¿Dónde está el equilibrio entre la ciberseguridad, la infraestructura informática y la movilidad? Las respuestas que obtenga pueden depender de a quién le pregunte.

Equipo de ciberseguridad: «¡Necesitamos una organización protegida!»

Equipo de tecnología de infraestructura: «¡Necesitamos una organización organizada y sostenible!».

Equipo de movilidad: «¡Necesitamos una organización flexible que potencie a nuestra plantilla!».

Es posible que hayas escuchado este argumento de una forma u otra en alguna conversación informal, y vale la pena profundizar en él para llegar a un consenso más satisfactorio. Eso es precisamente lo que haremos en esta última entrega de nuestra serie de entrevistas en podcast sobre movilidad empresarial, con Alex Willis, vicepresidente de Ingeniería de Ventas Globales de BlackBerry, y Baldeep Dogra, director sénior de Marketing de Soluciones.

Enmarcamos esta serie de debates —sobre la gestión unificada de terminales (UEM) y cómo ayuda a resolver los retos de seguridad con la movilidad— en el contexto de los cuatro pilares de las TI: personas, procesos, tecnología y cooperación. Los tres primeros pilares, que abordamos en las partes 1 a 3, están bien establecidos. Sin embargo, el cuarto me llamó la atención a finales del año pasado, cuando lo citó el subdirector del Servicio Estatal de Comunicaciones Especiales y Protección de la Información de Ucrania, Victor Zhora, al aparecer como invitado sorpresa del director ejecutivo de BlackBerry, John Chen, durante la cumbre anual BlackBerry Security Summit celebrada en la ciudad de Nueva York.

Desde la perspectiva estricta de proteger la infraestructura de su país contra ciberdelincuentes altamente cualificados y patrocinados por el Estado, Zhora señaló que los pilares ampliamente reconocidos de las personas, los procesos y la tecnología no pueden tener éxito sin una base subyacente de cooperación. «En un mundo contemporáneo interconectado», explica, «no hay posibilidad de aislarse».

Por eso, en la cuarta parte de nuestra serie UEM , nos centramos en la cooperación como la base fundamental sobre la que debe construirse nuestra estructura de tres pilares: personas, procesos y tecnología. Como suele ocurrir, establecer esa cooperación significa, en primer lugar, profundizar en el laberinto de prioridades contradictorias que a veces dificultan la colaboración entre departamentos y descubrir cómo trabajar juntos de manera eficaz para lograr un resultado que beneficie a todas las partes por igual.

Para obtener más información, escucha el podcast o lee el extracto (a continuación).

Steve Kovsky:
Estamos aquí para hablar sobre los retos que plantea la implantación de la movilidad y la seguridad de los dispositivos móviles en el lugar de trabajo.

Retomando donde lo dejamos, llegamos a la cooperación, el cuarto y último pilar que mencionamos al principio de esta serie. Alex, tú mencionaste las cadenas de suministro y cómo debemos colaborar y analizar nuestros negocios de manera integral. Creo que algunas de las cosas que Alex ha descrito son las razones por las que los clientes de BlackBerry para UEM ser organizaciones que realmente se preocupan por la seguridad, las certificaciones y que se toman en serio la normativa. Suelen ser organismos gubernamentales, ramas del ejército, así como grandes bancos e instituciones financieras. Eso está cambiando.

Bal, has estado analizando otras tendencias que están afectando al mercado. ¿Crees que esta preocupación por la seguridad de los dispositivos móviles va a disminuir? ¿Se está extendiendo a otros sectores verticales?

Baldeep Dogra:
Es una gran pregunta. Como ha mencionado Alex, estamos analizando las cadenas de suministro, pero ahora mismo se está prestando mucha atención a los entornos heredados más antiguos y a aquellos basados en «OT»: tecnología operativa. Existe una tendencia en la Industria 4.0 hacia la convergencia de la tecnología de la información (TI) y la OT. Si pensamos en los sistemas OT en sí, estos suelen basarse en sistemas de control industrial (ICS) y en sistemas de supervisión, control y adquisición de datos (SCADA). Los sistemas de control industrial son, como sabemos, una categoría aparte. Están conectados a interfaces hombre-máquina (HMI) basadas en TI que suelen ser heredadas. Son sistemas operativos antiguos, muchos de ellos también aislados.

Y entonces volvemos a lo que estábamos hablando antes. ¿Cómo empezamos a pensar en la nube y en las instalaciones locales? ¿Cómo construimos algo en torno a eso para nuestros clientes? Por lo tanto, eso es clave para que nosotros lo entendamos y ayudemos a nuestros clientes a entenderlo también.

