Cómo la prueba basada en el riesgo está transformando la seguridad en las organizaciones reguladas
Para muchas organizaciones, la prueba de penetración de la seguridad informática sigue un patrón familiar. Un sistema debe someterse a una prueba anual, por lo que alguien presenta una solicitud. Se redacta el escopo, se revisa y se aprueba, se genera una orden de compra y se programa la prueba, se la realiza y se reporta, y cualquier resultado se vuelve a evaluar. Un año después, el ciclo comienza de nuevo para la mayoría de los sistemas.
Cada paso tiene sentido por sí solo. Juntos, crean un proceso lento, que consume recursos y, lo más importante, que no tiene conexión con el riesgo. Los ensayos se realizan cuando la adquisición lo permite, no cuando la garantía aportaría la mayor ventaja, y la profundidad de los ensayos que recibe un sistema suele estar muy poco relacionada con su importancia para la organización.
En Resillion, hemos trabajado con una organización del sector público para cambiar eso. Tenemos un historial comprobado de combinar la experiencia de toda nuestra empresa y una larga tradición de innovación y mejora continua, y este trabajo se basó en ambos. Los resultados muestran lo posible cuando la garantía se diseña en función de los riesgos en lugar de en el calendario de adquisiciones.
Una garantía difícil de defender
Uno de nuestros clientes opera en uno de los entornos más estrictamente regulados del Reino Unido. Sus medidas de seguridad cibernética son evaluadas por el regulador del sector de acuerdo con sus Principios de Evaluación de la Seguridad, que exigen que las organizaciones demuestren que su actividad de aseguramiento es efectiva y proporcional al riesgo.
El modelo de pruebas existente hacía que esto fuera más difícil de lo que debería haber sido. La mayoría de los sistemas requerían pruebas anuales, y cada prueba transcurría a través de ocho pasos separados de revisión y aprobación. El personal del cliente dedicaba una cantidad significativa de tiempo gestionando los compromisos en lugar de gestionar el riesgo. Además, no había ningún vínculo documentado entre la importancia del sistema y la profundidad de las pruebas que recibía, por lo que la proporcionalidad dependía más bien de explicaciones que de pruebas concretas.
No se trata de un problema específico de una organización. Los departamentos del gobierno central que trabajan bajo GovAssure, los operadores de infraestructura nacional crítica según el Reglamento NIS y las organizaciones que se preparan para el proyecto de ley sobre seguridad cibernética y resiliencia del Reino Unido se enfrentan a la misma pregunta: ¿puedes demostrar que tu esfuerzo de aseguramiento coincide con tu riesgo?
Deje que el riesgo determine el alcance
Junto con nuestro cliente, diseñamos un modelo de aseguramiento continuo basado en el riesgo. En su centro se encuentra una herramienta de determinación de alcance que evalúa la importancia y el riesgo de cada sistema y utiliza esa evaluación para determinar el alcance, la profundidad y la frecuencia de las pruebas.
Lo que hizo posible esto fue combinar tres áreas de experiencia de Resillion que rara vez se combinan. Nuestro Equipo de pruebas de seguridad cibernética aportó un profundo conocimiento de cómo los atacantes apuntan a sistemas críticos y de cómo se debe dimensionar y llevar a cabo la prueba. Nuestro Ingeniería de Calidad El equipo aportó su experiencia en pruebas continuas en la entrega de software, donde las pruebas se incorporan a cada cambio en lugar de programarse al final. Y nuestro Gestión de la gobernanza, riesgos y cumplimiento (GRC) Los especialistas aportaron la evaluación de riesgos y la visión normativa necesaria para que todas las decisiones fueran defensables ante los auditores y los reguladores.
Creamos los criterios de evaluación en talleres conjuntos, reuniendo a los interesados del cliente con los tres equipos. Estos criterios se alinearon con los principios regulatorios y con el propio apetito de riesgo del cliente, de modo que cada decisión de escaneo se basara en una base consensuada y transparente. Antes de confiar en la herramienta, realizamos pruebas con una serie de sistemas previamente probados para confirmar que sus resultados eran precisos y aceptados por el cliente.
