Episodio 18: Vulnerabilidad de la red y Pen Testing

Lauren Lev
Bienvenidos de nuevo a “¿Quién está en tu nube?”, la serie de videoblogs de TechOnPurpose donde exploramos los 21 pasos hacia una tecnología segura, confiable y de confianza. Soy Lauren Lev, gerente de marketing de TechOnPurpose, pero cada vez más conocida por mi papel como anfitriona de esta serie de videoblogs y en camino a mi nominación al Emmy, si lo digo yo misma. Si nos acompañas por primera vez, nos alegra tenerte de vuelta, pero ¿qué has estado haciendo? Tienes que ir a ver nuestros otros episodios, y te lo hemos hecho increíblemente fácil. Puedes verlos en LinkedIn, Facebook, YouTube o Spotify. Y somos tan generosos que te los enviaremos directamente a tu bandeja de entrada si te suscribes en TechOnPurpose.net/blog. Lo más importante que puedes hacer por tu empresa en este momento es registrarte para nuestra evaluación gratuita de riesgos de ciberseguridad en WhosInYour.Cloud. Muy bien, ya nos quitamos los avisos parroquiales de encima. El episodio de hoy trata sobre la vulnerabilidad de la red y las pruebas de penetración, que implican explorar vulnerabilidades y simular ataques en tus redes, ¿pero por qué? Esta herramienta ayuda a identificar rápidamente tus puntos débiles, brindándole a tu equipo de TI, como nosotros aquí en TechOnPurpose, la oportunidad de fortalecer tu ciberseguridad y mitigar riesgos cibernéticos costosos y destructivos. El resto está fuera de mi alcance, así que vamos a presentar a estas personas que podrán ayudarnos un poco más. Primero tenemos al favorito de los fans, Ivan Paynter, quien ahora es el director de tecnología de RCS Secure. Después de un descanso muy largo, estamos muy felices de tenerte de vuelta.

Ivan Paynter
Saben, es raro. Nunca había hecho un turno de trabajo a mitad de un podcast, territorio totalmente nuevo. Vaya, es genial estar de vuelta, de verdad. Casi tuve que rogar para volver tipo: “¡Invítenme de nuevo al vlog, por favor!”.”

Lauren Lev
Bueno, ¿qué estás haciendo en RCS Secure ahora?

Ivan Paynter
Casi nada. Ay, Dios mío, sabes, es toda una experiencia de aprendizaje. Antes podía decir, oh, Ciberseguridad Nacional bla, bla, bla, y certificar esto, y soy un hacker, y ahora es como, rayos, eso no es seguridad. No sé cómo hacer eso. No, no, señor director de tecnología, eso ya no es una excusa. Supérelo. Pequeño chico de seguridad, has pasado a otro nivel. Así que estoy expuesto a todo tipo de cosas. Y tengo un equipo maravilloso. Los muchachos saben que no los dejé atrás, pero el equipo que dejé probablemente fue uno de los mejores equipos para los que he trabajado. El equipo con el que estoy ahora, ay, Dios mío, simplemente de otro nivel. Y me permiten hacer preguntas, y luego hacer la misma pregunta tres veces más. Pero sabes, realmente estoy empezando a consolidar mis bases y estamos haciendo cosas fenomenales. Y no nos quedamos quietos, es una de las cosas que me encantan. No estamos esperando a que las cosas sucedan, hacemos que sucedan.

Lauren Lev
Muy bien, nuestros próximos dos miembros del elenco son nuevos en el vlog. Tenemos a la Gerente de Cuentas de Socios de Cobalt, Laura Green. Laura, cuéntanos un poco más sobre lo que haces en Cobalt.

Laura Green
Claro, sí. Muchas gracias a todos por invitarme. Soy el gerente de cuentas de socios en Cobalt. Así que trabajo con todo tipo de empresas de seguridad que son nuestras socias. En Cobalt, nos enfocamos específicamente en pruebas de penetración como servicio. Así que me aseguro de que todos nuestros socios puedan ofrecer pruebas de penetración rápidas, transparentes y sencillas a sus clientes.

Lauren Lev
Nuestro otro recién llegado es de Netrix, el Director de Ingeniería de Ventas, Matt Wilson, para no confundirlo con Matt Tankersley. Matt Wilson, cuéntanos qué haces y danos un poco más de tus antecedentes.

Matt Wilson
Claro, sí. Lo de “Matt” nos va a descontrolar un poco hoy seguro, pero lo manejaremos. Crecí toda mi vida siendo llamado simplemente Wilson. Pero mire, ese es también un nombre muy común, tanto el de pila como el apellido. Así que resolveremos esto, lo haremos posible. Sí, he pasado la totalidad de mi carrera de casi 20 años en seguridad de la información. Me gusta decir que lo he estado haciendo desde antes de que fuera cool. Los últimos años todos escuchan y ven grandes cifras de dinero, y hey, hago seguridad. Puedo decir que soy un nerd de carrera y llevo esa insignia con orgullo. Sí, apoyo a nuestros clientes y a nuestros equipos de ventas para ayudar a alinear realmente lo que podemos hacer con lo que necesitan. Y crecí haciendo pruebas de penetración y evaluaciones de seguridad, trabajo enfocado en dispositivos, y dirigí un equipo durante mucho tiempo. Tuve el beneficio de gestionar un par de cosas diferentes, usando muchísimas cachuchas. Y todavía sigo haciendo todo eso divertido hoy. Casi tengo como TDA para InfoSec, pero eso es como algo propio, ¿verdad? Como en InfoSec, nunca terminas. Así que realmente nunca puedes saber nada, siento. Siento que si digo que sé el contenido de un dedal, probablemente sea demasiado. Pero por ósmosis y simplemente por puro tiempo en el área, tal vez sepa una que otra cosa, tal vez solo tal vez.