Desde una perspectiva de cooperación, debemos pensar quién es el responsable. En materia de seguridad, contamos con equipos de gestión de terminales: ¿cómo conseguimos que se comuniquen entre sí? Tampoco queremos dejar fuera a los usuarios finales, ¿verdad? Para los usuarios, el nivel de productividad que experimentan es fundamental. Por lo tanto, también debemos involucrar a los equipos responsables de la experiencia del usuario final. Y eso proporciona la experiencia general del cliente que queremos ayudar a nuestros clientes a lograr con sus resultados.

Alex Willis:
Los estándares del sector también son un área importante para la colaboración. Los grandes proveedores tenemos que unirnos y trabajar juntos para desarrollarlos. Estos estándares ya han resultado útiles en ámbitos como la cadena de suministro. Han ayudado a abordar cuestiones como: «¿Cómo sabes que puedes confiar en ese socio?», «¿Realmente tienes que hacer una evaluación de seguridad de ellos?» o «¿Cómo obtienen una calificación?».

Esa es un área en la que también trabajamos. Los seguros son un ejemplo de ello. Las compañías de seguros pueden proporcionar una «calificación», de modo que si voy a trabajar con un proveedor, quiero conocer su nivel de seguridad antes de permitirle conectarse.

La forma moderna de hacerlo es mediante el modelo de confianza cero. Por ejemplo, no se debe proporcionar una capacidad VPN de sitio a sitio a un socio sin haber realizado una evaluación de seguridad. Pero incluso así, no es suficiente, ya que habría que realizar auditorías continuas. Con el modelo de confianza cero, se obtiene un punto de conectividad mucho más seguro, en el que todo se previene o bloquea a menos que sea una necesidad puntual y real basada en las ACL (listas de control de acceso), es decir, a lo que realmente necesitan acceder, lo cual es otra gran diferencia entre cosas como la VPN y algo como nuestro producto de acceso a la red de confianza cero (ZTNA) llamado CylanceGATEWAY™, en el que estoy sustituyendo un tipo de protocolo más antiguo en torno a la VPN para proporcionar conectividad. Es mucho más fácil para los usuarios porque no hay retrasos en la conectividad. Mi postura de seguridad contextual se evalúa antes de que se me conceda el acceso, pero incluso una vez que se me concede el acceso a la puerta principal, para pasar detrás del cortafuegos, solo tengo acceso a los puntos finales que necesito.

Esta es una buena solución para socios o proveedores, ya que si puedo limitar su acceso, se trata de una política de seguridad mucho mejor que simplemente darles acceso a la VPN y luego confiar en los servidores backend para realizar la autenticación y la protección. Prefiero limitar los sitios a los que pueden acceder. Puede tratarse de una segmentación de red basada en IP a través de una red de área local virtual (VLAN), pero incluso a nivel de protocolo.

Por lo tanto, algunos de los malos actores ahora están secuestrando otros puertos. Por ejemplo, un puerto estándar permitido en un firewall es el DNS, como el puerto 5350 DNS. Entonces usted dice: «Muy bien, voy a permitir que cualquiera se conecte al 53». Lo que hacen algunos de los malos actores es cambiar el protocolo que utilizan para conectarse a sus servidores de comando y control (C2) para que sea solo el puerto 53. Así, para un firewall, puede parecer cualquier otro tráfico DNS, y simplemente lo dejará pasar. Lo que se obtiene con ZTNA en CylanceGATEWAY es que examinará el tráfico para asegurarse de que es el tipo de tráfico que se permite para ese fin. Por lo tanto, esa es otra cosa que hay que tener en cuenta en torno a la cadena de suministro y al acceso de los socios a su entorno.

Volviendo al tema de la colaboración en la cadena de suministro. Las grandes empresas como la nuestra tenemos que unirnos —y lo hacemos— para aportar ideas y orientación, y para informar sobre estas políticas que mejoran el trabajo de todos los clientes. Y lo hacemos con bastante frecuencia.  

Luego está la otra colaboración que Bal y yo mencionamos, que consiste en lograr que los equipos dentro de estas organizaciones trabajen juntos. Es uno de los aspectos más interesantes de nuestro trabajo, ya que podemos actuar como intermediarios, especialmente porque ofrecemos servicios tanto de ciberseguridad como de gestión unificada de terminales. Ya estamos interactuando con los equipos de movilidad y ciberseguridad. Así, hemos podido ofrecer a ambas partes cosas que, en la práctica, terminan por unirlas. Por ejemplo: informar sobre el estado de seguridad de los dispositivos móviles en nuestra consola, a la que tiene acceso el equipo de seguridad.

