Claves de ciberseguridad según las fuerzas armadas de EU

NUEVA YORK.- El Departamento de Defensa de Estados Unidos ha encontrado que los ataques cibernéticos más exitosos son posibles gracias a errores humanos.

Considere, por ejemplo, la violación reciente a la seguridad del sistema de correo electrónico desclasificado utilizado por los empleados del Estado Mayor Conjunto en el Pentágono, que según se dijo, se logró a través de un correo electrónico tipo “spear-phishing”. En realidad, la mayoría de las organizaciones pone muy poco énfasis en el cambio de comportamiento y demasiado en las salvaguardas técnicas.

Las fuerzas armadas de Estados Unidos están reforzando su seguridad cibernética aplicando los métodos usados por el programa de propulsión nuclear de la Armada, cuyo historial de seguridad no tiene par.

Éstos incluyen un robusto programa de capacitación, presentación de informes e inspecciones, así como varios principios de excelencia operacional.

ENEMIGO INTERNO

Diversas instituciones dedicadas a la seguridad informática han advertido desde hace tiempo que los ciberataques sólo logran tener éxito cuando, ya sea por acción, o por omisión, los trabajadores de una entidad abren la puerta, a veces con conocimiento de causa, a los crackers (expertos que se dedican a delinquir).

Las Fuerzas Armadas de Estados Unidos revelan su método:

INTEGRIDAD. Un ideal profundamente internalizado que lleva a las personas, sin excepción, a eliminar las desviaciones deliberadas del protocolo y a admitir inmediatamente los errores.

PROFUNDIDAD DE CONOCIMIENTO. Así como una concienzuda comprensión de todos los aspectos de un sistema, de tal forma que la gente reconozca más fácilmente cuando algo está mal y maneje cualquier anomalía más eficazmente.

CUMPLIMIENTO DEL PROCEDIMIENTO. Esto conlleva exigir que los empleados conozcan -o que sepan dónde encontrar - los procedimientos operativos adecuados y que los respeten al pie de la letra. También se espera que reconozcan cuando una situación ha opacado los procedimientos escritos existentes y cuando se necesiten procedimientos nuevos.

RESPALDO VIGOROSO. Significa tener dos personas -no sólo una -para que realicen cualquier acción que represente un alto riesgo para el sistema y otorgar poder a cada integrante del equipo para que frene un proceso si hay problemas.

UNA ACTITUD INQUISITIVA. Que puede infundirse capacitando a la gente para que escuche sus alarmas in ternas, busque la causa y después emprenda una acción correctiva inmediata con el fin de evitar que el potencial ataque haga más daño.

FORMALIDAD EN LA COMUNICACIÓN. Lo cual significa comunicarse en la forma recomendada para minimizar la posibilidad de que se instruyan o reciban instrucciones incorrectamente en momentos críticos (por ejemplo, al exigir que los que den instrucciones las pronuncien claramente, y que los receptores las repitan palabra por palabra).

COMPROMISO. Todas las fuerzas armadas de Estados Unidos está adoptando gradualmente estos métodos para impulsar la seguridad cibernética, y los líderes empresariales harían bien en seguir el ejemplo. Las salvaguardas tecnológicas por sí solas no harán que una compañía esté segura.

*DR