Lauren Lev
Tenemos al viejo Matt, Matt Tankersley, fundador y director ejecutivo de TechOnPurpose y ciberevangelista.

Matt Tankersley
El viejo Matt, me parece bien. Escucha, gracias, Lauren. Y como siempre, bienvenidos a nuestro fabuloso, audaz e ingenioso elenco de ciberespertos. Qué bueno tenerlos de vuelta. Escucha, evaluación de vulnerabilidades y pruebas de penetración. Primero, déjenme decir que esto no es una sola cosa: la evaluación de vulnerabilidades es un tema complejo y exhaustivo, y las pruebas de penetración son solo una parte de esa ecuación. ¿Correcto? Así que, con suerte, vamos a aprender un poco más sobre esas diferencias. Cuando realmente vemos, como dueños de negocios y evangelistas de la ciberseguridad y personal de TI y ciberseguridad, y realmente queremos descubrir los ciberriesgos para nuestra empresa, nuestros usuarios, nuestros sistemas y datos, tenemos que adoptar una perspectiva mucho más holística que la de las simples pruebas de penetración, que por cierto no son para todo el mundo. Entonces, ¿cuál es la diferencia y el papel de estos dos términos, a menudo malinterpretados y tergiversados? ¿Y qué tiene que ver la seguridad física con el ciberriesgo? ¿Y cuál es la diferencia entre las evaluaciones externas e internas? Bueno, afortunadamente, tenemos aquí a un fabuloso elenco de ciberespertos para arrojar algo de luz sobre estos y otros temas relacionados que nuestros espectadores o oyentes deben considerar seriamente si quieren alcanzar los más altos niveles de tecnología segura, confiable y de confianza. Así que Lauren, vamos a cederle la palabra a Iván primero. Iván, ¿por qué es importante este tema? ¿Por qué debería importarnos? ¿Y tienes alguna estadística o historia para compartir con nuestros invitados, nuestro elenco, nuestra audiencia? Háblanos de ello.

Ivan Paynter
No, no, Matt, ni una sola historia. No tengo nada que contarte. O sea, ¿acaso no me conoces? Bueno, en primer lugar, Wilson, me encanta que hayas mencionado que llevas 20 años en esto y sigues aprendiendo. Cuando lleves 30 años, entonces háblame. Yo también sigo aprendiendo. Y eso es lo que me encanta de lo que dijiste y lo que detesto de lo que decía el Matt de antes. Porque en mi mundo, Matt, y creo que en el de Wilson también, no hay expertos; estamos aprendiendo constantemente. Y esa es una de las razones por las que hacemos pruebas de penetración, porque estamos aprendiendo constantemente. Los malos tienen la oportunidad de hacer cosas y estar en lugares de los que ni siquiera sabemos. O sea, solo piensa en el espacio libre de tu disco duro. Ni siquiera puedes verlo, pero podemos estar ahí. Así que, como ya saben, me gusta ver las cosas desde una perspectiva diferente, tal vez el lado más oscuro de las cosas. Quizás ese sombrero cambie de ser una especie de sombrero blanco a ese lado un poco más oscuro que tengo; está detrás de la puerta en este momento. Pero al final del día, ya saben, la razón por la que hacemos pruebas de penetración es simplemente porque queremos poder identificar dónde nos encontramos en este momento. En primer lugar, dónde están nuestras vulnerabilidades, ¿de acuerdo?, y en qué aspectos podríamos mejorar mucho más. Y además, al final identificarás lo que estás haciendo muy bien, ¿verdad?, porque no siempre es algo negativo. Pero en lo que realmente tenemos que pensar, y acabamos de hablar de lo interno, lo externo y lo físico... Mira, todavía hay muchos de nosotros en casa. Tengo la mejor oficina del mundo. Es decir, ¿cuántas personas más tienen 10 monitores en una sola pared y, además, dos monitores de 58″?, ¿no? Pero yo puedo hacerlo, porque he estado aquí sentado durante dos años y medio sin nada más que hacer, ¿verdad? Excepto jugar con Amazon y ahora siento que sé algo. Al final del día, tenemos que fijarnos en el usuario doméstico. Tenemos que fijarnos en la nube, tenemos que fijarnos en la seguridad física, tenemos que fijarnos en las instalaciones locales y en todo lo demás que hay en medio. Tenemos muchas facetas, todos están en todas partes. Los datos están en todas partes, ¿verdad? Así que ahora realmente tienes que entender a qué puedes acceder. Bueno, si quieres ocuparte de la seguridad física, hagamos que el tipo vestido como un repartidor de UPS entre por la puerta principal y se dirija a la secretaria o a quien esté en la recepción, y prestemos atención a que no haya un camión detrás de él. ¡Oye, buen punto!, porque así es como se identifica eso. Asegurémonos de que esos usuarios cuenten con la capacitación adecuada sobre identificación; eso es muy importante. Tanto internos como externos; es decir, los que vienen de afuera hacia adentro, veamos qué podemos resolver por aquí, ¿no? O sea, con credenciales o sin ellas, es lo mismo. ¿Que si tengo anécdotas? Sí, ¿por dónde quieres empezar? Quiero decir, solo es cuestión de entender tu entorno y, de verdad, hasta dónde se extiende tu entorno, porque ahora está en todas partes. Está en McDonald’s, o, Dios no lo quiera, en McDonald’s, lo siento, no hay nada de malo en eso. Pero está en cada cafetería que tiene conexión a Internet, está en todas partes. Tu entorno ahora se ha trasladado al Tesla que está estacionado a tu lado en el semáforo porque ese auto está transmitiendo una señal de Internet. De hecho, si sabes cómo hackearlo, puedes entrar en él, ¿no? Así que tu información, la información de tus clientes, está en todas partes. Y debemos asegurarnos de saber cómo protegerla y dónde están las vulnerabilidades. Y es por eso que las pruebas de penetración son la base para comprender realmente dónde nos encontramos actualmente y hacia dónde debemos avanzar.

