Windows en todo el mundo en 2024, incluso las empresas bien preparadas se vieron afectadas. Sin embargo, mientras muchas empresas luchaban por volver a conectarse, algunas lograron recuperarse con sorprendente rapidez. La diferencia radicó en la rapidez con la que los líderes pudieron comprender el alcance y el riesgo, validar las medidas de mitigación y coordinar las comunicaciones. Por ejemplo, una hora después de que se generara disrupción, los miembros del Business Resilience Council (BRC) compartían lo que estaban viendo en un chat intersectorial. Más tarde ese mismo día, esos profesionales colaboraron en una llamada. Poco después, el CEO de CrowdStrike informó a más de mil empresas en el foro de confianza del BRC. La única forma de alcanzar ese nivel de rapidez y franqueza de manera constante es a través de relaciones preestablecidas, canales seguros y manuales ensayados. Es lo que llamamos «resiliencia colectiva». Esta idea se basa en la resiliencia operativa, que es la capacidad de una organización para mantener sus servicios importantes en funcionamiento durante una interrupción, cumpliendo con los niveles mínimos de servicio viables (MVSL) mientras se lleva a cabo la recuperación completa en paralelo. La resiliencia colectiva, por el contrario, es la capacidad de varias organizaciones para coordinarse de manera que los servicios a los clientes continúen, incluso en un estado deficiente, a través de proveedores, socios y plataformas compartidas. Las empresas deben poner en práctica esta idea creando canales de comunicación y manuales compartidos con sus terceros más importantes, definiendo los niveles mínimos de servicio para los servicios críticos y ensayando juntos la prestación de servicios en condiciones de deterioro antes de que la próxima disrupción genere disrupción. Reconsiderando la resiliencia Durante los últimos 20 años, los líderes han pensado en la ciberseguridad casi exclusivamente en el contexto de sus propias empresas. Se han centrado en invertir en sistemas que mantuvieran sus empresas en funcionamiento en caso de ataque y han dado por sentado que la ciberseguridad consistía en proteger su información y sus procesos frente a actores maliciosos. Lamentablemente, esta perspectiva ha llegado a sus límites. Las empresas no operan en el vacío, sino en un ecosistema interconectado que debe ser resiliente. «Dos décadas de externalización han convertido entornos que antes eran homogéneos en sistemas de sistemas interdependientes, unidos por terceros y plataformas compartidas», afirma David LaFalce, presidente del Business Resilience Council. En el ecosistema interconectado actual, tratar los incidentes y la continuidad como eventos principalmente internos ya no funciona. Muchos de los modos de fallo más importantes se encuentran fuera del control directo de cualquier empresa. La realidad actual es que las organizaciones deben defenderse juntas y coordinarse rápidamente para evitar impactos sistémicos. La seguridad depende del intercambio rápido de la información adecuada en comunidades de confianza, de modo que los equipos puedan validar las señales y coordinar medidas de mitigación eficaces. La resiliencia no solo significa mantener los servicios en funcionamiento para su empresa, sino también permitir que los clientes y socios sigan funcionando, aunque sea en un estado degradado, para limitar el alcance de los fallos y evitar generar disrupción sistémica. Existe un camino práctico que va desde la preparación a nivel de empresa hasta la resiliencia a nivel de ecosistema. El siguiente caso práctico muestra la rapidez con la que una interrupción genera disrupción y se convierte en un evento que afecta a múltiples partes. A partir de ahí, el debate se centra en tres cambios que pueden impulsar los líderes: pasar de la protección a la coordinación, de la continuidad interna a la continuidad del servicio y de la gestión de riesgos de terceros a la resiliencia conjunta. La sección final ofrece medidas que pueden implementar los líderes este trimestre. Estudio de caso: el sistema de pagos electrónicos ACH Para comprender por qué es importante la resiliencia colectiva, consideren lo que ocurre cuando se ve afectado un servicio compartido. En la primavera de 2024, el BRC organizó un ejercicio comunitario de simulación para poner a prueba la resiliencia de las instituciones financieras ante una disrupción a gran escala de la red de la Cámara de Compensación Automatizada (ACH), que procesa los pagos electrónicos en Estados Unidos, como los depósitos directos de nóminas, las prestaciones de la Seguridad Social y las devoluciones de impuestos. En 2024, la ACH procesó más de 33 000 millones de pagos por un valor de 86 billones de dólares. En el simulacro participaron cientos de bancos, cooperativas de crédito y procesadores centrales de muy diversos tamaños. El escenario se diseñó para poner de relieve