Es la primera vez que vemos que, en lugar de que el equipo de seguridad se limite a establecer políticas y los equipos de movilidad y TI las implementen y esperen que todo salga bien, podemos hacer eso, pero además proporcionar funcionalidad y capacidad de generación de informes al centro de operaciones de seguridad (SOC), lo que en la práctica une a los equipos.

Steve Kovsky:
Entonces, ¿debemos considerar a BlackBerry no solo como su proveedor de seguridad y tecnología, sino también como un mediador de paz dentro de su organización?

Alex Willis:
Sí, ya sabes que en las grandes empresas suelen surgir problemas de responsabilidad y feudos. Ya sabes, «esta es mi área, esa es tu área, quédate ahí». Pero en realidad dependen mucho unas de otras. Así que, si hay alguna necesidad, sin duda estamos en una buena posición para ayudarles a superarla.

Steve Kovsky:
Bien, por último, hablemos de los próximos pasos a seguir. Si alguien está escuchando este podcast y le interesa el tema, ahora sentirá curiosidad por saber qué grado de protección tiene. ¿Existen algunas de estas deficiencias en su organización? ¿Debería preocuparse? ¿A quién debería acudir para obtener más información y orientación?

Alex Willis:
Si ya están conectados con nosotros, lo primero que hay que hacer es llevar a cabo una evaluación de seguridad o una discusión sobre el diseño. Puede ponerse en contacto con nosotros a través de su equipo de ventas o visitar BlackBerry.com y ponerse en contacto con uno de nuestros expertos. Otra fuente de información muy útil para comprender lo que hacemos y cómo ayudamos a nuestros clientes es la página web de la Cumbre de Seguridad de BlackBerry. Eche un vistazo a algunas de las sesiones que hemos realizado y a algunos de los servicios que ofrecemos.

Pero como primer tipo de compromiso, creo que se obtienen mejores resultados con algo como «Oye, vamos a hablar», y así podemos entender cuál es tu valoración actual en términos de seguridad. ¿Cuáles son tus planes tanto desde el punto de vista de la seguridad como desde una perspectiva empresarial general? ¿Qué tipo de organización es la suya? ¿Cuáles son los objetivos de su empresa? ¿A qué se dedica su organización? ¿Cómo trabaja su personal y cuáles son sus puntos débiles? ¿Qué podría mejorar si pudiéramos movilizar su organización?

A continuación, podemos debatir cómo hacerlo de forma segura. En lo que respecta a la ciberseguridad, podemos hablar, por supuesto, de la implementación del modelo «zero trust» y de cómo podría ser para su organización el paso de su plantilla a un modelo permanente de teletrabajo o de trabajo desde cualquier lugar.

Solo tenemos que empezar con una conversación para comprender mejor sus objetivos, tanto desde el punto de vista tecnológico como estratégico. A continuación, podremos ver cómo podemos ayudar a su organización a alcanzar esos objetivos, por ejemplo, con un mayor retorno de la inversión y un menor coste total de propiedad.

Steve Kovsky:
Bal, ¿alguna otra conclusión o palabras finales?

Baldeep Dogra:
Alex tiene toda la razón. Si tuviera que subrayar lo que ha dicho Alex, les diría a quienes nos escuchan y nos ven: prepárense mejor.

Al principio de esta serie mencionaste el enfoque de Victor Zhora sobre «las personas, los procesos y la tecnología», y cómo él ha incorporado la cooperación o la colaboración, como prefieras llamarlo. Para mí, se trata de unir los otros tres elementos. Y mi opinión al respecto coincide con nuestra narrativa de ser capaces de prepararnos, prevenir, detectar y responder a las amenazas.

Puede hacerlo con la colaboración de los distintos equipos implicados y trabajando con nosotros. Como ha dicho Alex, organicemos algunas sesiones informativas, comprendamos sus resultados y comprendamos sus objetivos. Estamos aquí para ayudar a nuestros clientes a alcanzar sus objetivos.

Si hay algo importante que aprender de esto, es lo siguiente: no pienses en la seguridad como algo secundario. No querrás estar pensando constantemente en añadir capas de seguridad más adelante. La seguridad no funciona así. Debe integrarse en todo lo que hagas. Esa es mi conclusión.

Steve Kovsky:
Muchas gracias a ambos por dedicarnos su tiempo y ayudarnos a analizar algunas de las posibles vulnerabilidades o deficiencias que la gente está tratando de abordar en la gestión de la movilidad y en sus negocios.