En la era digital en la que vivimos, la seguridad cibernética se ha convertido en una preocupación fundamental para las empresas. Sin embargo, muchas de ellas están invirtiendo en productos de seguridad sin tener claro cuáles son sus verdaderas debilidades y qué tan efectivas son sus defensas actuales.

Según Tom Van de Wiele, consultor principal de seguridad de F-Secure, alrededor del 50% de las inversiones en seguridad cibernética son ineficaces o inapropiadas. Esto se debe a que muchas organizaciones adoptan un enfoque basado en cumplimiento de requisitos sin entender realmente cuáles son sus vulnerabilidades.

Para abordar este problema, Van de Wiele sugiere que las empresas primero identifiquen dónde se encuentran sus datos críticos y sensibles, quién los posee y administra, quién tiene acceso a ellos y desde dónde. Sorprendentemente, muchas organizaciones aún no tienen esta información básica.

El siguiente paso, según el experto, es realizar ejercicios de “red teaming” para comprender las fortalezas y debilidades de la defensa cibernética. Este enfoque, realizado por equipos de hackers éticos internos o externos, permite a las organizaciones asumir que serán atacadas y comprender las diferentes formas en que sus datos más valiosos podrían ser objetivo de los atacantes.

Esta metodología también ayuda a predecir las acciones de los atacantes y las rutas que tomarán, lo que permite identificar las áreas en las que se debe invertir en controles de seguridad adicionales. Además, el “red teaming” destaca cualquier área que las organizaciones puedan estar pasando por alto, como la seguridad física.

Van de Wiele advierte que muchas organizaciones, especialmente en el Reino Unido, no consideran la seguridad física como parte de su estrategia de seguridad cibernética, lo cual es un error. El acceso físico a los sistemas informáticos puede ser invaluable para los atacantes y facilitar su trabajo.

Otro aspecto valioso del “red teaming” es que permite a las organizaciones evaluar si son capaces de detectar las actividades del equipo de hackers éticos, cuánto tiempo les lleva detectarlos y en qué medida los controles de seguridad existentes dificultan que los atacantes logren sus objetivos.

En resumen, antes de invertir en nuevas tecnologías de seguridad, las empresas deben conocer sus riesgos y debilidades cibernéticas reales. Esto les permitirá tomar decisiones informadas sobre dónde invertir en controles de seguridad adicionales y garantizar una protección efectiva contra los ataques cibernéticos.