La disciplina de la inteligencia, particularmente en el contexto de operaciones cibernéticas, presenta una serie de conceptos y procesos formales que pueden parecer una distracción o algo irrelevante para las necesidades prácticas de las pequeñas y medianas empresas (SMB). Si bien los requisitos de inteligencia, incluidos los requisitos prioritarios de inteligencia (PIR) y conceptos similares, cumplen un papel crucial en la seguridad nacional, los métodos convencionales para desarrollar, refinar y documentar estos requisitos pueden parecer excesivos a nivel de las SMB.
Sin embargo, es esencial un enfoque equilibrado, que se puede lograr si se enfoca en los beneficios organizacionales de los requisitos de inteligencia sin quedar atrapado en procesos excesivos.
Inteligencia y toma de decisiones
La inteligencia como concepto se centra principalmente en la toma de decisiones, pero no como un fin en sí mismo. Los interesados dentro de una organización, ya sea una potencia militar gigantesca o incluso una pequeña imprenta, deben tomar decisiones frente a la incertidumbre. La inteligencia trabaja para reducir —pero no eliminar— esta incertidumbre, con el fin de habilitar acciones mejores y más relevantes dentro del alcance de los objetivos de la organización. Como se ve en el siguiente gráfico, podemos ver la inteligencia como una práctica en la que el universo de todas las observaciones posibles se reduce mediante la recolección a puntos de datos relevantes, que a su vez se refinan en información y finalmente en inteligencia completa mediante procesos de análisis y producción.
Refinamiento de observaciones hacia la inteligencia
El resultado final de este refinamiento debería ser una guía relevante y asistencia similar para impulsar la toma de decisiones organizacionales. En el sentido más amplio, esto puede abarcar desde elementos de inteligencia empresarial, como estrategias de precios e inversión, hasta inteligencia competitiva sobre lo que buscan lograr los rivales de la organización. Para nuestros propósitos, nos enfocamos en la inteligencia de ciberamenazas (CTI).
La CTI se suele ver como un flujo de indicadores u otros elementos técnicos observables para alimentar listas de bloqueo de firewall o similares. Sin embargo, esto ignora la enorme variedad de decisiones potenciales en torno a la tecnología de la información, su uso y las políticas que la rigen, las cuales la inteligencia puede informar y mejorar de manera significativa. Por ejemplo, la inteligencia puede ayudar a guiar la inversión en productos (más allá de los específicos de seguridad) con base en observaciones del panorama de amenazas, determinar políticas como la migración a servicios en la nube, o incluso orientar el tipo y la naturaleza del security awareness training que ofrece la organización. Tanto quienes practican como quienes consumen CTI deben liberarse de una visión demasiado específica de esta disciplina y adoptar una perspectiva más amplia, entendiendo la variedad de decisiones que se apoyan y mejoran con su aplicación.
Sin embargo, esta visión expansiva de la CTI plantea un problema. Dentro de este campo de responsabilidad mucho más amplio, ¿dónde enfoca la CTI sus esfuerzos y qué prioridades existen para su ejercicio? Con tiempo, recursos y personal ilimitados, esto podría ser irrelevante, ya que todas las vías de interés posibles podrían investigarse al mismo tiempo, pero ninguna organización cuenta con esta combinación de capacidad ilimitada. En cambio, los recursos limitados en términos de personal, tiempo y fuentes técnicas de información deben priorizarse para alinearse con los objetivos de la organización y con las decisiones más importantes y relevantes para su éxito.
La necesidad de contar con requisitos
En este punto, la necesidad de contar con requisitos de inteligencia se vuelve evidente. En un entorno con recursos limitados, una revisión y un análisis exhaustivos de los requisitos se convierten en un mecanismo invaluable para guiar el análisis y la producción de inteligencia hacia las áreas más relevantes y beneficiosas para la organización a la que se apoya. Los requisitos de inteligencia, entonces, no se tratan de la inteligencia en sí misma, sino que se enfocan en cómo la inteligencia y sus resultados se relacionan con la organización a la que apoyan.
