• Durante el CenturyLink Forum Chile 2019, que se realizó el 14 de agosto en el Hotel W, conversamos con Pablo Dubois, gerente de Productos de Seguridad de CenturyLink América Latina, sobre la inseguridad que se está viviendo en la banca, en las instituciones públicas y en el hogar.

Nosotros publicamos en “Generación de Cambio” el caso de la hacker que se robó los datos de 106 millones de clientes bancarios en Capital One en julio pasado. Y todo gracias a un firewall mal configurado. ¿No es muy raro eso?

“Las fallas suceden. No es la primera vez que pasa con Amazon Web Services, pero también ha pasado con varios otros proveedores de nube (“cloud”). Es necesario hacer la separación correcta: una cosa es la seguridad de la infraestructura (de la cual cada proveedor de nube es responsable) y otra es la seguridad de la información (que es responsabilidad de la empresa misma). Muchas veces la empresa delega erróneamente la seguridad en este proveedor de nube".

Bueno, esta discusión acerca de la responsabilidad se dio entre Amazon Web Services y Capital One…

“Si hubiera existido un ‘desplazamiento lateral’, si se hubiera extendido a otras empresas, habría una responsabilidad de parte del proveedor de la nube. En cambio, si la falla se produce en una sola empresa, lo más probable es que el error esté en esa empresa”.

Otra discusión es qué tan segura es la nube.

“La nube te ofrece la disponibilidad. Puedo acceder a mis archivos cuando quiero; pero esa disponibilidad también está ahí para otros que quieran acceder. Se equivocan las empresas si creen que toda la seguridad se la debe brindar el proveedor de la nube. Hay soluciones con las que también podemos empezar a controlar a los usuarios que hacen uso de esa información. Son las soluciones tipo CASB (agente de seguridad de acceso a la nube), que te permiten controlar quiénes acceden y en qué momento; quiénes tienen permiso o no”.

¿Son muy caras?

“No. Nosotros siempre hablamos de la protección en capas: tenemos la protección que te brinda el proveedor en la nube y la que te entrega la propia empresa. Y, después, las soluciones que van en el medio. Las empresas siempre deben estar pensando en que todo puede ser vulnerable. El tema es cómo puedo empezar a restringir la superficie de ataque para que éste sea cada vez más difícil. Que sólo me puedan atacar por algo muy pequeño”.

No es un tema tecnológico

En Chile hemos visto muchas vulnerabilidades en la banca y en el Gobierno.

“Muchas veces esto no es un tema tecnológico. Se sabe que hoy Chile y otros países latinoamericanos tienen un buen nivel de infraestructura, de equipamiento. Pero la seguridad va mucho más allá de eso. Se necesita gente que conozca el tema, que pueda hacerle seguimiento. Se necesita a esa gente lo más cercano posible para detectar lo más temprano posible si se generó una brecha. La verdad es que hoy ya es imposible hablar de la posibilidad de que a uno no lo ataquen”.

En realidad, a uno no lo atacan porque no quieren atacarlo solamente: la vulnerabilidad está muy extendida.

“Faltó que existiera una razón para que empezaran a atacar a Chile, y así fue. Y la realidad ahí es ver qué puedo hacer cuando el ataque ya ocurrió. En los eventos posteriores de los bancos, ellos fueron muchísimo más eficientes al momento de la detección, al momento de revisar y avisar a sus usuarios.
“Es necesario que estas grandes empresas, más que equipos, cuenten con gente que se dedique a prevenir estos ataques (y no solo la detección). Es importante estar preparados, tener una política de ciberseguridad; tener un modelo de control de riesgo para responder más rápido a estos eventos; para detectarlo, cortarlo y subsanarlo rápidamente. Y estar preparados para la próxima”.

 Pablo Dubois, gerente de Productos de Seguridad de CenturyLink América Latina. Entrevista realizada en el CenturyLink Forum 2019 realizado en Hotel W.