Por qué las estructuras tradicionales de los sistemas de gestión de la seguridad de la información (SGSI) están llegando a sus límites
Muchas organizaciones siguen aplicando sistemas de gestión de la seguridad de la información diseñados en torno a ciclos de gobernanza que resultaban adecuados para los entornos de seguridad de hace diez años y que cada vez están más desajustados con respecto a los actuales.
Las auditorías de seguridad se realizan según calendarios que parten de la base de que la situación de seguridad entre una auditoría y otra es lo suficientemente estable como para que baste con una evaluación periódica. En un entorno en el que cada día se descubren nuevas vulnerabilidades y los actores maliciosos buscan continuamente brechas que puedan explotarse, la suposición de estabilidad entre ciclos de auditoría ya no es válida. La auditoría ofrece una imagen precisa del estado de seguridad en el momento en que se lleva a cabo. Para cuando se realiza la siguiente auditoría, el panorama de amenazas, el entorno tecnológico y la propia huella operativa de la organización han cambiado de formas que el modelo de gobernanza no ha sabido reflejar.
En la mayoría de las organizaciones, los registros de riesgos se actualizan trimestralmente o con menor frecuencia, lo que da lugar a evaluaciones de riesgos que reflejan la exposición de la organización en un momento concreto, en lugar de su exposición actual. Un registro de riesgos que era preciso hace tres meses puede subestimar significativamente la exposición actual si se ha descubierto una vulnerabilidad importante en una infraestructura de uso generalizado, si un proveedor externo clave ha sufrido un incidente de seguridad o si la organización ha incorporado nuevos servicios en la nube que introducen una nueva superficie de ataque.
El seguimiento de las medidas correctivas se lleva a cabo de forma independiente de los procesos de evaluación de riesgos, que deberían basarse continuamente en los resultados de dichas medidas, lo que significa que el modelo de gobernanza no aprende de su propia actividad correctiva en tiempo real. La revisión de la dirección se centra en consolidar los informes históricos, en lugar de sintetizar la información actual sobre amenazas para aplicarla a las decisiones estratégicas de seguridad.
Mientras tanto, la exposición cibernética evoluciona continuamente por debajo de esas capas de gobernanza. La brecha entre los controles de seguridad documentados y la visibilidad cibernética operativa real se amplía cada día que el panorama de amenazas evoluciona sin que el modelo de gobernanza se actualice para reflejarlo.
La organización mantiene la documentación sobre seguridad de la información. Poco a poco va perdiendo la coordinación cibernética.
El verdadero cambio estratégico que encierra la norma ISO 27001
El valor estratégico futuro de la norma ISO 27001 ya no reside principalmente en demostrar el cumplimiento de los requisitos de seguridad de la información. El cumplimiento seguirá siendo un requisito y, en muchos sectores, se está convirtiendo en una base contractual y normativa, más que en un factor diferenciador frente a la competencia.
El verdadero valor reside, cada vez más, en coordinar la inteligencia operativa cibernética en toda la organización de forma continua y con la suficiente antelación como para detectar los riesgos emergentes antes de que den lugar a incidentes de seguridad, interrupciones operativas o consecuencias normativas.
Esto modifica el papel de la gobernanza de la seguridad de la información de una forma específica para la naturaleza del riesgo cibernético. A diferencia de los riesgos medioambientales o de calidad, que se originan principalmente dentro de los límites operativos de la organización, la exposición cibernética viene determinada por agentes externos que buscan activamente aprovechar las lagunas de gobernanza. Para gestionar esa exposición de forma eficaz se requiere una capacidad de inteligencia que responda al entorno de amenazas en tiempo real, en lugar de un programa de cumplimiento normativo que documente la existencia de controles a intervalos periódicos.
Cuando los hallazgos de seguridad pasan de ser incidentes aislados a convertirse en indicadores operativos que redefinen continuamente la priorización de riesgos, la organización adquiere la capacidad de detectar patrones de exposición emergentes antes de que tengan consecuencias. Un conjunto de anomalías de acceso en múltiples sistemas se convierte en una señal detectable de que las credenciales se han visto comprometidas, en lugar de una serie de sucesos inconexos. Un patrón de incidentes de seguridad en los proveedores se hace visible como una tendencia de riesgo en la cadena de suministro, en lugar de un conjunto de problemas independientes relacionados con terceros.
Cuando las medidas correctivas se convierten en mecanismos de aprendizaje organizativo, en lugar de meros procesos administrativos, la organización refuerza la resiliencia de su gobernanza de seguridad con cada problema resuelto. El SGSI mejora progresivamente su capacidad para anticipar las categorías de riesgo a las que es más probable que se enfrente, en lugar de limitarse a responder a las que ha experimentado más recientemente.
Cuando la gestión de riesgos pasa a ser predictiva en lugar de descriptiva, la organización controla la exposición cibernética a la que está sometida en la actualidad, en lugar de la exposición a la que estaba sometida en el último ciclo de evaluación. Esa distinción cobra cada vez más importancia a medida que se acelera el ritmo de evolución de las amenazas.
La inteligencia operativa cibernética requiere una gobernanza coordinada
Esta transformación solo es posible cuando los procesos de gobernanza de la seguridad de la información se integran de forma estructural, en lugar de coordinarse periódicamente.
Cuando los resultados de las auditorías influyen de forma dinámica en los niveles de exposición dentro de [Gestión de riesgos], las organizaciones comienzan a identificar patrones cibernéticos sistémicos mucho antes de lo que permiten los ciclos de auditoría tradicionales. El SGSI deja de generar pruebas periódicas de cumplimiento y empieza a producir información de seguridad continua que sirve de base para las decisiones operativas en toda la empresa, en lugar de limitarse a confirmar las actividades de gobernanza dentro de la función de seguridad.
Cuando los flujos de trabajo correctivos gestionados a través de CAPA Management validan su eficacia de forma continua, en lugar de limitarse a confirmar su cierre administrativo, el aprendizaje cibernético se consolida en toda la empresa de formas que se potencian con el tiempo. La organización desarrolla su capacidad de gobernanza de la seguridad con cada problema resuelto, en lugar de limitarse a repasar cíclicamente categorías de vulnerabilidades recurrentes bajo diferentes etiquetas técnicas.
Cuando los procedimientos regulados mediante el control de documentos evolucionan continuamente al ritmo de los cambios en la exposición operativa, en lugar de actualizarse mediante ciclos programados de control de documentos, las organizaciones mantienen la coherencia entre la documentación sobre gobernanza de la seguridad y la realidad operativa que está destinada a regular. El SGSI describe los requisitos de seguridad actuales, en lugar de los históricos.
En ese momento, el SGSI deja de funcionar como un marco de documentación estático que acredita las actividades de cumplimiento realizadas en el pasado. Se convierte en un sistema de gestión operativa coordinado que gestiona de forma continua la ejecución, la supervisión y la resiliencia cibernética en toda la empresa, en respuesta a un entorno de amenazas que cambia más rápido de lo que cualquier ciclo periódico de gobernanza puede seguir el ritmo.
