Introducción
Anota el académico Dans (2015) en
una columna reciente de su blog: “muchas
veces lo importante es precisamente entender qué es lo que no se sabe, por qué,
y cómo llevar la discusión a ello de una manera que resulte suficientemente
atractiva para los alumnos y para la necesaria motivación del profesor. (…)”,
una frase que pone de manifiesto la postura que todo analista de seguridad de
la información debe tener frente a su maestra la inseguridad de la información.
Muchos analistas, en el ejercicio
de su práctica, saben que deben dar respuestas a las preguntas permanentes de
sus clientes, comprender de primera mano los ataques y estrategias de los
atacantes, y dar cuenta de las medidas que se deben tomar para proteger los
activos de información. Cuando un analista no tiene respuestas entra en una
encrucijada personal y profesional, que afecta su estabilidad psicológica y su
reputación, algo que genera una inestabilidad interna que resquebraja el
balance de esta persona.
En este sentido, un analista de
seguridad de la información o de ciber seguridad deben estar formado frente al
contexto del mundo actual: volátil, incierto, complejo y ambiguo (Johansen, 2009),
allí donde de manera sistemática su maestra la inseguridad le hace ver qué es
lo que no sabe y lo motiva entender que la lucha constante de ataque y defensa
(Mazurczyk y Rzeszutko, 2015), es el ejercicio natural que le corresponde
explorar para reconectar cada vez los puntos del escenario donde actúa.
Así las cosas, un analista de seguridad de la
información, debe desarrollar al menos cinco (5) capacidades claves que le
permitan no solamente entender la realidad y los retos de los ataques y sus
atacantes, sino estar preparado para los movimientos disruptivos que supone el
nuevo ecosistema donde viven y operan las organizaciones modernas y así mismo,
alinear sus reflexiones con tres reglas básicas de la protección personal:
pensar como el atacante, mantener un bajo perfil y siempre tener una ruta de
escape (Wilson, 2012), como fuente de acciones prácticas que revelen sus
capacidades analíticas claves.
Figura
1. Radiografía del analista de seguridad de la información.
Cinco capacidades claves de los analistas de seguridad de la
información (Adaptado de: Axon, Friedman y Jordan, 2015)
1. Comprenden la complejidad
Esto significa que el profesional
de seguridad de la información deberá desarrollar la habilidad de pensar de
forma sistémica, viendo su entorno como sistemas interdependientes, con el fin
de identificar tendencias e indicadores de cambios disruptivos. Para ello es
necesario que su mente tenga la capacidad de abrirse para reconocer
contradicciones, inestabilidades y rarezas para construir escenarios posibles
que verifiquen amenazas que aún no se anticipan en el horizonte.
2. Actúan estratégicamente
Esta capacidad demanda del
analista estar preparado para ajustar sus estrategias vigentes para capturar
oportunidades emergentes o desafíos inesperados. Lo anterior supone, claridad
de la incertidumbre estructural identificada, para actuar de forma efectiva
conectando nuevos puntos a su escenario actual y así, responder y anticipar
movimientos de la inseguridad de la información, que se esconden en sus
manifestaciones asimétricas.
3. Mantienen redes de contactos
El analista de seguridad de la
información en la medida que desarrolla y participa de comunidades abiertas
especializadas en temas de seguridad de la información, así como de aquellas
que le permitan cultivar relaciones no sólo dentro, sino más allá de los
límites de la empresa, lo habilita para potenciar nuevas formas de pensar y
entender su entorno, lo cual aumenta significativamente su espectro de
actuación y sobre manera redes de conocimiento desconocidas y generosas en
propuestas, frecuentemente inusuales, que quiebran sus propios modelos de
pensar.
4. Desarrollan adaptabilidad personal
El cargo de analista de seguridad
exige una alta dosis de resiliencia, esa virtud que le permite a la persona
mantenerse de pie y centrada en su propósito, aun las circunstancias externas
lo golpee y traten de disminuirlo. Esto supone que la persona reconoce que
aquellos enfoques que funcionaron en el pasado, no necesariamente van a ser
operacionales en el presente, es decir, ver la realidad a través de unos ojos renovados
que permitan identificar y aprovechar nuevas oportunidades en medio de las
contradicciones.
5. Cultivan el aprendizaje ágil
El analista de seguridad que dice
que terminó de aprender, será un objetivo sencillo para la inevitabilidad de la
falla. En este sentido, el aprendizaje ágil, como la búsqueda permanente de
quiebres conceptuales y prácticos en su vida diaria es la práctica clave que
cualquier analista debe desarrollar si quiere mantenerse vigente frente a los
cambios inesperados y amenazas emergentes en el contexto actual. Lo anterior,
supone experimentar con aproximaciones y enfoques novedosos, generalmente
usando prototipos rápidos, que le permiten capitalizar con celeridad las
lecciones aprendidas y por aprender.
Estas cinco capacidades
establecen un círculo virtuoso para el analista de seguridad, que le permiten
asegurar un conjunto de habilidades y prácticas para aumentar su capacidad de
análisis y reconocimiento del entorno, con el fin de anticipar la asimetría de
las actuaciones de la inseguridad de la información. Si bien, no podrá acertar
en todos los casos, se mantendrá cerca de las inestabilidades estructurales que
ocurren, buscando aquellas relaciones relevantes para dar cuenta de sus
reportes y propuestas frente al ejercicio de la protección de la información.
