Desde que anunciamos que íbamos a donar $100.000 al Instituto Holandés para la Divulgación de Vulnerabilidades (DIVD), las cosas se han puesto un poco agitadas aquí en Huntress.
Con el riesgo de sonar pesimistas, pensamos que algunos de nuestros amigos proveedores tal vez nos contactarían para decir que esto sonaba genial y, si teníamos mucha suerte, aportarían unos cientos de dólares.
No teníamos idea de que, en cuestión de semanas, nueve proveedores nos dirían que querían donar en conjunto $75.000 al DIVD.
Y esto es solo el comienzo. 😉
Reflector de proveedores de MSP
A medida que supimos de proveedores que querían participar, nos dio curiosidad saber qué significa esta iniciativa para otros. Así que les preguntamos, y sus respuestas nos dan mucha esperanza respecto a trabajar juntos y fomentar una comunidad de transparencia y responsabilidad entre proveedores en 2022. 🙌
Axcient
Becky Teal, Senior Partner Program Manager (Huntress): ¿Por qué era importante para ustedes involucrar a su empresa en esta iniciativa?
Ben Nowacky, SVP of Products (Axcient): La seguridad en un silo nunca puede ser efectiva. Los cibercriminales nos tienen en la mira, y creemos en el poder de la colaboración y la transparencia como armas poderosas contra ellos. La verdadera responsabilidad ante nuestros socios exige este enfoque. Simplemente esperar el próximo ataque, y confiar en que las defensas de un solo proveedor o MSP sean suficientes, no es una opción.
La transparencia no es nada nuevo para Axcient. Adoptamos un enfoque muy transparente y centrado en la seguridad en nuestros productos desde el principio. Además de compartir los resultados de las auditorías anuales de SOC y las pruebas externas regulares con los socios, hemos adoptado un enfoque de “shift-left” en seguridad, haciendo que la seguridad sea más central en el desarrollo de productos y que las pruebas de seguridad ocurran antes en el ciclo de vida del desarrollo. Es un KPI central y un requisito integrado que debe validarse antes de enviar cualquier código a nuestros socios.
Como proveedores en el espacio de la seguridad, siempre buscamos hacer más y hacerlo mejor. Por supuesto, hacemos lo necesario, como pruebas de penetración y evaluaciones de vulnerabilidad. Aun así, nuestra meta es evolucionar y avanzar aún más para asegurarnos de que nuestros socios nunca tengan que lidiar con una brecha prevenible originada en nosotros como proveedor de confianza.
Somos más fuertes como comunidad, y estamos igualmente comprometidos a proteger a nuestra empresa, nuestra plataforma y a nuestros clientes siendo abiertos respecto a la seguridad. Esta iniciativa debería traer cosas buenas para nuestros socios MSP.
Becky: ¿Qué crees que deberían hacer los proveedores de MSP para que la ciberseguridad sea más segura para sus socios en 2022?
Ben: Los proveedores deben comprender la confianza que nuestros socios MSP depositan en nosotros cuando invierten en nuestras soluciones como parte de su stack. Esta posición de privilegio conlleva mucha responsabilidad para los proveedores, quienes deben asegurarse de no ser el eslabón débil en la resiliencia cibernética. Por eso nos hemos comprometido con la transparencia en nuestro desarrollo y pruebas, tanto de nuestros productos como de nuestra propia infraestructura. Pero esto implica hacer más que lo básico, como pruebas de penetración regulares y parches de seguridad, y ser proactivos y transparentes cuando surgen problemas.
Les decimos a los socios MSP que deben probar, probar y probar, y la comunidad de proveedores también debe realizar evaluaciones de riesgo regulares para mejorar constantemente. Mantenemos SLA de resolución muy exigentes para los problemas de seguridad y hacemos de la seguridad una misión de toda la empresa. Y todos sabemos que ingeniería y desarrollo deben hacer de la seguridad un KPI central, pero otras partes de la organización, como ventas, finanzas y marketing, también deben estar obsesionadas con la seguridad, manteniéndose alertas ante ataques de ingeniería social, phishing y otros posibles puntos de entrada que los criminales puedan buscar en una organización. Solo adoptando un enfoque centrado en la seguridad en toda la empresa podemos permitir que nuestros socios ofrezcan seguridad a sus clientes.
Becky: ¿Algo más que quieras decir sobre DIVD, esta iniciativa o la comunidad?
Ben: Si bien todas las empresas que participan con Huntress creen que la seguridad es la amenaza más importante para los MSP y sus clientes, faltan programas de colaboración como este de DIVD para ayudar a identificar problemas a tiempo. Así, los proveedores pueden jugar más a la ofensiva en lugar de a la defensa reactiva. Al identificar amenazas, colaborar entre proveedores y socios, y comunicarnos de forma abierta, honesta y transparente dentro de nuestra comunidad, podríamos evitar que ocurrieran muchos de estos ataques a la cadena de suministro.