Luego implementamos el cambio como un programa estructurado de nueve fases en cuatro etapas. Comenzamos entendiendo el estado actual: racionalizando el inventario de activos y analizando años de hallazgos históricos para descubrir dónde se concentraba realmente el riesgo. Luego diseñamos una biblioteca de ámbitos aprobados previamente, para que los ensayos pudieran ser movilizados rápidamente sin tener que repetir las mismas aprobaciones cada vez. Luego implementamos el modelo en las operaciones diarias, integrando la prueba con el Ciclo de vida de DevSecOps de manera que un cambio significativo desencadene automáticamente la garantía y un proceso de apoyo que conduzca hasta la clausura verificada. Finalmente, implementamos métricas y una gobernanza para mantener el cambio, con un enfoque de gestión de cambios continuo, de modo que el nuevo modelo se convirtiera en la forma en que la organización funciona.
Eficiencia sin comprometer la independencia
Una preocupación común al simplificar la garantía es que la eficiencia podría venir en detrimento de la objetividad. Diseñamos el modelo para fortalecer la independencia, no debilitarla. El alcance se fija según los criterios de riesgo acordados, no por los propios evaluadores, por lo que nadie tiene interés en el resultado. Los hallazgos se reportan sin filtrado según una metodología estándar de severidad. En los casos en que apoyamos la corrección, los nuevos ensayos de verificación se realizan por otro consultor, por lo que nunca aprobamos nuestros propios consejos.
Los resultados
Los resultados han sido significativos. Nuestro cliente ahora gasta más que antes. 60% horas menos de tiempo de personal en los compromisos de pruebas. Se han realizado revisiones y pasos de aprobación Se redujo de ocho a dos por compromiso, con la gobernanza intacta y el tiempo promedio entre la solicitud y el inicio de una prueba Se redujo de seis semanas a dos.
Además, ahora se prioriza la realización de pruebas en función de su importancia y en función del momento en que aporten más valor, incluso después de cambios significativos en lugar de solo en un ciclo anual. Además, existe una cadena de seguimiento desde la evaluación de riesgos hasta el alcance, los hallazgos y la remediación verificada, lo que proporciona al cliente pruebas claras de procesos de aseguramiento efectivos para el regulador.
Reducción del tiempo de análisis
Los pasos de aprobación se reducen de 8 a 2 por encargo
El tiempo entre la solicitud y el inicio de una prueba se reduce a 2 semanas.
Por qué esto es importante para el sector público
Para el sector público y las organizaciones reguladas, los beneficios van más allá de la eficiencia.
La primera es que la verificación y la garantía se vuelven mucho más fáciles de demostrar. Cuando cada prueba pueda ser rastreada hasta una evaluación de riesgos documentada, demostrar la proporcionalidad a los auditores y a las autoridades reguladoras se convierte en una cuestión de demostrar los datos, en lugar de reconstruir el razonamiento.
El segundo es que los sistemas críticos reciben la atención que se les merece. El escaneo basado en el riesgo dirige los esfuerzos de prueba hacia los sistemas más relevantes, en lugar de distribuirlos uniformemente por toda la infraestructura.
El tercer factor es que se liberan recursos internos escasos. Los equipos de seguridad y adquisiciones del sector público suelen estar sobrecargados, y reducir el proceso de aprobación de ocho pasos a dos ahorra tiempo a quienes más lo necesitan sin eliminar los controles que son realmente importantes.
Por último, la garantía se adapta a los cambios. Enlazando la prueba con el ciclo de desarrollo, se evalúan los nuevos riesgos cuando se presentan, en lugar de meses después en la siguiente prueba programada.
Comenzar
Las organizaciones que consideren un viaje similar pueden comenzar preguntándose a sí mismas unas pocas preguntas simples. ¿Disponen de una forma acordada y documentada de evaluar la importancia crítica de cada sistema, y pueden rastrear el alcance de cada prueba hasta esa evaluación? ¿Cuántos pasos de aprobación atraviesa una prueba rutinaria, y ¿qué de esos pasos gestionan realmente el riesgo? Y cuando ocurra un cambio significativo, ¿provoca esa situación una garantía de calidad, o se debe esperar al próximo ciclo anual? Si las respuestas son inciertas, se puede recuperar tiempo y valor.
Desde entonces, hemos aplicado este enfoque a otros clientes de Resillion, con mejoras similares en la eficiencia. La garantía efectiva depende tanto de los criterios acordados, la gobernanza y las pruebas documentadas como de las pruebas técnicas. Cuando estas se aplican, las organizaciones pueden probar de manera más inteligente, ahorrar tiempo en la gestión de los proyectos y dar a sus juntas directivas y a los reguladores la confianza necesaria.
Para descubrir cómo un modelo de aseguramiento continuo basado en el riesgo podría funcionar para su organización, póngase en contacto con Equipo de Resillion Cyber Assurance.