Matt Tankersley
Sí, me emociona ver qué sigue. Este es un tema profundo al que aludiste antes de empezar a grabar. Podríamos hablar durante seis horas y ni siquiera rasguñaríamos la superficie. Así que, ya sabes, como todo el mundo sabe, pero tenemos algunos recién llegados. ¿Verdad? Estamos intentando dar una visión general y concisa de temas muy profundos, para lo cual hemos dividido esta conversación en 21 partes y piezas. Si lo piensas, simplemente sigue nuestra metodología y marco de cómo ayudamos a las personas a lograr tecnología segura, confiable y de confianza. Así que excelente comienzo, Iván. Lauren, ¿adónde quieres ir desde aquí?

Lauren Lev
Laura, ¿cuál es tu opinión sobre la vulnerabilidad de la red y las pruebas de penetración?

Laura Green
Claro, quiero decir, definitivamente me voy a enfocar en la parte de las pruebas de penetración. Toda evaluación de vulnerabilidades, combinada con las pruebas de penetración, formará el programa de seguridad más sólido, pero mi especialidad son las pruebas de penetración. Y como mencionó Matt, no es para todos. Por eso, muchas veces, cuando las empresas nos sometemos a una prueba de penetración, es por un requisito de cumplimiento establecido por el gobierno. Así que no solo es importante, sino que es obligatorio. Dicho esto, creo que el verdadero objetivo, el valor, o como quieras llamarlo, de las pruebas de penetración es asegurarnos de que nuestros empleados, clientes o socios estén seguros. Y que puedan confiar en los productos y tecnologías que ofrecemos. Así que, en las pruebas de penetración, la forma en que contribuimos a ese esfuerzo es ayudando a identificar y comprender los aspectos de su negocio que podrían ser vulnerables a un ataque. Y la principal diferencia entre la evaluación de vulnerabilidades y la prueba de penetración radica en los elementos ejecutados por personas. Por lo tanto, una prueba de penetración es una evaluación manual realizada por personas. Y puedo profundizar más en cómo definimos las pruebas de penetración, es decir, lo que implican. Porque cada red o aplicación es única. Por eso debemos asegurarnos de definir bien el alcance de las pruebas de penetración y comprender realmente los activos que hay en sus entornos. Así sabemos a qué evaluadores de penetración recurrir para formar un equipo que cuente con la experiencia necesaria para su red, y qué metodologías vamos a utilizar. Realmente nos esforzamos por asignar a cada cliente los evaluadores de penetración adecuados para llevar a cabo ese trabajo. Y creo que Iván incluso aludió un poco a esto, como la diferencia entre un hacker y un evaluador de penetración: un hacker tiene mucho más tiempo para entrar en su entorno. Es posible que ni siquiera te des cuenta. En cambio, un evaluador de penetración cuenta con un plazo limitado para analizar tu red, así que queremos asegurarnos de contar con las personas adecuadas que puedan hacerlo rápidamente y de la mejor manera. Así que, después de la prueba de penetración, por lo general recibes un informe. Y ese informe se puede usar para, ya sabes, satisfacer las solicitudes de los clientes, cumplir con los requisitos de cumplimiento normativo, o lo que sea que se necesite. En cuanto a experiencias, no soy el que tiene más experiencia en esta llamada. Pero en Cobalt, sí tenemos un informe sobre el estado de las pruebas de penetración que publicamos cada año. Acabamos de publicar nuestro informe sobre el estado de las pruebas de penetración de 2022. Se trata de una recopilación de datos basada en 2000 pruebas de penetración que hemos realizado y en entrevistas con profesionales de seguridad y desarrollo, unas 600 personas. Y, de hecho, en el informe descubrimos que las vulnerabilidades que se detectan son las mismas cinco principales de los últimos cinco años. Así que se trata en gran parte de los mismos problemas recurrentes, lo cual me parece interesante. Por ejemplo, ¿por qué está pasando esto? ¿Por qué no cambia la situación? ¿Y por qué no mejora? Podemos profundizar más en ese tema juntos durante esta llamada. Una de las conclusiones a las que llegamos tiene que ver, en realidad, con los recursos y la mano de obra. Pero sí, esa es más o menos mi opinión sobre las pruebas de penetración, por qué son importantes, y podemos entrar más en detalles.

Matt Tankersley
Mi parte favorita de todo eso fue que dijiste “amigos”, ¿no?, lo cual nos indica, ya sabes, muy rápidamente que ella no está sentada en la Costa Este, ¿verdad? Probablemente no esté sentada en la Costa Oeste. Está en algún lugar del hermoso Medio Oeste, o en el Sur en algún lado. He estado aprendiendo sobre Cobalt recientemente, y estoy emocionado por aprender en nuestro próximo segmento un poco más sobre cómo ustedes salen al mercado y abordan eso. Estoy muy intrigado por sus cinco principales y tal vez tengamos la oportunidad de entender cuáles son esos cinco principales. Solo díganos a dónde tenemos que ir a descargarlo, para que podamos dirigir a más gente hacia allá. Así que, Lauren, supongo que quieres pasar con el Sr. Wilson.