tanto la continuidad del servicio como las dependencias de la cadena de suministro. El primer día comenzó con la inaccesibilidad de los sistemas ACH y las noticias nacionales informando de cortes generalizados. El escenario se agravó con un destructivo programa informático que borró los sistemas ACH y las copias de seguridad. El segundo día, quedó claro que cientos de instituciones financieras y una importante empresa de procesamiento de nóminas no podían procesar las transacciones ACH y que el 20 % de los pagos fallaban. Para el quinto día, se sumaron otros acontecimientos, como la filtración de datos, una campaña de desinformación y un ataque DDoS que afectó al acceso de los clientes a la banca en línea. Una interrupción prolongada del ACH se convierte rápidamente en un problema doméstico e intersectorial, ya que los salarios, las prestaciones, los reembolsos y los pagos a proveedores dependen de él. El ejercicio se diseñó expresamente para explorar los efectos sistémicos, las dependencias de terceros, la confianza de los clientes y los ataques secundarios. De este ejercicio se extrajeron cuatro lecciones clave: Las suposiciones sobre los proveedores compartidos se rompen en una crisis. Muchas instituciones esperaban que los procesadores centrales se encargaran del volumen de procesamiento y gestionaran los retrasos durante una interrupción prolongada, mientras que los procesadores centrales indicaron que no podían cumplir con sus obligaciones. La falta de visibilidad retrasa la acción. Casi la mitad de los encuestados carecía de herramientas para medir el nivel de deterioro de los sistemas ACH, lo que retrasaba la detección y las decisiones sobre la priorización y el cambio a modelos de servicio degradados. Es posible que terceros no puedan o no quieran prestar ayuda. En acontecimientos que afectan a todo el sector, los proveedores compartidos pueden verse desbordados o generar disrupción y pueden mostrarse reacios a restablecer las conexiones con sus socios. Los ejercicios con terceros críticos ponen de manifiesto esas diferencias en las expectativas e impulsan la adopción de prácticas de resiliencia operativa para alcanzar mejor los MVSL. Las comunicaciones y la gestión de la desinformación son controles de resiliencia. Entre lasprincipales preocupaciones figuraban las comunicaciones unificadas con los reguladores, los clientes, los proveedores y el público, además de una planificación explícita para contrarrestar la desinformación que puede provocar pánico y perturbaciones secundarias. Estas deficiencias solo se hacen visibles en un simulacro en el que participan múltiples partes, con proveedores y clientes sentados a la mesa. El ejercicio reforzó la idea de que la coordinación con terceros y compañeros es un proceso de control de la resiliencia necesario, y que las expectativas de resiliencia deben validarse mediante la preparación y las pruebas conjuntas. El estudio de caso ilustra el impacto interconectado de las perturbaciones del ecosistema, en el que la resiliencia proviene de la preparación y la rapidez de la coordinación impulsa los resultados. Las siguientes secciones traducen esa lección en tres transformaciones prácticas que los líderes pueden implementar tanto en su organización como en su ecosistema. De la protección a la coordinación La protección sigue siendo importante, y los líderes deben asegurarse de contar con las medidas de seguridad adecuadas. Sin embargo, en incidentes que afectan a todo el ecosistema, gestionar con éxito el tiempo de coordinación suele determinar quién sigue operando. Las organizaciones que actúan con mayor rapidez y éxito ya cuentan con: Vías de escalamiento y relaciones de trabajo con ejecutivos designados de proveedores clave. Canales multipartitos seguros y probados para compartir información rápidamente. Flujos de trabajo ensayados sobre cómo fluye la información crítica y las medidas de mitigación dentro de la empresa y en todo el ecosistema. En recientes incidentes que han afectado a múltiples sectores, desde herramientas de terceros ampliamente explotadas (por ejemplo, el incidente de MOVEit en 2023) hasta importantes interrupciones en los servicios en la nube de Google y AWS, el factor diferenciador no fue un nuevo control de seguridad. Fue la confianza preestablecida y la colaboración en tiempo real lo que redujo el tiempo transcurrido entre la detección, la toma de decisiones y la reanudación. Información útil: Incluya a los proveedores importantes en su ciclo de respuesta antes de que los necesite, estableciendo un canal de coordinación seguro, designando contactos y ensayando cómo fluirá la información crítica y las soluciones bajo la presión del tiempo. De la continuidad interna a la continuidad del servicio Los planes tradicionales de continuidad del negocio se preguntan: «¿Cómo recuperamos nuestro negocio?». Por el contrario, la resiliencia