Patrocinado por: Kaseya

Esta es una entrada de blog escrita por International Data Corporation (IDC), líder mundial en inteligencia de mercado, en la que se ofrecen análisis independientes sobre el estado de la ciberresiliencia de los equipos de TI.

En la era digital, las empresas funcionan a la velocidad de la información —es decir, a la velocidad del cable de fibra óptica, a la velocidad de la luz y a la velocidad de los procesos informáticos—. Los grandes modelos de lenguaje (LLM) y la computación basada en agentes permiten ahora asimilar grandes volúmenes de información y llegar a conclusiones significativas. Esto anima a las empresas a ampliar su presencia digital.

Esta expansión constante plantea problemas. Las empresas tienen que añadir nuevas identidades a las plataformas de gestión de identidades y acceso (IAM); se actualizan los cortafuegos para reflejar las nuevas políticas de acceso y dar cabida a las nuevas aplicaciones; los dispositivos finales descargan el software de protección más reciente y los datos se cifran. Lo que hacen las empresas para proteger sus activos digitales sigue siendo «haz esto y luego haz aquello»: un proceso manual y repetitivo.

Aunque muchos de estos procesos son intuitivos, ¿queda la protección de los activos individuales integrada en el conjunto? ¿Podemos estar seguros de que nuestras medidas de protección crean redundancias? ¿Deberíamos empezar simplemente por la resiliencia y luego ir retrocediendo?

La respuesta a la última pregunta es probablemente «sí». No porque la prevención sea inútil, sino porque partir de la resiliencia impone una disciplina que el enfoque centrado en la prevención suele pasar por alto. Cuando te preguntas «¿Qué pasaría si nos atacaran?» antes de «¿Cómo lo evitamos?», sacas a la luz las brechas de tu arquitectura que, de otro modo, permanecerían ocultas hasta que una intrusión las pusiera de manifiesto.

La anatomía de la resiliencia

Piensa en lo que requiere la resiliencia. Para recuperarte de forma adecuada, necesitas saber con qué cuentas: cada dispositivo, cada identidad, cada aplicación, cada almacén de datos. Y necesitas tener la certeza de que tu recuperación o restauración no se ha visto comprometida. Ese nivel de visibilidad del entorno es precisamente lo que les falta a la mayoría de las organizaciones, y es la misma visibilidad que, de haberla tenido, habría hecho que fuera más difícil sufrir una brecha de seguridad en primer lugar.

Los atacantes ya se han dado cuenta de esto. Los actores maliciosos más sofisticados ahora se centran específicamente en la infraestructura de copias de seguridad, no como algo secundario, sino como objetivo principal. Esto se debe a que, si se consigue cifrar o corromper la copia de seguridad de la víctima antes de activar el ransomware, se elimina su opción de recuperación más importante y se impide la recuperación antes incluso de que comience. Una organización que no haya reflexionado detenidamente sobre su resiliencia no solo es vulnerable al ataque inicial, sino que también corre el riesgo de perder la capacidad de recuperarse de él.

Hay tres elementos que definen una estrategia de resiliencia consolidada:

La resiliencia preventiva consiste en mantener la visibilidad a medida que el entorno crece. La mayoría de las organizaciones implementan nuevas capacidades más rápido de lo que tardan en protegerlas, incluyendo nuevas aplicaciones SaaS, nuevos usuarios y nuevas cargas de trabajo en la nube. Cada uno de esos eventos genera un desfase entre lo que está en funcionamiento y lo que está protegido. Cerrar esa brecha de forma continua, en lugar de hacerlo periódicamente, es en qué consiste la resiliencia preventiva en la práctica.

La resiliencia en la detección consiste en cruzar datos de distintos tipos de señales que, en la mayoría de las arquitecturas de seguridad, se mantienen aisladas. La telemetría de seguridad detecta indicadores activos de compromiso; la telemetría de copias de seguridad y almacenamiento detecta algo diferente y más temprano: el comportamiento de cifrado que precede a la activación de cualquier alerta. Una organización capaz de correlacionar ambos flujos simultáneamente cuenta con una ventaja en materia de detección que las arquitecturas centradas exclusivamente en la seguridad no pueden igualar.

La resiliencia operativa es la propia función de recuperación, definida de forma más rigurosa que la simple «restauración a partir de una copia de seguridad». Implica contar con procedimientos de recuperación documentados y probados, así como la capacidad de aportar pruebas de lo que se ha recuperado y lo que no, ya que las obligaciones normativas y legales así lo exigen actualmente. Las aseguradoras cibernéticas analizan cada vez más la madurez operativa, en lugar de limitarse únicamente a la implementación de herramientas, y disponer de un registro justificable de cómo las organizaciones detectan, responden y se recuperan se ha convertido en un requisito empresarial. Una copia de seguridad que nunca se ha probado no es una capacidad de recuperación, sino una suposición.

Priorizar la recuperación

Los procesos manuales y mecánicos descritos al principio de este artículo no solo son ineficaces, sino que además son frágiles. Lo que los sustituye es una arquitectura en la que las operaciones de TI, las operaciones de seguridad y las funciones de resiliencia comparten una capa de datos común, de modo que cualquier nueva identidad añadida a una plataforma de IAM se tiene en cuenta automáticamente en el estado de seguridad, y cualquier anomalía en las copias de seguridad se comunica automáticamente al sistema de detección de amenazas.

Partir de la resiliencia y trabajar hacia atrás no significa aceptar que las brechas de seguridad sean inevitables. Significa ser honesto respecto al entorno complejo, en constante expansión y objeto de ataques que estás defendiendo, y ser consciente de que los adversarios ya han analizado tus opciones de recuperación. Prioriza la recuperación en el diseño y descubrirás que la arquitectura capaz de una recuperación limpia es también la más difícil de derribar desde el principio.

El giro hacia una seguridad centrada en la resiliencia refleja la realidad de que la prevención por sí sola no puede cubrir todas las brechas que genera una huella digital en constante expansión. Capacidades como la detección unificada de amenazas, la respuesta gestionada y la visibilidad continua de identidades, terminales y entornos SaaS se han convertido en componentes fundamentales de una estrategia de seguridad madura. La cartera de soluciones de seguridad integral e integrada de Kaseya respalda estos objetivos como parte de un enfoque más amplio de detección, respuesta y recuperación. Descubre las soluciones de seguridad informática de Kaseya