Unveil Security Group
Becky: ¿Por qué era importante para ti involucrar a tu empresa en esta iniciativa?
Joe Clapp, presidente (Unveil Security Group): La neutralidad frente a los proveedores es parte esencial de la ética corporativa de Unveil. Habíamos estado buscando una organización de divulgación de vulnerabilidades que reflejara nuestra propia ética. Además, los consultores e investigadores de Unveil suelen encontrar fallas en productos que no cuentan con mecanismos razonables de divulgación. Queremos apoyar a una organización interesada en respaldar la divulgación responsable por el bien de la sociedad, sin importar dónde residan esas vulnerabilidades.
Becky: ¿Qué crees que deberían hacer los proveedores de MSP para que la ciberseguridad sea más segura para sus socios en 2022?
Joe: Identifica tus puntos ciegos. Dedica tiempo a identificar los sistemas de los que no estás recolectando registros o los segmentos de red de los que no estás recolectando tráfico.
Analiza con sentido crítico tu programa de capacitación en seguridad de la información. ¿Es solo un trámite para cumplir un requisito o realmente mejora tu postura de seguridad? Si no te beneficia, invierte tus recursos en otra parte.
Implementa un monitoreo continuo de tus servicios expuestos a internet y en los sistemas internos críticos. Si algo cambia, averigua por qué.
Becky: ¿Algo más que quieras decir sobre DIVD, esta iniciativa o la comunidad?
Joe: Animaría a la comunidad a buscar formas creativas de ayudar a DIVD más allá del apoyo financiero. Por ejemplo, permitir que un desarrollador web interno dedique algunas horas al mes a DIVD, o que un asistente administrativo (sobre todo uno con habilidades en otros idiomas) ayude a plantillar los avisos de comunicación, podría ser una gran ayuda para DIVD.
OITVoip
Becky: ¿Por qué era importante para ti involucrar a tu empresa en esta iniciativa?
Ray Orsini, CEO (OITVoip): Así como los MSP tienen una responsabilidad con sus clientes, creo que nosotros, los proveedores, tenemos una responsabilidad con los MSP a los que servimos. Sin embargo, muchos de nosotros nos vimos limitados por no contar con los recursos internos necesarios para implementar correctamente un programa que no solo apoyara, sino que también animara a los investigadores de seguridad éticos a compartir información. Esta iniciativa baja considerablemente la barrera para que cualquier proveedor pueda participar, sin importar su tamaño.
Becky: ¿Qué crees que deberían hacer los proveedores de MSP para que la ciberseguridad sea más segura para sus socios en 2022?
Ray: Todo se trata de transparencia y comunicación. No es ningún secreto que los MSP han sido blanco de actores maliciosos. Las aseguradoras también vigilan de cerca a los MSP para que cumplan con los requisitos de cobertura.
Si bien las prácticas del MSP definitivamente cumplen un papel clave, los MSP no siempre tienen control sobre el software que implementan. Por eso necesitamos ser lo más transparentes posible cada vez que ocurre un incidente, para que el MSP pueda tomar las medidas adecuadas. También me gustaría ver a más proveedores asumir un papel más activo para ayudar a los MSP a preparar sus guías de respuesta a incidentes.
Becky: ¿Algo más que quieras decir sobre DIVD, esta iniciativa o la comunidad?
Ray: Como exMSP y actual proveedor, agradezco a Huntress y DIVD por sus esfuerzos combinados en nuestra comunidad. También felicito a los primeros proveedores que se han sumado para reconocer el valor de esta iniciativa y se han comprometido a donar.
Con ese fin, trabajaré con Jason Slagle de CNWR para crear un taller sobre el Programa de Divulgación de Vulnerabilidades (VDP) donde ayudaremos a cualquier proveedor a crear un programa con todos los elementos apropiados necesarios para una divulgación y respuesta responsables. Y quiero agradecer públicamente a Huntress por patrocinar nuestro programa para el beneficio de la comunidad.
* Nota del editor: Actualizaremos este blog tan pronto como tengamos más detalles sobre el taller de VDP.
Appgate
Becky: ¿Por qué era importante para ti involucrar a tu empresa en esta iniciativa?
Marc Inderhees, Senior Director of MSP Channel Sales (Appgate): Estamos encantados de tener la oportunidad de apoyar a DIVD. Es fundamental que los proveedores inviertan en la comunidad. Los MSP son la primera línea de defensa y necesitan nuestro respaldo e inversión para proteger adecuadamente a sus clientes.
Becky: ¿Qué crees que deberían hacer los proveedores de MSP para que la ciberseguridad sea más segura para sus socios en 2022?
Marc: Además de apoyar a DIVD, soy un gran defensor de la capacitación en ciberseguridad para los MSP y de asegurarme de que tengan las mismas herramientas disponibles para implementar internamente de manera rentable y proteger sus entornos.