Matt Wilson
Lo que yo agregaría es que las pruebas de penetración son una herramienta. Son solo una herramienta. Es como preguntarse: ¿es mejor un martillo que un destornillador? Bueno, no. ¿Qué estamos tratando de hacer? ¿Qué estamos tratando de construir? ¿Cuál es nuestro objetivo? ¿Cuál es nuestro resultado? Es una perspectiva del riesgo, ¿no? Si tomamos el proverbial pastel y lo dividimos en rebanadas —el pastel del riesgo—, las pruebas de penetración son una perspectiva. Hay otras perspectivas. Antes mencionaste la seguridad física; esa es una perspectiva. Podemos hablar de seguridad de aplicaciones, podemos hablar, ya sabes, de la capa dos, la seguridad de redes, ¿verdad? Hay, hay tantos temas, como mencioné en mi introducción. Pero ya sabes, para nosotros las pruebas de penetración son donde emulamos a un atacante y, Laura, tú mencionaste, ya sabes, que se puede usar esa distinción entre automatizado y manual. Claro, yo también estoy de acuerdo con algo de eso. Pero para nosotros, ya sabes, se trata de modelar la amenaza. Y ya sea externa, interna, inalámbrica, física o en aplicaciones móviles, para nosotros, por lo general se trata de por dónde empezamos. Esa es, ya sabes, esa es la distinción. Externa: está bien, probablemente soy una persona al azar en Internet. Si es interno, de alguna manera estoy partiendo desde dentro de tu entorno o de una especie de “dentro”. Así que, para nosotros, no nos obsesionamos tanto con delimitar esas cosas. Y eso realmente no es relevante para esta conversación. Pero, ya sabes, cuando modelamos un ataque, es importante saber que tú no eres el atacante. Los atacantes no tienen moral, no tienen ética, no les importa el tiempo de actividad de tu sistema de producción. Así que, ya sabes, a veces se pone muy interesante tener conversaciones con clientes que dicen: «No quiero que toquen ese sistema de allá». Mira, haremos lo que quieras, tú estás pagando. Sin embargo, los malhechores no van a tomar eso en cuenta, ¿verdad? Bueno, no tengo a nadie trabajando durante la noche, ¿y qué pasa si algo falla? Excelente pregunta de negocios. Tal vez deberíamos analizar eso, ¿no? Y no es que tengamos un historial de dejar cosas fuera de línea ni nada por el estilo. Pero ten en cuenta que, cuando simulamos un ataque, nos conviene a todos hacerlo lo más realista posible, aunque sepamos que no es realista, ¿verdad? Simplemente no puede serlo, debido a todos los otros factores que mencioné. Y en cuanto a anécdotas, ya sabes, no sé. ¿Menciono aquella vez en que un pasante se trepó por una placa del techo, la de cuando el globo de la fiesta «$2» nos permitió entrar a las instalaciones de uno de nuestros clientes del sector hotelero, o la vez que tuve que hacer de policía bueno —de hecho, un día fui el policía bueno y al siguiente el malo— en una institución educativa donde, ya sabes, fuimos a ver a un estudiante que se hacía pasar por auditor para distraer la atención y hacer que pareciera que debíamos estar ahí? Hay muchas de esas, pero me gustaron mucho algunas de las estadísticas que escuché y, Laura, ya sabes, tú agregaste algo, esos datos que encontraste dentro de tu organización. Hay muchos datos; el DVIR de Verizon es como el estándar de la industria. Es una de las fuentes de referencia a las que recurro y que recomiendo a la gente. No tengo ninguna afiliación, nada por el estilo. Simplemente lo he estado leyendo desde hace unos 15 años. Pero ya sabes, eso es lo que respaldan muchas de las investigaciones: los fundamentos básicos, lo esencial de la seguridad de la información, la aplicación de parches y el refuerzo de la seguridad. Ya sabes, también hay que hacer todas esas cosas sofisticadas, pero hay que cubrir lo básico. Si no lo estás haciendo, ¿qué estás haciendo? En realidad estás desperdiciando el tiempo y los recursos de tu organización en cosas que tendrán menos impacto en el resultado deseado, ¿verdad?, que es una postura sólida de ciberseguridad. Así que sin duda estoy de acuerdo con Lara; voy a tomar nota de lo que decías, Lara: la gente debe prestar atención a por dónde se cuelan los malhechores y cómo lo hacen. Y, por lo general, se trata de cosas bastante sencillas. Podemos complicarnos la vida, pero mejor hagamos lo básico.

Matt Tankersley
Chicos, me gustaría saber más sobre lo que cada una de sus empresas está haciendo específicamente. Y abordamos algunos temas generales y cosas para asegurar que nuestra audiencia sepa que ustedes están ahí, qué hacen específicamente y, por supuesto, los animamos a comunicarse con TechOnPurpose para involucrarse en algunas de estas iniciativas. Queremos que la gente sepa quiénes son. Ahora, recuerdo, Matt, de nuestra conversación previa a la grabación de hoy, que hablamos sobre el momento adecuado para estas pruebas. Y he notado que esa ha sido una pregunta muy interesante al reunirnos con personas que saben que, por razones de cumplimiento u otros motivos, quieren hacer estas pruebas. Y con algunas personas pensé, ya sabes, necesitamos hacerlo ahora. Y me encanta lo que dijo Ivan, ¿cómo sabes a dónde vas si no sabes dónde estás? Esa es una de las cosas maravillosas que me encantan de las pruebas de integración. Y una de las cosas que vemos a menudo es: sabemos que tenemos estas brechas, ya nos han ayudado a identificar brechas; en lugar de invertir ahora en esas pruebas de penetración, tomemos todas estas medidas proactivas para implementar seguridad adicional y luego hagamos nuestras pruebas. Exacto. Y creo que, ya saben, el veredicto está pendiente, nadie tiene la última palabra, todos van a tener una opinión al respecto. Creo que hay valor en ambas opciones. Así que podría ser interesante escuchar la opinión de cada uno de ustedes sobre el momento adecuado para esto también, a medida que avancemos en el resto de nuestra sesión.

