Para aquellas organizaciones cuyo SOC esté saturado y no pueda determinar si es eficaz
Un director de Operaciones de seguridad que evalúa la contención, no el número de alertas
Un centro de operaciones de seguridad puede contar con una plantilla completa, estar equipado hasta los topes y resolver miles de incidencias al mes, y aun así pasar por alto la única intrusión que realmente importa. He observado ese patrón en numerosas ocasiones hasta el punto de haberlo descrito: el SOC que está ocupado, pero no es eficaz. Dirigir bien las Operaciones de seguridad implica plantearse una pregunta distinta a "how many alertas hemos handled," y estructurar la operación de tal forma que la respuesta a la verdadera pregunta, "would we see it, and could we stop it," sea afirmativa, con evidencia que lo demuestre.
Lo que yo pondría en marcha, y cómo
El SOC y su personal: contratar por la capacidad de investigar en lugar de por la capacidad de cerrar incidencias, y ofrecer una trayectoria profesional para que los mejores se queden. Ingeniería de detección: cada detección debe tener un responsable, una razón documentada para su existencia, una tasa prevista de falsos positivos y una prueba que demuestre que se activa; las detecciones que no justifiquen su presencia se retiran. Respuesta: manuales de procedimientos que especifiquen quién puede hacer qué sin necesidad de una reunión, ensayados, incluyendo la parte en la que la empresa no está de acuerdo. Telemetría: saber qué podemos ver y, lo que es más importante, qué no podemos ver, de modo que las lagunas sean decisiones y no sorpresas. Y las métricas: tiempo de detección, tiempo hasta la contención, cobertura frente a los ataques que nos afectan y la tasa real de intrusiones que logran colarse, comunicada a los superiores incluso cuando los datos son desalentadores.
Trabajar con un proveedor de servicios gestionados
Muchas organizaciones externalizan parte o la totalidad del SOC. He gestionado tanto modelos independientes como una combinación de ambos. Si cuenta con un MSSP, mi labor consiste en asegurarme de que el contrato contemple lo que realmente importa, de que nuestra telemetría les llegue efectivamente, de que el proceso de escalación funcione a las 2 de la madrugada y no solo durante la revisión del servicio, y de que podamos demostrar que las detecciones del proveedor funcionan en nuestro entorno y no solo en su material de marketing.
La elección adecuada
Esto funciona cuando la organización desea un sistema operativo que pueda demostrar su eficacia y está dispuesta a aceptar que parte de lo que ha adquirido no está dando resultados. No funciona cuando el SOC existe únicamente para generar un documento de cumplimiento normativo, o cuando el director carece de autoridad sobre las herramientas y la telemetría. Le pediría que me mostrara las métricas del último trimestre antes de que hablemos; las que usted decida mostrarme me dirán casi todo lo que necesito saber.
De dónde procede esto
Unos veinte años de experiencia práctica en respuesta a incidentes y Operaciones de seguridad, y treinta años al frente de la seguridad, lo que incluye crear operaciones desde cero y reestructurar aquellas que, en apariencia, funcionaban correctamente. La mayor parte de los detalles están sujetos a un acuerdo de confidencialidad. Lo que puedo compartir aquí, lo hago.
Lo que he escrito al respecto.
Lea esto antes de que hablemos, si lo desea. Se trata de la versión extensa del argumento.
- Investigación: ¿Cómo saber si su SOC es realmente eficaz?
- Investigación: ¿Cómo se sabe si un control de seguridad sigue funcionando tras un cambio?
- Investigación: ¿Qué registros en la nube debe conservar antes de que se produzca un incidente?
- Resumen: ¿Cuándo se puede afirmar con seguridad que el incidente ha concluido?
- Resumen: Se está ejecutando un ransomware. ¿Desenchufa el dispositivo o desconecta el cable de red?
Trabajos relacionados.
Otras formas en las que abordo estos mismos problemas.
- Contráteme como director de ciberseguridad que desarrolle la operación, no la presentación sobre la misma. Liderazgo a nivel directivo para operaciones de seguridad, ingeniería o programas, por parte de alguien que haya realizado el trabajo que lleva a cabo el equipo.
- Contráteme a mí como CISO, ya que he dirigido la respuesta, no solo he informado sobre ella: un responsable de seguridad que haya gestionado incidentes de seguridad, haya creado operaciones y haya realizado sesiones informativas para los consejos de administración. A continuación, le expongo lo que aportaría al puesto y en qué aspectos no encajaría.
- Un asesor para el directivo que debe tomar la decisión, no para el equipo que debe llevarla a caboJuicio independiente para la persona que firma: qué preguntar, en qué creer, qué decidir y qué comunicar al consejo de administración.
- Para los reclutadores y las empresas de selección de personal: para qué soy adecuado y para qué no lo soy. Una respuesta clara para las empresas de selección: puestos, compatibilidad, incompatibilidad y cómo obtener de mí un «sí» o un «no» rápido.
Analice un puesto directivo.
Háblenme del puesto, de la organización y de los objetivos que debe alcanzar durante el primer año. Le diré rápidamente si es una opción adecuada.
Gran parte de lo que he hecho no puede describirse en público, y he mantenido una relación muy estrecha con los acuerdos de confidencialidad durante la mayor parte de mi vida adulta. Lo que puedo decir aquí, lo digo; del resto hablamos en confianza.
- Los CISO que necesitan un director que se encargue de la detección y la respuesta y que informe al respecto con honestidad.
- Organizaciones con un MSSP que no saben si el contrato está funcionando.
- Responsables de selección de personal con el mandato de buscar un jefe de SOC o un director de operaciones.