Becky: ¿Algo más que quieras decir sobre DIVD, esta iniciativa o la comunidad?
Marc: Esperemos que este sea el comienzo de un esfuerzo creciente y duradero de los proveedores para apoyar a la comunidad de MSP.
Taylor Business Group
Becky: ¿Por qué era importante para ti involucrar a tu empresa en esta iniciativa?
Michael France, Managing Partner (Taylor Business Group): Hay muchos programas de recompensas por parte de los fabricantes para incentivar a los hackers éticos. Al apoyar a DIVD, creemos que llegará más dinero a los hackers éticos para identificar los riesgos, haciendo que el software que usa la comunidad de MSP sea más seguro.
Becky: ¿Qué crees que deberían hacer los proveedores de MSP para que la ciberseguridad sea más segura para sus socios en 2022?
Michael: ¡Comunicación! Seguir hablando con los dueños de MSP en eventos, a través de seminarios web y con acceso directo a comunidades como Taylor Business Group.
Becky: ¿Algo más que quieras decir sobre DIVD, esta iniciativa o la comunidad?
Michael: Como hemos visto en nuestros miembros, la seguridad se ha convertido tanto en una oportunidad de crecimiento como en un riesgo para su negocio; por ejemplo, los costos de seguros han subido. Esperamos que la iniciativa de DIVD reduzca algunos de estos riesgos.
Blumira
Becky: ¿Por qué era importante para ti involucrar a tu empresa en esta iniciativa?
Jeremy Young, Director of Partner Strategy (Blumira): El programa de ciberseguridad perfecto puede descarrilarse en un instante por la vulnerabilidad adecuada. Como proveedores de software para las SMB y los MSP, que son el motor de la economía global, debemos hacer todo lo posible para mitigar estos riesgos para nuestros clientes. Apoyar a organizaciones como DIVD, que trabajan para hacer que toda la comunidad sea más segura, es una decisión fácil de tomar, y una que animamos a nuestros colegas proveedores y socios de MSP a sumarse también.
Puedes leer más sobre el compromiso de Blumira para fortalecer las asociaciones con la comunidad y mejorar la seguridad de los MSP y las SMB en su blog.
Servosity
Becky: ¿Por qué era importante para ti involucrar a tu empresa en esta iniciativa?
Damien Stevens, CEO (Servosity): Me entusiasma ser socio de DIVD y Huntress en la lucha contra el cibercrimen. Los MSP saben que una copia de seguridad inmutable y rigurosamente probada es su última línea de defensa en caso de un ataque. Trabajar juntos como comunidad, de forma abierta y transparente, nos da la oportunidad de inclinar la balanza a favor del MSP, en lugar de que todo esté en su contra.
Respuesta de los MSP
La verdad es que no habríamos podido llevar a cabo esta iniciativa sin nuestros amigos que trabajan en MSP. Estos expertos ayudaron a dar forma a nuestra estrategia para hacer que su mundo sea un poco más seguro este año, y tal vez incluso ahorrarles uno que otro dolor de cabeza.
Nuestro amigo Kelvin Tegelaar, CTO y copropietario de Lime Networks, conversó con nosotros sobre lo que estas donaciones significarán para toda la comunidad de MSP:
"Para toda nuestra comunidad, esto cambia las reglas del juego, ya que permite que los expertos en seguridad encuentren problemas en nuestro software antes de que se conviertan en un incidente grave, sin temor a represalias."
Nuestro amigo y habitual de hack_it, Jason Slagle, presidente de Tecnología en CNWR, Inc., también compartió algunas palabras sobre lo que espera ver de la comunidad de proveedores de MSP este año:
“El sector de los MSP necesita una dosis de transparencia por parte de nuestros proveedores. Durante demasiado tiempo hemos estado a merced de proveedores que muchas veces optan por no divulgar vulnerabilidades que podrían habernos afectado a nosotros o a nuestros clientes.
“Espero que, con la ayuda de DIVD y su enfoque de divulgación y transparencia, podamos empezar a cambiar la cultura hacia una de apertura, en la que todos nos beneficiemos al saber que nuestros proveedores toman en serio la seguridad, y en la que todos aprendamos de las lecciones que ellos van dejando en el camino.”
Cómo puedes participar
Si te interesa participar en esta iniciativa, ponte en contacto con nosotros:
- Puedes contactar a Huntress aquí
- Puedes obtener más información sobre el programa de recompensas por errores aquí
- Puedes contactar directamente a DIVD sobre el programa de recompensas en [email protected]
¿Quieres saber más sobre el programa de recompensas por errores y por qué otros proveedores se están sumando? Mira nuestro seminario web bajo demanda Leaving the Silo: A Panel Discussion with DIVD and MSP Vendors.