Matt Wilson
Sí, creo que, ya sabes, los requisitos y los impulsores de Matt, ahí es donde se empieza con el cliente. Si tienen uno de sus clientes que les exige que se realice una prueba de penetración para fines de este verano, bueno, entonces supongo que haremos una prueba de penetración a muy corto plazo. Pero lo comparo con una actividad de culminación. Claro, ¿podrías empezar con una prueba de penetración? De acuerdo, podrías hacerlo, pero un buen consultor, en mi humilde opinión, va a asesorar al cliente y lo guiará en algunas de esas cosas proactivas, esas cuestiones básicas y fundamentales, y ayudará tal vez no a asegurar que todas estén implementadas, pero sí a garantizar que el cliente esté consciente de lo que podría haber estado haciendo y debería estar haciendo. Si llegamos y te, te falta, ya sabes... me voy a delatar con esto. MSO, 8067. Cierto, Ivan, tú probablemente te acuerdes de esos días. En el mundo médico, si todavía les falta ese servicio de Windows Server, ¿verdad? Eso es lo que implicaba esa vulnerabilidad, y luego escalaron y se aprovecharon de ello. Si todavía les falta eso, la prueba de penetración termina bastante rápido, si está en un sistema crítico ahí. Así que, volviendo a la pregunta sobre el tiempo, el cliente pone las reglas, nosotros las seguiremos, está bien. Nos alinearemos con lo que el cliente quiera, pero no estoy haciendo bien mi trabajo si no les ayudo a entender cómo pueden sacarle más provecho a su inversión. Ya sabes, exprimirnos más, tal vez mediante algo de consultoría primero o a través de otra cosa, ya sabes, cuando hablamos de una herramienta y de cómo una prueba de penetración es una herramienta, una, una perspectiva de tu riesgo. Hay otras perspectivas que pueden ser más beneficiosas. Pero en última instancia, si el cliente, el auditor o un miembro de la junta reguladora dice "háganlo", entonces hay que hacerlo.

Ivan Paynter
Así que quiero hacerme eco de eso hasta cierto punto. Y tal vez empecemos a cambiar de rumbo aquí, porque una de las cosas en las que realmente creo... Bueno, antes que nada, ahora soy el director técnico (CTO) de RCS Secure, ¿no? Un título genial. Siempre he querido tener ese título. Aquí arriba es diferente. Pero en realidad no es tan diferente, ¿verdad? Creo que, al final del día, ante todo, tenemos que entender realmente qué estamos haciendo y cómo lo estamos haciendo. Así que en RCS tenemos tres niveles diferentes que podemos analizar. Tenemos uno básico, ya sabes; tenemos uno avanzado; y luego tenemos uno de “mira, amigo, tengo a un tipo de la NSA; va a venir y se va a hacer cargo de tu red”. Todo depende de hasta dónde quieras llegar. Tankersley, ya me has oído usar esta expresión antes: es como caminar por el bosque con tu mejor amigo. Te persigue un oso y lo único que tienes es una pistola de aire comprimido. ¿Sabes qué vas a hacer? Le voy a disparar en la pierna. Porque solo tengo que ser un poco más rápido que él. Hoy no me van a devorar el trasero. Bueno, al final del día, han abordado muchos temas y quiero abordar algunos de ellos. El CMMC fue uno de los factores que realmente nos facilitó mucho el cumplimiento normativo, ¿verdad? Estábamos ahí fuera, a la deriva, con las normas 800171 y todo el ámbito de las redes, y eso es en lo que se basa todo el RCS. Se basa en esto en la mayoría de nuestras normas y hemos ayudado a mucha gente a superar el CMMC 1.0. Ahora que tenemos la versión 2.0, bueno, ya resolveremos eso cuando salga la 3.0. Pero en resumen, realmente quiero compartir con todos dos cosas diferentes. En primer lugar, cuando hables con un proveedor, ese proveedor debería poder decirte de inmediato qué estás haciendo bien y qué estás haciendo mal. Esa prueba de penetración inicial será esa primera llamada telefónica, porque yo voy a hacer suficientes preguntas —o uno de mis ingenieros las hará— para decirte de inmediato qué está bien, qué está mal o qué es un desastre. Tu ’bebé» es adorable a tus ojos, pero déjame decirte que el resto del mundo piensa que es feo como el demonio porque te falta ABC 123. Cómo entro: tengo medio millón de formas de hacerlo. Mi favorita es un dron que le voy a dar a tu ejecutivo; él lo va a hacer volar por ahí y va a querer descargar algo y conectarlo, y listo. Ya estoy en tu red y nunca te darás cuenta de que entré. Una prueba de penetración es un momento específico. Y una de las cosas que dijo Laura y de las que realmente debemos estar conscientes es que hay que mantener tu empresa segura todo el tiempo. Una prueba de penetración no va a lograr eso. Lo único que lo va a lograr son los servicios gestionados, eso es todo, punto. La única forma de garantizar la seguridad todo el tiempo es tener a alguien vigilando constantemente, porque la red nunca se mantiene igual. El día que quitas algo, o el día que conectas una memoria USB que encontraste en el estacionamiento, tu red cambia. Conecta una computadora portátil nueva y tu red cambia. Tu prueba de penetración ahora queda sin efecto. Sí, el 90% sigue ahí, pero ese único cambio que hiciste ahora es responsabilidad tuya, no de la empresa. Se acabó, ¿verdad? Entonces, ¿qué vas a hacer ahora? Tienes que contar con eso. Las pruebas de penetración son una excelente base, al igual que una evaluación. Para mí, una evaluación abarca la documentación, los procedimientos previos, los planes de continuidad de negocios y recuperación ante desastres (BCDR), todo eso en uno. Estamos usando muchas siglas y yo nunca solía hacerlo antes.

Matt Wilson
Necesitas poner como un glosario de apéndice aquí para usar.

