Convergencia de seguridad

En el contexto del Internet de las Cosas, las ciberamenazas se traducen más fácilmente en consecuencias físicas, y las brechas de seguridad física también pueden ampliar la superficie de ciberamenazas de una organización. Según la Agencia de Seguridad de Infraestructura y Ciberseguridad de los Estados Unidos , «la adopción e integración de dispositivos del Internet de las Cosas (IoT) y del Internet Industrial de las Cosas (IIoT) ha dado lugar a una red cada vez más interconectada de sistemas ciberfísicos (CPS), lo que expande la superficie de ataque y difumina las funciones, antes claras, de la ciberseguridad y la seguridad física». ^{[ 6 ]}

Según el Informe de Riesgos Globales 2020 del WEF , «las tecnologías operativas corren un mayor riesgo porque los ciberataques podrían causar impactos cinéticos más tradicionales a medida que la tecnología se extiende al mundo físico, creando un sistema ciberfísico». ^{[ 7 ]} Según el Departamento de Seguridad Nacional de los Estados Unidos , «las consecuencias de fallos involuntarios o ataques maliciosos [a los sistemas ciberfísicos] podrían tener un grave impacto en la vida humana y el medio ambiente». ^{[ 8 ]}

Entre los ejemplos más destacados de ataques a instalaciones conectadas a Internet se incluyen el ataque Stuxnet de 2010 contra las instalaciones nucleares de Natanz en Irán y el ciberataque a la red eléctrica de Ucrania en diciembre de 2015 .

“Las amenazas actuales son el resultado de ataques híbridos y combinados que utilizan la tecnología de la información (TI), la infraestructura física y la tecnología operativa (TO) como vía de acceso del enemigo”, señala Brian Harrell, ex subdirector de seguridad de infraestructura de CISA. “Destacar este panorama de amenazas futuras garantizará una mejor comprensión de la situación y una respuesta más rápida”. ^{[ 9 ]}

Los defensores de la convergencia de la seguridad consideran que los enfoques tradicionalmente separados, o «aislados», de la seguridad física y la ciberseguridad son incapaces de proteger adecuadamente a una organización de ataques que involucran dimensiones tanto cibernéticas como físicas (ciberfísicas). El aspecto organizativo de la convergencia de la seguridad se centra en la capacidad de la estructura interna de una organización para abordar adecuadamente los riesgos de seguridad convergentes.

Según la Agencia de Seguridad de Infraestructura y Ciberseguridad , «las divisiones de seguridad física y ciberseguridad a menudo se tratan como entidades separadas. Cuando los líderes de seguridad operan de forma aislada, carecen de una visión integral de las amenazas de seguridad que afectan a su empresa. Como resultado, es más probable que se produzcan ataques». ^{[ 1 ]} «Muchos de los riesgos convencionales de seguridad física y de la información se consideran de forma aislada», afirma un documento de PricewaterhouseCoopers , Convergencia de Riesgos de Seguridad . «Estos riesgos pueden converger o superponerse en puntos específicos del ciclo de vida del riesgo y, como tal, podrían convertirse en un punto ciego para la organización o las personas responsables de la gestión de riesgos». ^{[ 10 ]}

En una encuesta realizada a más de 1000 profesionales sénior de seguridad física, ciberseguridad, gestión de desastres y continuidad del negocio, el estudio de la Fundación ASIS , titulado "El estado de la convergencia de la seguridad en Estados Unidos, Europa e India", reveló que, a pesar de "años de predicciones sobre la inevitabilidad de la convergencia de la seguridad, solo el 24 % de los encuestados ha unificado sus funciones de seguridad física y ciberseguridad". ^{[ 2 ]} La encuesta también reveló que el 96 % de las organizaciones que habían unificado dos o más funciones de seguridad reportaron resultados positivos de la convergencia, y el 72 % indicó que la convergencia fortaleció su seguridad general. En general, el 78 % de los encuestados creía que la convergencia fortalecería su función de seguridad general.

Citando el trabajo de Jay Wright Forrester sobre el pensamiento sistémico , el director ejecutivo de Optic Security Group, Jason Cherrington, argumenta que un enfoque de sistema de sistemas proporciona una perspectiva útil para comprender cómo los subgrupos de seguridad dentro de una organización contribuyen a los objetivos generales de seguridad de la misma. «En un mundo ideal de sistemas de sistemas, las organizaciones verían su seguridad como un conjunto de sistemas orientados a tareas o dedicados que combinan sus recursos y capacidades como parte de un sistema general que ofrece mayor funcionalidad y rendimiento que la suma de sus partes. Es importante destacar que la supervisión del sistema general garantizaría que se identifiquen las brechas entre sus sistemas componentes y se eviten las fallas». ^{[ 11 ]}

La creciente prevalencia de amenazas híbridas de seguridad ciberfísica ha impulsado la aparición paralela de una gama de soluciones de seguridad convergentes que abarcan tanto el ámbito cibernético como el físico. Según Jason Cherrington, «en las amenazas de seguridad contemporáneas observamos una convergencia de vectores físicos y digitales; y la protección contra estas amenazas híbridas requiere un enfoque híbrido». ^{[ 11 ]} Según la Agencia de Seguridad de Infraestructura y Ciberseguridad de los Estados Unidos : «Las organizaciones con funciones convergentes de ciberseguridad y seguridad física son más resilientes y están mejor preparadas para identificar, prevenir, mitigar y responder a las amenazas. La convergencia también fomenta el intercambio de información y el desarrollo de políticas de seguridad unificadas en todas las divisiones de seguridad». ^{[ 6 ]}