Tres declaraciones básicas para los analistas de seguridad de la
información (Adaptado de: Wilson, 2012)
Las siguientes declaraciones,
extraídas del mundo de la seguridad física y la protección personal, nos
permiten articular las habilidades de análisis y capacidad de respuesta de los
analistas de seguridad de la información, en acciones concretas que quiebren la
falsa sensación de seguridad en las organizaciones.
1. Pensar como el atacante.
Esta declaración demanda ponerse
en los zapatos del contrario, entender la lógica de su razonamiento, cultivar
la mirada del que busca puntos débiles, zonas grises, contradicciones
normativas e implementaciones complejas con el fin de articular posibilidades
de acceso y uso no autorizado de sistemas de información, datos sensibles o
afectación de la reputación de una persona natural o jurídica.
2. Mantener bajo perfil.
Esta expresión, leída en clave de
seguridad de la información, implica prudencia y responsabilidad en el
tratamiento de la información empresarial, así como de la personal en redes
sociales o medios masivos. La información lleva la impronta de la organización,
su conocimiento y el esfuerzo de muchas personas la cual, cuando se sobreexpone
en medio del ecosistema donde opera la empresa, genera sensaciones y emociones
que se pueden traducir en actividades de inteligencia e ingeniería social que
terminen afectando y comprometiendo aquello que hace la diferencia y moviliza
el modelo de generación de valor empresarial.
3. Tener una ruta de escape.
Esta declaración supone en el
contexto del mundo real, tener rutas alternas y ubicaciones seguras ante
cualquier situación de excepción. En el mundo de la seguridad de la
información, su lectura sugiere tener sitios de operación remotos, copias de
seguridad externas, procedimientos de acceso y control excepcionales,
mecanismos de destrucción adecuados y dobles autenticaciones que aumenten la
complejidad del acceso ante una pérdida o fuga de la información.
Considerar estas tres
declaraciones como fundamento de las actuaciones prácticas del analista de
seguridad de la información, permite reforzar el ejercicio de la mente del atacante,
como quiera que entendiendo el entorno interconectado donde la organización
opera, es capaz de replicar el razonamiento del contrario, con la finalidad no
solamente de mejorar la resistencia de la organización frente a los ataques,
sino las posibles rutas de acceso conocidas o menos evidentes desde la visual
de un agresor.
Reflexiones finales
Enfrentar la realidad
interconectada de las organizaciones y sus relaciones con el nuevo ecosistema
digital, es comprender que una brecha de seguridad de la información o ciber
ataque, no solo causa pérdidas económicas, sino impactos psicológicos que
afectan imaginarios sociales que cambian el rumbo de las decisiones personales
y colectivas respecto de una realidad concreta (Vaidya, 2015).
En este sentido, los analistas de
seguridad de la información se convierten en custodios de una experiencia
corporativa de protección de la información, que motiven comportamientos asertivos
respecto del tratamiento de la información, los cuales deben estar articulados
desde la lectura virtuosa de las cinco capacidades previamente comentadas.
Comprender la complejidad, actuar
estratégicamente, mantener una red de contactos, desarrollar adaptabilidad
personal y cultivar el aprendizaje ágil, son capacidades claves para acelerar y
definir los escenarios claves que permitan a la organización recomponer su
lectura activa de las amenazas del entorno y desarrollar acciones preventivas
que anticipen acciones no autorizadas que puedan afectar su modelo de
generación de valor.
Así las cosas, si bien no es
posible saber que situaciones inesperadas van a ocurrir, la organización deberá responder
de manera ágil y consistente para dar cuenta del momento de crisis que se
presenta. En este sentido, las tres declaraciones prácticas informan las
condiciones y estrategias que se siguen frente a la huella del posible atacante,
movilizando de manera sencilla y ordenada aquellas vulnerabilidades
identificadas y el cierre de las mismas, la información que se ha comprometido
y sus impactos, así como las rutas alternas que la empresa tiene para mantener
su operación.
Muchas veces se espera que el
analista de seguridad de la información pueda predecir el futuro o averiguar
las intenciones de los posibles atacantes, sin embargo la realidad nos ilustra
que el ejercicio siempre es limitado, que las variables son innumerables y que
la capacidad de análisis no es la esperada frente al potencial de información
disponible. No obstante, el analista sabe que más allá del pronóstico e
indicaciones que debe indicar, es la confianza que debe construir y comunicar
para crear un lenguaje que empareje la incertidumbre del entorno y la
preparación empresarial para comprender y enfrentar la inevitabilidad de la
falla.
Referencias
Dans, E. (2015) Elogio de la
ignorancia. Blog personal. Recuperado de: http://www.enriquedans.com/2015/08/elogio-de-la-ignorancia.html
Mazurczyk, W. y Rzeszutko, E.
(2015) Security – A perpetual war: lesson from nature. IEEE IT Professional. Enero/Febrero.
Vaidya, T. (2015) 2001-2013:
Survey and analysis of major cyberattacks. Recuperado de: http://arxiv.org/abs/1507.06673
Johansen, B. (2009) Leaders Make the Future: Ten New Leadership
Skills for an Uncertain World. San Francisco, USA:Berrett-Koehler
Publishers.
Axon, L., Friedman, E. y Jordan,
K. (2015) Leading now: Critical capabilities for a complex World. Corporate
learning. Harvard Business Publishing. Recuperado de: http://www.harvardbusiness.org/leading-now-critical-capabilities-complex-world
Wilson, O. (2012) International security. Personal protection in an uncertain world. Glenbridge
Publishing.
