La inteligencia artificial (AI) ha transformado la velocidad y la escala de los ciberataques dentro de las organizaciones, las cuales se enfrentan una marcada asimetría entre las amenazas automatizadas que operan en cuestión de minutos y los procesos de remediación internos que aún dependen de ciclos semanales o humanos.
Convocados por Netmedia, casa editorial de IT Masters Mag, para una nueva reunión de su IT Masters Club en Monterrey, 11 líderes IT de grandes organizaciones en el norte del país, analizaron los desafíos impuestos por la AI en la gestión de riesgos.
Entre los temas abordados, se discutió la urgencia de reducir los tiempos de remediación de vulnerabilidades frente a ataques que ahora operan a velocidad de máquina, así como la preocupación colectiva por el fenómeno del shadow AI.
Coincidieron, ante el riesgo de la fuga de datos críticos, la necesidad de una cultura de concientización sobre este tema, así como la implementación de estrategias de contención automatizada.
La directora ejecutiva de Netmedia, Pía Mistretta, como punto de partida afirma: “Si el atacante opera en minutos y nosotros seguimos parchando en ciclos mensuales, pues estamos jugando en relojes distintos. La inteligencia artificial puede detectar en segundos, pero nosotros seguimos tardando días o semanas en corregir”.
Índice de temas
Tiempo real vs. tiempo de remediación
Para abrir el debate y evaluar la situación de los asistentes, Mistretta realizó un sondeo instantáneo sobre ¿cuál es el tiempo promedio real de remediación (MTTR) de un activo crítico en su organización?
La mayoría de los participantes (88%) respondieron que tardan de entre 24 a 48 horas, desde identificar el incidente, comunicarlo con el personal especializado, hasta tomar medidas de remediación.
El primero en tomar la palabra fue el director de Tecnología e Información de Servicios Operacionales Benavides, Homero Padilla, quien reconoció que en su caso tarda de entre tres a siete días.
“En la parte de contención ahí te encuentro que andamos bastante bien, pero en la parte de remediación creo que siempre hay un área por trabajar”, señaló.
Por su parte, el director de Medios de pago y Datos de Banregio Grupo Financiero, José Alfredo Pequeño, señaló que, en el sector financiero, aunque se actúe con celeridad, es una ilusión pensar que la remediación se logra presionando un botón de forma 100% automatizada, requiriendo análisis humano experto e ingeniería social.
“Muchas veces en los ataques no es tan fácil saber exactamente qué fue, qué tienes que parchear… y cuando es ingeniería social, como bien dices, está peor”, señaló.
El director de IT de Cuprum, Mario Antonio García, explicó que en su caso si un activo ha sido catalogado previamente como crítico, la desconexión es inmediata para que se active un plan de continuidad de negocio para mantener operando la empresa mientras se realiza la investigación técnica.
“Como es un activo previamente marcado como crítico, pues puede ser que tengas algún tipo de contingencia o business continuity plan que te permita continuar las operaciones de negocio mientras estás haciendo esa desactivación”, mencionó.
El subdirector Desarrollo de servicios y Soluciones de ciberseguridad para América Latina de Ikusi, José Luis Ponce, enfatizó la necesidad de contener primero el incidente antes de investigar la causa y advirtió sobre el peligro de automatizar actualizaciones sin prevalidarlas en ambientes controlados, ya que un parche defectuoso podría interrumpir el core business de la empresa.
“Primero vas a la contención y posteriormente vas a ver qué causó ese problema, ese incidente. Necesitas asegurar que lo que vas a actualizar pues no va a ser contraproducente con lo que ya está funcionando, tienes que validar muy bien el tema de la prevalidación en ambientes más controlados antes de llegar a producción”, detalló.
Exposiciones críticas y los factores que impiden actuar rápido
Más tarde, Mistretta preguntó a los participantes qué suele impedir que se resuelva con la velocidad necesaria cuando se identifica una exposición crítica. La mayoría (56%) votó por “depende de demasiados equipos o procesos”, sobre otras opciones como la competencia con múltiples prioridades o la incapacidad del negocio para asumir el impacto operativo.
El CIO para México y Perú de GM Financial de México, Heriberto Landetta, explicó que muchas de las veces la toma de decisiones termina siendo una estructura piramidal. Es decir, se reúnen con el equipo de seguridad y desarrollo de infraestructura, acción que desata discusiones muy técnicas y burocráticas que frenan la velocidad de decisión mientras el negocio presiona por seguir otorgando créditos
“Nos metemos todos a un war room y empezamos a platicar. Sí hay una lucha de opiniones, se vuelve de pronto en un trabajo árduo, un tanto burocrático para poder estar muy convencido de una toma de decisión”, comentó.
