Patrocinado por: Kaseya
Esta es una entrada de blog escrita por International Data Corporation (IDC), líder mundial en inteligencia de mercado, en la que se ofrecen análisis independientes sobre el estado de la ciberresiliencia de los equipos de TI.
La protección de datos siempre ha sido la base de la resiliencia informática. Sin embargo, en una época en la que los ataques de ransomware y de exfiltración de datos son cada vez más frecuentes y sofisticados, las copias de seguridad por sí solas ya no bastan para proteger a las organizaciones.
Hoy en día, las empresas se enfrentan a todo tipo de amenazas contra sus datos. Los ciberdelincuentes cifran los datos y retienen la clave de descifrado hasta que se paga un rescate. Copian datos confidenciales y amenazan con venderlos o hacerlos públicos, lo que genera presión para que se pague, incluso cuando la recuperación es posible. Además de los propios datos, atacan los sistemas de copia de seguridad, las identidades de los usuarios, las aplicaciones y cualquier elemento que pueda provocar una interrupción o hacer que la recuperación resulte más difícil o imposible.
Para hacer frente a las ciberamenazas actuales, la protección de datos debe evolucionar hacia la ciberresiliencia. Los responsables de TI, seguridad y de las empresas deben comprender la diferencia entre ambos conceptos y qué se necesita para salvar esa brecha.
Las limitaciones de la protección de datos tradicional
La protección de datos tradicional se centra en una serie de cuestiones limitadas, pero importantes: ¿Tienes una copia de tus datos? ¿Se están realizando las copias de seguridad en los momentos previstos? ¿Estás cumpliendo tus objetivos de tiempo de recuperación y punto de recuperación (RTO/RPO)?
Para incidentes cotidianos, como borrados accidentales o fallos de hardware, e incluso desastres naturales a gran escala, la protección de datos resulta suficiente. Sin embargo, nunca se diseñó para hacer frente a ataques maliciosos, en los que las credenciales del administrador de las copias de seguridad o los propios datos de las copias de seguridad pueden verse comprometidos. Si se tiene en cuenta que el malware ya se ha copiado en la copia de seguridad y que el punto de restauración más reciente puede haber quedado inutilizable, esto cambia radicalmente la forma en que debe llevarse a cabo la recuperación.
Los tres pilares de la resiliencia cibernética
Pasar de la protección de datos a la ciberresiliencia requiere desarrollar tres capacidades interrelacionadas:
- Detección temprana: Detectar los indicadores de compromiso antes de que un ataque se desate por completo constituye la primera línea de defensa. Esto implica implementar escáneres de malware capaces de detectar ransomware oculto en los archivos de copia de seguridad, combinados con sistemas de detección de anomalías que señalen tasas de cambio de datos inusuales, inicios de sesión inesperados de administradores y patrones de actividad anormales. Detectar una intrusión de forma temprana ayuda a identificar la última copia válida conocida de los datos, antes de que se produjera cualquier corrupción.
- Copias de seguridad limpias. Toda estrategia de ciberresiliencia debe garantizar la supervivencia y la integridad de los datos. Los datos de las copias de seguridad deben almacenarse en un soporte inmutable con acceso restringido para evitar su manipulación o destrucción. Además, dado que el ransomware puede infiltrarse de forma silenciosa en los sistemas de copia de seguridad y permanecer inactivo durante semanas o meses antes de activarse, las estrategias de copia de seguridad deben abarcar múltiples puntos de restauración.
- Recuperación rápida y segura. Cuando llega el momento de la recuperación, restaurar primero el sistema en un entorno aislado de sala limpia, en lugar de hacerlo directamente en el entorno de producción, garantiza que no se produzca una reinfección. A partir de ahí, la coordinación y la automatización de la recuperación acortan el tiempo necesario para la restauración, reducen la dependencia de los procesos manuales y facilitan la validación antes de que los sistemas entren en funcionamiento.
Salvar la brecha
Las capacidades tradicionales de protección de datos, como las copias de seguridad operativas y la recuperación ante desastres (DR), constituyen una base sólida para abordar los tres pilares de la ciberresiliencia. Las organizaciones pueden cubrir esta brecha incorporando capacidades de seguridad adicionales a las que ya cuentan.
La implementación del control de acceso basado en roles (RBAC), la autenticación multifactorial (MFA) y la autenticación multipersona (MPA) en los sistemas de copia de seguridad contribuye en gran medida a prevenir las intrusiones. La integración entre las herramientas de protección de datos y las herramientas de gestión de información y eventos de seguridad (SIEM) y de orquestación, automatización y respuesta de seguridad (SOAR) puede ayudar a las organizaciones a coordinar una respuesta cuando se detecta una actividad sospechosa.
La supervivencia de los datos ya es la función principal de la protección de datos, pero medidas adicionales como el almacenamiento inmutable y las características de seguridad mencionadas anteriormente refuerzan las defensas frente a intentos maliciosos y selectivos de borrar o modificar datos. El enfoque de ciberresiliencia aplicado a la supervivencia de los datos parte de la base de que los ataques son inevitables y de que son necesarios múltiples puntos de restauración, puntos de control para el análisis de malware y capas de defensa para garantizar la supervivencia y la integridad de los datos.
Por último, la recuperación ante desastres (DR) tradicional puede adaptarse para hacer frente a los ciberataques. Los escenarios de DR dan por sentado que los desastres tienen un punto final claro, un radio de impacto definido y que se conoce el último punto válido de recuperación de datos. En un escenario de ciberataque, nada de esto está garantizado. Por lo tanto, el componente de recuperación de la ciberresiliencia se basa en la recuperación ante desastres mediante la implementación de herramientas para identificar los sistemas afectados, analizar tanto los datos en tiempo real como las copias de seguridad en busca de malware y crear entornos de recuperación aislados. Solo tras confirmar que los datos recuperados están libres de malware puede llevarse a cabo la recuperación en el entorno de producción.
La mentalidad de resiliencia cibernética
Las organizaciones mejor preparadas para sobrevivir a un ataque de ransomware comparten una mentalidad común: consideran que los incidentes cibernéticos son inevitables, no excepcionales. Crean sistemas que contemplan la posibilidad de fallos en todas las capas, practican la recuperación antes de que sea necesaria y amplían su protección para abarcar todas las cargas de trabajo, incluidas las aplicaciones SaaS. Por último, entienden que la resiliencia cibernética requiere que los equipos de TI y de seguridad trabajen juntos para organizar una respuesta coordinada frente a los ataques.
La protección de datos sigue siendo esencial para la resiliencia cibernética, pero por sí sola no basta. Para elevarla al nivel de resiliencia cibernética, es necesario añadir la detección temprana, puntos de restauración limpios y verificables, entornos de recuperación aislados y una estrategia de «confianza cero». Esto se ha convertido en el estándar que exige el panorama actual de amenazas.
Mensaje del patrocinador
El cambio de la protección de datos a la ciberresiliencia refleja la realidad de que las organizaciones deben prepararse para ciberataques cada vez más sofisticados y proteger la continuidad del negocio, además de los propios datos. Capacidades como las copias de seguridad inmutables, la detección de amenazas, la automatización de la recuperación y la protección en entornos locales, en la nube y SaaS se han convertido en componentes importantes de una estrategia de TI resiliente. Las soluciones de Kaseya respaldan estos objetivos como parte de un enfoque más amplio de la continuidad del negocio y la ciberresiliencia. Descubre la ciberresiliencia de Kaseya en acción.
