Cuando invertimos en ciberseguridad, ¿realmente estamos 100 % seguros?

Considero que esta es una de las preguntas más tramposas dentro de este entorno, ya que existen múltiples ángulos que deben analizarse. Entre ellos destacan: la adquisición de la tecnología, su correcta implementación y, la pregunta clave, ¿lo que adquirí es suficiente?

Desde nuestra experiencia, tanto el equipo técnico como un servidor nos hemos encontrado en innumerables ocasiones con escenarios en los que una empresa ha sido víctima de un ataque. Tras atender la emergencia y estabilizar la situación, durante el análisis forense suele surgir la misma frase:

"Yo había comprado un antivirus”, y aun así, el incidente ocurrió.

Esto normalmente nos lleva a uno de dos escenarios:

1. La solución adquirida no estaba completamente desplegada o correctamente configurada.

2. Por motivos de ahorro, se adquirió una versión muy básica de la solución.

Dicho lo anterior, podemos determinar lo siguiente: no basta con adquirir "la mejor” tecnología si no está correctamente desplegada y configurada. Por otro lado, optar por una solución "accesible” únicamente por reducir costos también deja a la empresa desprotegida. En ambos escenarios, la organización queda en riesgo y, ante un incidente, la operación puede detenerse, impactando directamente en las transacciones económicas y en otros aspectos críticos del negocio.

En todo este proceso existe un jugador silencioso al que muchas veces los dueños de negocio no prestan la debida atención: la asesoría. Si bien es fundamental adquirir una solución acorde al presupuesto y a las necesidades de la empresa, contar con una asesoría adecuada es lo que realmente marca la diferencia, ya que proporciona una dirección clara para realizar tanto la adquisición como la correcta implementación.

Ahora bien, demos un giro de 180 grados. Supongamos que ya contamos con la mejor solución posible, ajustada a nuestro presupuesto y necesidades, y que además fuimos asesorados por una empresa experta en su adquisición e implementación. La pregunta vuelve a surgir:

¿Estoy 100 % seguro?

La respuesta la podemos ilustrar con lo que se conoce como el efecto de la Reina Roja.

La hipótesis de la Reina Roja, propuesta en 1973, plantea que los organismos deben adaptarse y evolucionar constantemente para sobrevivir en un entorno que cambia de manera continua y en el que otros organismos también están evolucionando. En otras palabras, esta hipótesis describe la necesidad de una adaptación constante simplemente para mantener el estado actual.

Dicho en términos más simples: en un entorno donde existe un depredador y una presa, el depredador aprende a cazar a la presa; con el tiempo, la presa desarrolla defensas, y el depredador, a su vez, desarrolla nuevas herramientas para superarlas. Es un ciclo sin fin.

Este mismo principio se aplica a la seguridad. Pensemos en el ejemplo de un robo de automóvil: el auto tiene seguros, el ladrón aprende a abrirlos; el dueño coloca un bastón de seguridad, el ladrón aprende a retirarlo; luego se instala una alarma, y el ladrón aprende a desactivarla. Nuevamente, un ciclo continuo.

Entonces, regresando a la pregunta: ¿estoy 100 % seguro?

La respuesta es un no rotundo. Sin embargo, hay un punto clave que no debemos perder de vista: los atacantes buscan "la fruta madura”, es decir, los objetivos más fáciles. Si un atacante observa dos vehículos, uno con medidas de seguridad y otro sin ellas, elegirá siempre el que represente el menor esfuerzo.

La clave para no quedarnos atrás es hacer las cosas correctamente desde el inicio y nunca dejar de mejorar nuestras defensas.

«Para quedarte donde estás tienes que correr lo más rápido que puedas. Si quieres ir a otro sitio, deberás correr, por lo menos, dos veces más rápido». La Reina Roja en A través del espejo y lo que Alicia encontró allí (Lewis Carroll, 1871).

Alvaro Francisco Sapien Oloarte

Ingeniero en Sistemas Computacionales con trayectoria en infraestructura, redes, seguridad informática y virtualización.
Actualmente Gerente Comercial TI en Estrategia y Tecnología THO.