En su oportunidad, el director de IT de Trayecto, Hernán Guerra, apuntó que para él existen prioridades compitiendo y destacó que en su industria (transporte y logística) aislar un sistema para parchear puede detener la facturación, por lo que Dirección General termina ponderando el riesgo financiero contra el ciberriesgo.
“El impacto de no facturar un día son como 50 millones [de pesos], entonces…pues mejor síguele cómo estás, esa es la prioridad y me queda bien claro es que siempre es pues que la empresa siga funcionando”, mencionó.
Para el director de IT de Dollar General, Francisco Javier González, al formar parte de una empresa global, la remediación requiere interactuar con los equipos de seguridad en Estados Unidos y proveedores de software SAS, lo cual añade múltiples actores a la toma de decisiones.
“Sabemos en el proceso que tenemos que interactuar con ellos, además de proveedores, tenemos de servicio SAS. Todo eso comienza a complicar un poquito el que son varios actores con los que tendríamos que tocar base”.
Padilla, de Benavides, destacó que en su organización el área de ciberseguridad tiene “las llaves del reino” para apagar sistemas inmediatamente ante una amenaza crítica. La fricción con el negocio no ocurre en el corte inicial, sino al momento de definir la ventana de tiempo para aplicar la remediación definitiva.
“El responsable de seguridad puede hacer lo que quiera, lo que vea necesario activa: da el trancazo, luego pregunta y pide permiso. Es una claridad que tenemos acá de a ver, estoy viendo una bronca, cierro la llave y háganle como quieran”, explicó.
El director de IT y CX de Promotora Ambiental, Fernando Casas, argumentó que cuando surge un incidente es casi imposible dimensionar el alcance real en los primeros minutos. “Primero es: apaga todo y después averiguas y recuperas. Tienes que pecar de exagerado y apagar o detenerlo todo porque en una de esas, realmente estás mucho más impactado a lo que estás viendo en primera instancia”, dijo.
García, de Cuprum, señaló que la dependencia de terceros; es decir, proveedores que exigen levantar tickets para parche, retrasa la remediación. “Tienes que pasar por procesos de tickets, no tuyo, sino del tercero para poder levantar el servicio […] entras en un war room y empieza el finger pointing, el proceso de remediación es largo”, destacó.
Landetta, de GM Financial de México, explicó que para conciliar la postura con el negocio, se establecen periodos de congelamiento una semana antes de cierres contables o de ventas, por lo que está prohibido modificar servidores o instalar parches salvo exista una amenaza inminente.
En ese sentido, el director regional de AI de Chubb Seguros México, Rafael Sánchez, destacó que al ser la aseguradora global en ciberseguridad, no pueden permitirse ser vulnerables, por lo que tienen que establecer protocolos estrictos para aislar y remediar de inmediato sin importar el impacto en facturación.
“¿Cómo podríamos nosotros vender un seguro de ciberseguridad si nosotros somos vulnerables? De nuestro lado toca apagar, no importa a qué le pegas, y remediarlo”, dijo.
Pequeño, de de Banregio, respaldó la necesidad de cortar el servicio inmediatamente, precisando que la complejidad real se traslada a la remediación de fondo cuando se requiere modificar el código de las aplicaciones.
“Lo apagas [pero] cuando se complica es dependiendo de lo que fue. Algunas veces hay que modificar aplicaciones y modificar el proceso de evolución. Eso complica el asunto”, indicó.
Salazar, de Tenable, concluyó remarcando la importancia de actuar con anticipación para no tomar decisiones apresuradas bajo la presión de un barco que ya se está hundiendo. “Lo que buscamos es anticiparnos, cuando se detecta una exposición poder reaccionar rápido (…) ya no se vale decir ‘se está hundiendo el barco’, pero ya le está entrando agua”.
Participantes
Mario Antonio García Olvera, director de IT de Cuprum; Juan Antonio García Ramírez, gerente de IT de Viakem; Carlos Vicente Grajales Blasco, CISO de Mitsui & Co Soluciones de Infraestructura; Hernán Elionay Guerra Martínez, director de IT de Trayecto; Francisco Javier González Morales, director de IT de Dollar General; Fernando Casas González, director de IT y CX de Promotora Ambiental; Heriberto Landetta Cabrera, CIO de México y Perú de GM Financial de México; Homero Padilla Cano, director de Tecnología e Información de Servicios Operacionales Benavides; José Alfredo Pequeño Contreras, director de Medios de pago y Datos de Banregio Grupo Financiero; Rafael Sánchez Silván, director regional de Innovación y Soluciones de negocio con AI, para América Latina de Chubb Seguros México, y Luis Francisco Valladares Palma, CIO global de Ruhrpumpen.