operativa a nivel empresarial se pregunta: «¿Cómo seguimos prestando servicios importantes a nuestros clientes durante una crisis?». Responder a eso requiere una visión centrada en el servicio: identificar de qué servicios dependen sus clientes, definir un MVSL para cada uno de ellos y diseñar cómo operará en un estado deteriorado pero aceptable. El BRC creó un Marco de Resiliencia Operativa (ORF) que proporcionó una ruta de siete pasos que los líderes pueden adoptar para responder a estas preguntas. Cuando los proveedores y distribuidores críticos aplican las mismas prácticas, el resultado es una resiliencia del ecosistema que minimiza el impacto sistémico y el daño al consumidor. Información útil: Priorice sus segmentos de clientes y defina los MVSL para cada servicio clave. Establezca objetivos de prestación de servicios (SDO) que especifiquen la rapidez con la que alcanzará su estado de deterioro objetivo. A continuación, cree métodos para detectar los primeros signos de deterioro (no solo subidas y bajadas) y pruebe las conmutaciones por error para alcanzar los estados de deterioro objetivo de forma predecible. De la gestión de riesgos de terceros a la resiliencia colectiva El riesgo de terceros se convierte en sistémico cuando las expectativas y las capacidades no coinciden. Como demostró el ejercicio de interrupción de la ACH, muchos bancos asumieron que los proveedores compartidos podrían soportar el volumen de transacciones durante una crisis cuando, en realidad, no podían. Casi la mitad de los participantes en ese ejercicio tampoco disponían de herramientas para medir el deterioro del servicio en tiempo real. Estas son fuentes clásicas de sorpresas sistémicas y solo pueden evitarse preparándose y practicando la resiliencia junto con los proveedores críticos. Información útil: Conviertan la gestión del riesgo de terceros en resiliencia conjunta alineando los contratos con los resultados de MVSL/SDO y participando en ejercicios intersectoriales con proveedores, de modo que las opciones de recuperación se comprueben en la práctica. Lo que pueden hacer los líderes hoy en día Identifique los servicios imprescindibles. Nombre tres servicios que su organización debe mantener activos para evitar daños a los clientes. Para cada uno de ellos, priorice los grupos de clientes y defina el MVSL que evita la disrupción posterior. Defina los objetivos y mecanismos para alcanzar ese estado de deterioro durante una crisis y cree redundancias para eliminar los puntos únicos de fallo. Supervise el deterioro. No deje que las quejas de los clientes sean su primera alerta. Equipe cada servicio y establezca umbrales que activen los modos de deterioro predefinidos, de modo que las transacciones de mayor prioridad sigan procesándose durante el evento disruptivo. Prepare la participación de los proveedores para lograr una resiliencia colectiva. Establezca contactos de escalamiento, canales de comunicación seguros y obligaciones contractuales de resiliencia con los proveedores críticos. Planifique para interrupciones en todo el sector y aclare de antemano cómo se priorizará a su organización entre sus pares cuando un proveedor compartido tenga problemas. Practique el funcionamiento en estado de deterioro antes de que esas configuraciones sean realmente necesarias. Una vez definidos los niveles mínimos de servicio, diseñe las configuraciones objetivo para el estado de deterioro, de modo que sus flujos de máxima prioridad continúen durante una crisis. Practique el cambio de servicio completo a servicio deteriorado y viceversa. Asegúrese de que los MVSL sean alcanzables y satisfagan las necesidades de los clientes. Los simulacros repetidos acortarán el tiempo de transición entre los estados de deterioro y la reanudación completa y generarán confianza en los planes de recuperación. Utilice ejercicios centralizados. Las pruebas individuales con los clientes no son escalables cuando un proveedor atiende a miles de ellos. La participación en ejercicios centralizados es la forma en que las organizaciones pasan de la resiliencia operativa a nivel de empresa a la resiliencia colectiva a nivel de ecosistema. Asegúrese de que los proveedores críticos compartan activamente la información en comunidades de confianza y participen en ejercicios sectoriales e intersectoriales. Esto pondrá de manifiesto las hipótesis discordantes y reforzará la resiliencia conjunta antes de que los problemas se conviertan en sistémicos. Con una mentalidad colectiva orientada a la resiliencia, un plan claro para mantener operativas tanto su organización como su ecosistema durante un incidente, y el hábito de practicar el cambio de las operaciones normales a la prestación de servicios mínimos, su organización estará preparada para capear la crisis. La alternativa es mucho menos atractiva.

La ciberseguridad requiere resiliencia colectiva

Resumen.

Partner Center