La primera semana del año es extraña. La gente sale a trompicones de la niebla de las vacaciones y calienta los músculos del trabajo. Cuanto antes ponga en marcha sus iniciativas, más tiempo tendrá para aplicarlas y antes verá los resultados.
¿Dónde concentrar sus esfuerzos para motivar a su equipo y conseguir que todos tiren en la misma dirección?
Tendrá que abordar las tendencias emergentes y los retos persistentes del año pasado, además de los nuevos factores que se espera que afecten a la ciberseguridad en 2025.
Frank Vukovits, Chief Security Scientist de Delinea, y yo hablamos recientemente de las perspectivas para 2025 en el 401 Access Denied Podcast.
A continuación, presentamos las principales expectativas que definirán 2025, junto con recomendaciones sobre cómo puede abordarlas:
La IA ha bajado el listón para los ciberdelincuentes
Gracias a la IA, los correos electrónicos de phishing y las traducciones tienen ahora un aspecto tan realista que incluso pueden engañar al ojo entrenado. Las falsificaciones, a veces apoyadas por ciberdelincuentes patrocinados por los Estados, están modificando imágenes para que parezcan una identidad robada, y luego usar esa identidad para robar propiedad intelectual. Existen tantas grabaciones de audio y vídeo que no es difícil crear una simulación virtual de una persona real.
Qué hacer: Verificar que las personas son realmente quienes dicen ser mediante tácticas de garantía de identidad como la MFA es más importante que nunca.
La defensa contra el ransomware requiere algo más que copias de seguridad y recuperación
El año pasado vimos cómo se pasaba del ransomware tradicional basado en el cifrado a la extorsión, en la que los agresores obtenían credenciales y amenazaban con revelar la información o venderla a otros delincuentes. A medida que aumente el valor de la criptomoneda, seguiremos viendo cómo los delincuentes la blanquean en intercambios con intermediarios de acceso y otras partes de la cadena de suministro del ransomware.
Qué hacer: Gestionar de forma segura las credenciales y mantener el acceso con los mínimos privilegios siguen siendo estrategias fundamentales de protección contra el ransomware.
Gobernanza de la IA para usuarios, tanto humanos como no humanos
¿Dispone de una declaración de uso responsable de la IA? Tenga en cuenta las identidades humanas que utilizan scripts y modelos de IA y asegúrese de que sólo las personas autorizadas tienen acceso. Recuerde también que la IA se está sumando a la explosión de identidades no humanas, con API y secuencias de comandos que se ejecutan en segundo plano y que también deben protegerse.
Qué hacer: Mantener un inventario de todos los agentes de IA, su acceso y dependencias, al igual que haría con todas las cuentas de máquinas y servicios. Desarrolle una declaración de uso responsable de la IA en su empresa para abordar cómo se utiliza la IA, incluido el uso de datos de clientes y la formación de modelos de IA.
Cambios en los requisitos de cumplimiento
Los requisitos de cumplimiento cambian con frecuencia y 2025 no será una excepción:
- La Digital Operational Resilience Act (DORA) entra en vigor en enero, con requisitos vinculantes para el cifrado de datos.
- PCI 4.0 será obligatoria en abril y deberá tenerse plenamente en cuenta durante una evaluación de PCI DSS.
- La Cybersecurity Maturity Model Certification (CMMC) será obligatoria para los contratistas del Departamento de Defensa de Estados Unidos, lo que significa que tendrán que alcanzar un nivel de cumplimiento CMMC específico para poder optar a nuevos contratos.
- Cinco nuevos estados de EE.UU. pondrán en marcha leyes de privacidad de datos en 2025, lo que elevará el total a 18 leyes estatales de privacidad.
Qué hacer: Evalúe en qué medida se ajusta a la cambiante normativa. Incluso si no está obligado por los requisitos legales, estos proporcionan un marco de mejores prácticas para la ciberseguridad y la gestión de riesgos. La mayoría de los marcos de cumplimiento comparten requisitos comunes para la seguridad de la identidad, incluida la autorización, la autenticación y la gobernanza. Si está buscando un punto de partida, las nuevas directrices del NIST Cybersecurity Framework (CFS) 2.0 son un gran recurso.
Consolidación de soluciones frente a “cinturón y tirantes”
Las empresas tienen múltiples herramientas tecnológicas en varias nubes y aplicaciones SaaS y acaban teniendo demasiadas diferencias en los controles de seguridad. El objetivo para 2025 es reducir la complejidad. El nirvana son los controles de seguridad coherentes en todos los entornos de TI.
Muchos creen que veremos una consolidación de proveedores y una reducción de la tecnología redundante o no utilizada. ¿Por qué pagar por más de una herramienta que hace lo mismo? Sin embargo, también estamos viendo preocupaciones sobre la disponibilidad, lo que está animando a la gente a comprar múltiples soluciones que resuelven el mismo caso de uso, para las capas de defensa.
Sin duda, los equipos de TI y seguridad verán una mayor integración de sus funciones y responsabilidades laborales, lo que significa que las soluciones deben dar soporte a múltiples usuarios a través de casos de uso horizontales. Las plataformas de seguridad de identidades romperán los silos entre los controles IAM, la autorización y la gestión de riesgos.
Qué hacer: Asegúrese de que cualquier solución de ciberseguridad que adquiera sea fácil de usar y esté abierta a la integración y la orquestación.
Manejar el estrés y el agotamiento es tan importante como comprar el próximo software
Todos sabemos que no hay suficientes profesionales de la ciberseguridad para hacer frente a las amenazas. Además, muchos están agotados por las largas jornadas y las batallas que tienen que librar. La automatización puede ayudarnos a hacer más con menos, pero no puede resolver todos los problemas. Durante los últimos años, hemos dicho que nuestro sector debe centrarse en la salud mental; este es el año de hacerlo de verdad.
Qué hacer: Consulte a organizaciones como Cybermindz y Sober in Cyber. Cuídese y cuide a los suyos este año nuevo.
¡Por un 2025 productivo y ciberseguro!
Joseph Carson, Chief Security Scientist and Advisory CISO en Delinea