Pernilla Rönn insta a las organizaciones a poner a prueba la ciberseguridad

Las políticas de ciberseguridad son importantes, pero las organizaciones también deben comprobar que sus procedimientos funcionan en la práctica. Pernilla Rönn, experta en ciberseguridad de HiQ, afirma que el mes de la ciberseguridad, en octubre, puede ayudar a fomentar la participación, pero que el trabajo de seguridad debe continuar durante todo el año.

El 1 de octubre se aprobaron nuevas normas suecas. Abarcan aspectos como las medidas de seguridad, la formación de la dirección, las auditorías de seguridad y el análisis de seguridad. Rönn afirma que la madurez y la capacidad operativa varían mucho entre organizaciones. Algunos municipios han avanzado poco, mientras que los organismos públicos y las empresas sujetos desde hace más tiempo a requisitos más estrictos están más adelantados, explicó a Techtidningen.

Señala la supervisión de proveedores como un punto débil. Las organizaciones deben comprobar que se cumplen los requisitos de seguridad y que se transmiten a lo largo de la cadena de suministro. Contratar servicios de seguridad gestionados o SOC no elimina la responsabilidad de la organización en la respuesta a incidentes. Rönn recomienda acordar planes y hacer ejercicios conjuntos con los proveedores.

También advierte que las políticas escritas pueden no reflejar las prácticas reales, mientras que el conocimiento operativo no documentado puede perderse cuando se van empleados. HiQ realiza pruebas de penetración que parten de la premisa de que un atacante ha superado las defensas exteriores de una organización. Las credenciales expuestas o las contraseñas en texto sin cifrar pueden ayudarle a tomar el control del entorno informático.

Los ejercicios pueden comenzar con una revisión del plan de respuesta a incidentes y continuar con sesiones de simulación con la dirección y pruebas para ver cómo llegan las decisiones desde el servicio de asistencia hasta la dirección de crisis. Las organizaciones más maduras pueden recurrir a ataques simulados. Rönn recomienda realizar ejercicios y formación periódicos durante el año y aprovechar octubre para planificar y conseguir apoyo para el trabajo del año siguiente.