Ivan Paynter
Así que CMMC es Cybersecurity Maturity Model Certification (Certificación del Modelo de Madurez de Ciberseguridad), el Instituto Nacional de Estándares y Tecnología. ¿Qué más mencioné? BCDR: Continuidad del Negocio y Recuperación ante Desastres (Business Continuity and Disaster Recovery). Creo que esa es la base. Mire, al fin y al cabo, todos tienen que hacer una prueba de penetración al menos una vez al año, si no dos, es obligatorio. Su cliente debería estar exigiéndola, el gobierno la está exigiendo. Y si no es lo suficientemente inteligente como para hacerla, se lo está perdiendo. ¿Verdad? Will McGowan, fundador y director ejecutivo de MCI, dijo: “Si no se puede medir, se pasa por alto”. Pasé 20 años en Verizon, conozco su manual. Al final del día, realmente hay que involucrarse y saber dónde está su red y luego qué es lo que está probando.

Matt Tankersley
Bien. Bueno, me emociona escuchar a Lauren, lo que Laura tiene aún que agregar a la conversación. Y sé que en mi etapa inicial de aprendizaje sobre Cobalt, su empresa tiene un interesante programa estructurado que aborda todos estos problemas. Hemos estado hablando del momento oportuno, ¿verdad?, que no es solo algo de una sola vez, sino de múltiples veces y una suscripción continua a las pruebas de penetración. ¿Lo estoy haciendo bien, Laura?

Laura Green
Sí, ya tienes dominado el discurso. Estoy de acuerdo con lo que dijeron Matt e Ivan sobre la forma en que se aborda las pruebas de penetración. Como mencionó Matt, por lo general hay un motivo antes de hacer una prueba de penetración, o alguien te dice que necesitas hacer una prueba de penetración. Y por lo general se hace anualmente. Incluso, en relación con el punto de Matt, me encanta trabajar con socios, porque tienen un muy buen entendimiento de los entornos de sus clientes y de lo que se necesita para mejorar la postura de seguridad. Y cuando hacen una recomendación de prueba de penetración, es en el momento adecuado. O es para recopilar esa información que mencionaba Ivan antes de seguir desarrollando el programa. Así que sí, la forma en que Cobalt lo hace, las pruebas de penetración como servicio, es un poco diferente. Intentamos hacer el proceso más rápido para que puedas solucionar tus riesgos de manera más inteligente y fortalecer tu seguridad, en última instancia, por supuesto. Así que tenemos una plataforma y luego una red de evaluadores de penetración. A esa red de evaluadores de penetración la llamamos nuestro ’Cobalt Core“, son más de 400 personas. Con todas esas personas, podemos realizar pruebas de penetración más rápido, por lo que podemos poner en marcha una prueba de penetración en dos o tres días hábiles. Cada proyecto se lleva a cabo en un plazo de dos semanas y luego tu informe se entrega dentro de las 72 horas posteriores a la fecha de finalización. Así que esto puede ser excelente para personas que intentan obtener una prueba de penetración para el cumplimiento normativo o una auditoría en la que tienen esa fecha límite y necesitan saber que ese informe se entregará en esa fecha. Además, realizamos nuevas pruebas de forma gratuita. Por lo tanto, esto puede ser un valor agregado realmente increíble para demostrar que estás mejorando tu seguridad con el tiempo. De acuerdo, ya sabes cuáles son tus vulnerabilidades. Elegiste solucionar algunas, elegiste aceptar otras, pero luego volviste a Cobalt, hiciste clic en listo para volver a probar, el evaluador de penetración vuelve a entrar, realiza tres pruebas gratis y luego se muestra en el informe que se ha solucionado para que puedas mostrar a las partes interesadas que sea necesario que estás mejorando esa seguridad con el tiempo.

Matt Tankersley
Hay muchas conclusiones y me gustaría escuchar un poco más. Y Netrix, ustedes están haciendo mucho más que solo esto de aquí. Como todos nosotros aquí, hacemos mucho más que una sola cosa. Eso es lo que me encanta de Cobalt, ustedes están muy enfocados en esta única cosa. Así que me alegra tenerlos con nosotros. Si hay una sola conclusión que puedo sacar de toda esta conversación hasta ahora, amigos, es que nunca voy a ir al bosque con una pistola de balines. Debería llevar al menos una pistola de diábolos. Eso es genial. O sea, creo que hoy hemos hecho un gran trabajo, de manera muy superficial, hablando de un tema muy complejo. Hemos hablado de ¿qué es? ¿Por qué es? Estamos hablando de que cada uno de ustedes tiene algunas soluciones y enfoques específicos para el problema. Tengo curiosidad, ya sabes, Lauren, creo que hoy terminaremos a buen tiempo, lo cual es un buen problema de tener, porque de lo contrario, estaríamos aquí seis horas, ¿verdad? Así que no sé, Lauren, ¿la dama elige? Demos otra vuelta por la sala para ver si tenemos alguna idea adicional sobre lo que nuestra audiencia necesita escuchar acerca de la trascendencia e importancia de este tema, y de parte de cada uno de ustedes una vez más, ¿por qué específicamente deberían elegir trabajar con las organizaciones? Y Iván, tú eres el chico VIP de cast, por de dónde vienes y ahora tienes ese doble rol. Así que queremos saber más de ustedes también. Entonces, Lauren, ¿por dónde te gustaría empezar mientras comenzamos a concluir la conversación?

Lauren Lev
¿Laura, vas primero?

