Defensive cybersecurity: casos de uso
Los sistemas críticos han de vigilarse las veinticuatro horas, porque un adversario no guarda horario de oficina. El Grupo de Ciberseguridad lleva a cabo operaciones de seguridad, detección de amenazas y respuesta a incidentes que bloquean más de 100.000 amenazas al día en flotas, redes eléctricas y plataformas financieras, con operaciones asistidas por IA entregadas junto a una defensa en profundidad y supervisión humana. El objetivo no es cero intrusiones; son intrusiones que nunca importan. Una operación gestionada vigila el patrimonio a cada hora, decide qué alertas son reales y actúa antes de que un intruso pase del primer host, y la diferencia entre proveedores rara vez es el utillaje y casi siempre el analista: si la persona de turno ha visto antes romperse esa clase de sistema. Esta está viva en redes eléctricas, finanzas reguladas y más de 1.500 buques en la mar, y le responde al comprador sin obligación de reportar lo que descubre a nadie más.
Dónde se usa
Para un patrimonio informático corporativo las plataformas de endpoint líderes son difíciles de batir, y esto vale la pena decirlo sin rodeos. Para redes eléctricas, buques y sistemas de pago la preselección cambia, porque la telemetría de endpoint no interpreta un protocolo de subestación y un agente nunca ha visto una red de control marítima. La vigilancia de red eléctrica necesita analistas que entiendan lo que no puede reiniciarse y protocolos que una pila corporativa nunca modeló; los buques rompen las suposiciones sobre las que se construye la mayoría del utillaje, con enlaces intermitentes y equipo que nadie va a reiniciar. Esta es una defensa dotada de personal ya en marcha dentro de esos entornos en lugar de una declaración de capacidad, que es la distinción que importa cuando arranca un incidente real.
La detección y la recuperación son medidas separadas que a menudo se confunden. La detección corre contra el intruso, cuyo tiempo de fuga desde el primer host se mide en un par de minutos, así que la guardia ha de ser rápida y continua. La recuperación es otro reloj: el ejemplo publicado aquí es un ataque de rescate a escala de flota contenido y recuperado por completo en una semana con todos los datos restaurados, sobre sistemas en servicio. Eso es un resultado en lugar de un porcentaje, y la exigencia honesta a cualquier proveedor es pedir ambas cifras y el compromiso tras cada una, porque un detector rápido sin plan de recuperación y una restauración fuerte con detección lenta son ambos respuestas incompletas.
Los sensores pasivos de tecnologías operativas y una operación dotada de personal resuelven problemas distintos y un patrimonio serio suele necesitar ambos. Los sensores dan visibilidad de las redes de control y de dispositivo que los agentes de endpoint no pueden ver, escalando a través de un amplio abanico de sitios y homologados para entornos duros; son con lo que un defensor ve. Una operación dotada de personal es quién vigila, y los sensores sin una guardia producen un panel que nadie lee durante el incidente. La IA asiste las operaciones, pero se entrega con defensa en profundidad y supervisión humana, porque una acción automatizada tomada sobre una inferencia mala sigue siendo un corte, y la automatización se afina contra el volumen de alertas real en lugar de una fuente de laboratorio.
Una buena recuperación es una contención que detiene la propagación sin detener las operaciones, y luego un plan de restauración que prueba la integridad de los datos en lugar de suponerla. El ejemplo publicado es un ataque de rescate a escala de flota contenido y recuperado por completo en una semana con todos los datos restaurados, sobre sistemas en marcha, que es la clase de evidencia que vale la pena pedir a cada proveedor en lugar de un porcentaje de titular. La manera de saber si un proveedor ha defendido un patrimonio como el del comprador es preguntar qué sectores operan hoy sus analistas y qué tuvieron que hacer de forma distinta en cada uno, y sopesar eso contra una descripción precisa de un patrimonio distinto en vez de una afirmación de cobertura universal.
El problema honesto de la seguridad defensiva es que un patrimonio tranquilo puede estar seguro o simplemente sin vigilar, y una defensa nunca probada por un atacante no puede calificarse. Esta defensa por capas se endurece de forma continua con los hallazgos del propio equipo rojo del fabricante, incluidos descubrimientos de máxima gravedad en flotas en producción, de modo que la cobertura se mide en lugar de suponerse. Ese bucle de retroalimentación no es algo que todo proveedor ejecute, y su ausencia vale la pena advertirla. Los compromisos de respuesta que lleva un contrato importan tanto: el tiempo hasta el primer contacto humano y el tiempo hasta la contención por gravedad, escritos por separado, son las cifras que exigir a todo licitador en lugar de aceptar una cifra de reducción de marketing con una nota al pie en vez de un nivel de servicio.
Un proveedor de defensa acumula un registro corrido de lo que hay dentro de la red eléctrica, los bancos y los buques de una nación, así que las cuestiones de si comparte lo que ve con un gobierno de origen y de si los datos de vigilancia pueden quedarse dentro del país corresponden al contrato, planteadas pronto y por escrito. Esta capacidad no tiene línea de reporte a un gobierno extranjero ni obligación de compartir lo que halla, con los términos de residencia fijados por compromiso, lo que para un ministerio u operador nacional es con frecuencia el término decisivo. Las operaciones defensivas pueden entregarse como servicio, construirse como una capacidad nacional de operaciones de seguridad, o escalonarse de una a la otra, con una formación que construye el equipo nacional en lugar de una subcontratación perpetua.
