Actualmente, las empresas sin importar su enfoque están sujetos a entornos de imprevisibilidad frente al cambiante mundo de las ciberamenazas y los ciberataques, esto se genera gracias a la creatividad, astucia y rapidez de los ciber atacantes. La brecha aumenta a raíz del cambio constante frente a las estrategias de prevención, lo sofisticado y complejo de las amenazas latentes, hace que el papel de los equipos de ciberseguridad dependa de procesos ágiles, que logren mantener la preparación suficiente, para responder ante cualquier tipo de ciber amenaza y apalanquen el cumplimiento de los objetivos estratégicos trazados por la organización.
Albert Einstein decía “Si buscas resultados distintos, no hagas siempre lo mismo”, este creo yo es un buen punto de inicio, para lograr la adopción de marcos ágiles que permitan tomar decisiones, mantener la visibilidad y fortalecer la mejora continua, esto controlado a partir de: ciclos de ejecución cortos, cuyo objetivo sea conseguir incrementos de valor y mejoras en la respuesta frente al cambiante mundo de la ciberseguridad.
Adoptar una planificación estratégica adaptativa, permite que, los objetivos se adapten respecto a los resultados que se van logrando en ciclos definidos, obteniendo valor en el producto o permitiéndole adaptarse, dependiendo de los resultados del ciclo anterior. Es de tener en cuenta que gran parte de la estrategia debe tener atados marcos de referencia o recomendaciones de industria de ciberseguridad, permitiendo hacer adiciones y mejoras iterativas al producto deseado.
Una evaluación de Riesgos en periodos de tiempo corto con una visión Holística de toda la compañía generará en la entidad una matriz de riesgo sólida y manejable en el tiempo que evalué las diferentes aristas de la organización y así se puedan tomar las decisiones que más se adecuen a situaciones que se puedan presentar, de esta manera mitigar el impacto frente a las amenazas detectadas.
Para realizar una gestión de riesgos adecuada, debemos tener en cuenta, el poder determinar diferentes perfiles de amenazas, como ejemplo podemos determinar que “el eslabón más débil de la cadena” es el recurso humano, su amenaza puede estar atada a las campañas de ingeniera social o “Phishing” (por sus siglas en inglés), como plan de acción desarrollamos pruebas de seguridad, formación y sensibilización al recurso, esto de forma iterativa permitirá desarrollar diferentes tipos de estrategias que harán que el recurso humano este mejor formado para responder frente a esta amenaza. Sin embargo, como lo indicamos al inicio, la constante evolución en los diferentes tipos de ataques hace que el ciclo sea iterativo e incremente valor en el producto siempre que finalice su ciclo anterior, con esto garantizamos que se adapten los objetivos, se identifiquen nuevos riesgos por ende nuevos planes de respuesta a la o las amenazas nuevas o existentes.
El generar los perfiles de amenazas y riesgos en la compañía, nos permitirá que las decisiones y acciones correctivas sean implementadas en ciclos cortos y no sean generados solamente desde las áreas técnicas o de ciberseguridad, sino de toda la organización, esto hará que se tenga una concepción general en toda la organización, permitiendo implementar rápidamente planes de acción, cambios y responder activamente frente a ciber amenazas.
De lo antes mencionado, podemos concluir que como parte fundamental de la adaptación de las organizaciones en ciberseguridad, es el Identificar los riesgos inminentes a los que está expuesta cualquier entidad, esto visto desde diferentes puntos de vista y así poder generar planes que minimicen la probabilidad de ocurrencia del riesgo identificado, así como planes de acción mejorados, optimización de los procesos de respuesta y adopción rápida de tecnologías de prevención frente a las ciber amenazas.
Para las áreas de ciberseguridad un enfoque adaptativo enfocado no a la perfección a largo plazo, sino a “estar mejor preparado, por ahora”, permitirá mejorar iterativamente la postura de ciberseguridad. Esto permitirá que las organizaciones recalculen cada vez que sea necesario el cierre oportuno de nuevas brechas que van apareciendo, generen una cultura de intercambio de conocimiento entre diferentes grupos dentro de la organización y de esta manera poder maniobrar la estrategia de ciberseguridad adoptada como provisional, teniendo en cuenta que puede ser adaptada o mejorada con el tiempo.
Referencias:
https://www.scaledagileframework.com/
https://proyectosagiles.org/que-es-scrum/
https://www.nist.gov/publications/agile-model-based-standards-development
https://www.forbes.com/sites/forbestechcouncil/2019/01/02/cybersecurity-in-an-agile-world/?sh=146931fb1be9