Laura Green
Muy bien, seguro. Supongo que para cerrar, simplemente destacaría que construir un programa de seguridad sólido no se trata solo de conocer tus vulnerabilidades, sino de comprender realmente el impacto que la explotación de una vulnerabilidad tiene en tu organización. E Iván aludió al aspecto de los datos. Ya sabes, ¿cuál es la pérdida de tiempo o de ingresos si un sistema se cae, o el daño a las relaciones públicas y la pérdida de confianza si hay una brecha de datos? Sabes, cuanto más basado en datos puedas ser cuando comunicamos las vulnerabilidades a nuestras organizaciones internas, mejor podrás justificar dónde y cómo gastar los recursos en lo que respecta a la seguridad. Así que, de nuevo, voy a hacer publicidad de nuestro informe de datos de pruebas de penetración de 2022. Tengo recomendaciones, puedes consultarlas, pero de verdad recomiendo que le eches un vistazo. Comprende tus principales vulnerabilidades y por dónde empezar. Como dije, entender tus vulnerabilidades es un excelente punto de partida con las pruebas de penetración.

Matt Tankersley
Lauren, mientras piensas en quién va a dar las últimas palabras finales aquí, déjame decirte que he estado lidiando con una experiencia con uno de nuestros socios proveedores que, como tantos socios proveedores, tengo una historia. Es un poco una historia de pesadilla. Y va a validar algo de lo que acabas de decir, Laura, sobre la importancia y de no demorarse en entender las clases de vulnerabilidades que tienes. Y piensas en medir el costo, ¿verdad? Así que trabajo con algunos proveedores bastante grandes que han tenido, ya sabes, como muchas personas, la desventaja de una explotación que fue muy costosa. Y lo que terminó sucediendo es que han tenido que adoptar drásticamente, o sea, medidas de seguridad exageradas que te prometo ahora mismo tienen un impacto en la productividad de cientos de miles de dólares en su día, todo el día, todos los días. Y no era necesario si hubiéramos tenido la seguridad adecuada implementada, si hubiéramos conocido las vulnerabilidades que teníamos implementadas, podríamos haber tomado mejores métricas de seguridad. Pero como resultado de tener ese problema y recibir un golpe en la mano, tuvieron, ya sabes, como que tienen al mercado diciendo, De acuerdo, ahora te estamos observando con lupa, y tienen que adoptar prácticas de seguridad simplemente ridículas. Y sé que incluso al interactuar con proveedores que han pasado por esa situación, toma una tarea que podría tomar 15 minutos y la convierte en una hora. Y ahora, multiplica eso por miles de empleados. Es una locura. Así que si quieres saber el costo, lo que se necesita para no ser lo suficientemente inteligente como para hacer estas cosas de manera proactiva, considera cuál podría ser el costo de una prueba de penetración dos veces al año en comparación con costarle a miles de empleados más de una hora al día. Muy bien, bueno, sin calificaciones y sin dar nombres. Así que eso es bueno. ¿A dónde vamos ahora, Lauren?

Lauren Lev
Hagamos a Matt Wilson.

Matt Wilson
Les diría a todos los que nos están escuchando que cuestionen a sus partes interesadas internas y a sus proveedores en todo, ¿no? Y no me refiero a hacerlo de manera hostil. Me refiero a que cuando se acerquen a sus partes interesadas internas y soliciten recursos presupuestarios para realizar una prueba de penetración, o algún tipo de evaluación de seguridad, o para adquirir nuevos cortafuegos, o para una nueva solución de seguridad de terminales, sea lo que sea, desafíen a sus partes interesadas internas a que realmente pongan en marcha ese programa al que se refirió Laura. Si este componente de solución de servicio va a incorporarse a su entorno, asegúrense de que forme parte de un plan general hacia el cual se están encaminando, ¿verdad? Y, en cierto modo, eso también supone un reto para ustedes mismos. Pero cuando evalúen a los proveedores, exíjanles que se diferencien al analizar qué es una prueba de penetración. A menudo les digo a los clientes: todos vamos a decir más o menos lo mismo, así que hay un número limitado de formas en que se puede decir que hacemos reconocimiento activo y reconocimiento pasivo, y luego hacemos esto y luego hacemos aquello. Y tal vez eso sea lo que, ya sabes, todos llamaremos una prueba de penetración externa o una prueba de penetración interna. Así que, realmente, desafíen a sus proveedores a diferenciarse, al tiempo que entienden que van a escuchar muchas cosas similares y estén dispuestos a aceptar algo más que simplemente “tenemos a los mejores profesionales”, porque si todos dicen que tienen a los mejores, eso no puede ser cierto, ¿verdad? Realmente creo en nuestro equipo y siento que son extraordinarios. Pero Iván va a creer en su equipo, Laura va a creer en el suyo. Así que todos podemos tener el mejor equipo; tenemos que hacerlo mejor como proveedores a la hora de diferenciarnos. Y eso nos lleva, ya sabes, a lo que dijiste, Matt: ¿por qué trabajar con Netrix? De nuevo, creo que hay una competencia sana ahí fuera. Nunca trato de menospreciar a otros proveedores. Así que, por favor, no interpretes esto como si lo estuviera haciendo. Pero sí creo que aportamos una perspectiva única tanto en la ofensiva como en la defensiva porque nos dedicamos al monitoreo de seguridad; aportamos el aspecto estratégico al ámbito de la seguridad de la información, ya que nos dedicamos a VC; pero también aportamos un enfoque más tecnológico a la seguridad de la información, como lo que yo llamo la «seguridad real», porque podemos vivir en ese mundo ideal de la seguridad de la información en el que me encuentro. Pero eso tiene que traducirse a la realidad empresarial. Por eso contamos con los servicios de VCIO, solo como un ejemplo de esa estrategia que debe extenderse más allá del ámbito de la seguridad. Así que cuando se trata de resolver problemas y aplicar soluciones, el equipo de Netrix en su conjunto puede hacerlo en todas las plataformas tecnológicas. Ya sabes, no hace falta mencionar todos los nombres. Pero, como integrador de soluciones, tenemos mucho que aportar en el ámbito de la corrección de problemas y comprendemos bien que, cuando hacemos una recomendación, sabemos qué implicaciones prácticas tendrá para ti y para tu organización.

Matt Tankersley
Bien, Iván, ¿últimos comentarios?

Ivan Paynter
Para terminar, hay mucho que decir al respecto. Lo primero que quiero asegurarme de mencionar es que siempre debes recurrir a varias organizaciones para realizar tus pruebas de penetración. Así que, si te sientes cómodo con una organización y cuentas con un servicio de seguridad administrado, no les pidas que realicen tus pruebas de penetración. Busca una empresa externa porque ellos no conocen tu red. Así que, ya sabes, las otras dos empresas que tenemos aquí, tal como dijeron Laura y Wilson —me gusta Wilson. Creo que es un nombre genial. Ahí es donde— y RCS también, solo para compartir el amor. Bueno, simplemente porque otras personas tendrán una visión diferente de tu entorno y realmente lo entenderán. Eso es lo primero que quiero destacar. Ya sabes, ¿por qué RCS Secure? Siempre vuelvo a lo mismo que cualquiera me pregunta. Ya sabes, he estado haciendo esto por mucho tiempo. Estuve en mi empresa anterior, que me encantaba, durante tres años y medio. Pero tuve muchas ofertas diferentes y podría haberme ido a muchos lugares distintos. Me decidí por aquí porque son ágiles, son capaces de adaptarse, crecen y son sólidos, pero además saben escuchar. Y sé que todas las organizaciones lo hacen. Pero de las que he trabajado en el pasado, esto es lo que más me llamó la atención, además de que retribuyen a la comunidad. Y eso fue otro factor importante. No nos conformemos nunca con donde estamos en materia de ciberseguridad. Por eso no hay expertos en ciberseguridad. Hay mucha gente con mucho conocimiento. Creo que, como saben, tanto Laura como Matt tienen muchísimo. Nunca somos expertos, porque todo cambia cada minuto, si no cada segundo. Creo que Laura lo mencionó antes. Los hackers tienen todo el día, toda la noche, meses y años para hacer lo que quieran. Nosotros tenemos la oportunidad de hacerlo bien una sola vez. Eso es todo. Y si no lo logras, te van a dominar y, créeme, va a ser muy difícil sacarlos de ahí. Y lo he visto de primera mano. Hay muchas organizaciones que están en esa situación. Hay mucho de lo que podría hablar, pero lo último que quiero que todos se lleven es la mentalidad de no quedarse de brazos cruzados. Es tal como dijo el Matt más viejo: no esperes a que suceda, porque vas a gastar mucho más dinero. Ponte a actuar ya, haz algo ahora mismo porque, si no lo haces tú, nadie lo hará. He vivido con mi esposa durante 22 años; ella ha dirigido esta empresa durante 18 de ellos. Hace dos años y medio, recibí la llamada cuando estaba en Las Vegas: nos habían robado. Cuando desaparece medio millón de dólares de una organización pequeña, es doloroso, ¿de acuerdo? Son la clase de empresa que creía que nunca la robarían. A nadie le importa qué pasa con una empresa en particular. A ellos no les importa a qué se dedica tu empresa. Te harán entender que ya no se trata de ’bueno, si eso pasa…“. No, va a pasar. Toma medidas, haz que te hagan una evaluación, solicita una prueba de penetración, habla con tu profesional de seguridad. De eso se trata este videoblog. Llama a Lauren, llama a Matt, no me importa, llama a los Cazafantasmas. Ponte en acción, ¿de acuerdo? No te quedes ahí sentado pensando: ”Esto es gracioso. Ese video estuvo genial y ahí va Iván otra vez“. Tienen que tomar medidas y luego verificar que las hayan hecho bien. Asegúrense de que las personas que contraten estén haciendo su trabajo correctamente. Esa es la conclusión fundamental. Porque si no lo hacen ahora, si no compran el Chevy ahora, terminarán comprando el Rolls Royce más adelante. ¿De acuerdo?

Matt Tankersley
Fabulosa salida, chicos. Trabajo maravilloso. Y les diré una cosa rotunda que escuché hoy. Y Lauren, si retrocedo al Episodio Uno sobre Capacitación en Concientización sobre Seguridad, dijimos lo mismo entonces por las mismas razones. La ciberseguridad, la cultura, la filosofía tienen que empezar desde arriba. Si eres dueño de un negocio, si eres un ejecutivo y la ciberseguridad no está en el frente de tu proceso de pensamiento que estás transmitiendo a tu cultura, a cada empleado en cada departamento sobre estar consciente de qué es el phishing, y qué es el spam, y qué es el Spear Phishing, y cómo detectar a alguien mirando por encima del hombro y todas esas cosas buenas... Ahora, avanzamos rápidamente hasta el Episodio 18: Pruebas de penetración y sigo escuchando las mismas cosas. Ustedes, dueños de negocios y líderes, tienen que estar pensando en estas cosas de manera proactiva. Y si no están tomando medidas, especialmente si no están tomando medidas, al menos vayan a hacerse una prueba. Ya saben dónde pueden tomarse en serio su ciberseguridad. Lauren, despidenos y dile a la gente cómo pueden obtener más información sobre estas organizaciones y conectarse.

Lauren Lev
Muy bien. Para iniciar una prueba gratuita con cualquiera de estos socios de soluciones, envíe un correo electrónico a y regístrese para nuestra evaluación gratuita de riesgos de ciberseguridad en WhosInYour.Cloud. La próxima semana, daremos la bienvenida nuevamente a algunas caras conocidas mientras cambiamos de tema para hablar sobre el descubrimiento y la documentación de cumplimiento en el Episodio 19. Discutiremos la necesidad de respaldar y mantener sus certificaciones críticas y responder a los ciclos de informes de cumplimiento y posibles litigios. ¡Hasta la próxima, nos vemos, amigos!