Dentro del ámbito de las grandes organizaciones, desarrollar requisitos precisos y significativos puede ser un proceso largo y complejo. Si se hace correctamente, los requisitos investigarían el propósito y los objetivos de la organización, los procesos mediante los cuales se logran esos objetivos, y luego identificarían a los responsables clave de la toma de decisiones detrás de esos procesos específicos. Estos interesados pueden entonces ser entrevistados para determinar necesidades, identificar brechas de conocimiento y enfocar los esfuerzos de inteligencia a lo largo del ciclo de inteligencia.
Dentro de la CTI específicamente, los interesados surgen desde el Chief Information Security Officer (CISO) o su equivalente hasta el líder del centro de operaciones de seguridad (SOC), con múltiples entidades intermedias potenciales entre ambos. Los esfuerzos de recolección estarán impulsados por los problemas y las preocupaciones que enfrentan estas audiencias, con un refinamiento, análisis y producción posteriores orientados a atender las decisiones que estos interesados deben tomar. Finalmente, la retroalimentación entra en la ecuación para determinar qué tan apropiados son los productos de inteligencia resultantes, desde los flujos de indicadores para el SOC hasta la orientación de políticas informada para el CISO, en función de los resultados deseados y las decisiones necesarias que enfrentan estas audiencias.
Si bien podemos admirar la minuciosidad de este enfoque y notar sus beneficios al impulsar una metodología precisa y basada en evidencia para construir y guiar un programa de inteligencia, también debemos admitir una falla crítica. La metodología descrita para la construcción de requisitos de inteligencia es costosa. Estos costos van desde el personal necesario para realizar un análisis tan profundo hasta el tiempo requerido para hacerlo bien. Estos costos pueden ser difíciles de justificar o, para las organizaciones más pequeñas que carecen de una función de CTI significativa o independiente, imposibles de asumir. Por eso existe la tentación de renunciar al proceso de requisitos y dejar que los recursos de CTI disponibles hagan lo que consideren «mejor» según su propia percepción de las necesidades y los valores.
Esta acción independiente puede terminar produciendo buenos resultados, pero, de ser así, estos resultados se deben casi más a la suerte que a la habilidad. En particular dentro del contexto de organizaciones complejas, entender la funcionalidad y las dependencias organizacionales completas es mucho pedirle a cualquier persona, y más aún priorizar cómo se relacionan estas funciones y cuáles requieren más apoyo. Dentro de funciones de seguridad de la información estrictamente definidas, podemos asumir que la CTI probablemente puede abarcar este campo más limitado de forma adecuada, pero incluso aquí persisten riesgos.
Por ejemplo, una revisión superficial de la mayoría de los medios de comunicación más importantes —como la que llegaría a los escritorios de los principales tomadores de decisiones de una organización— resaltaría la disrupción patrocinada por estados y elementos similares como los más relevantes y graves para una entidad. En cambio, un análisis más riguroso de los datos y los escenarios de impacto podría identificar el ransomware y el business email compromise (BEC) como lo más crítico para la organización misma. Cerrar esta brecha, lograr que se acepte el análisis producido y entender cómo y por qué estos enfoques analíticos son relevantes o se reflejan en la toma de decisiones organizacionales son tareas vitales para garantizar la relevancia y la eventual aplicación de la CTI.
En pocas palabras, la CTI dejada a su suerte se mantiene distante. La CTI puede seguir funcionando, producir resultados e incluso, en algunos casos, justificar su existencia, pero quedará desconectada de los propósitos y objetivos principales de la organización misma. Así, la CTI se convierte en algo que gira “sin fricción en el vacío” en lugar de ser un mecanismo de apoyo crítico para la toma de decisiones de seguridad.
Cómo traducir los requisitos más allá de las necesidades Empresariales
El argumento para las organizaciones grandes y con muchos recursos parece claro. Pero, ¿qué pasa con las entidades más pequeñas que enfrentan decisiones y riesgos de seguridad similares, pero que no tienen ni de cerca los recursos para participar en un proceso así?
En estas circunstancias, nosotros —ya sea como profesionales o consumidores de CTI— nos beneficiamos de ver el proceso de requisitos como un continuo de posibles resultados, en lugar de una decisión binaria. Es decir, existe una gama de posibles requisitos disponibles para nosotros, que va desde ignorar por completo el proceso de requisitos hasta las acciones exhaustivas de entrevistas e integración descritas anteriormente. Para la SMB (o el hospital, distrito escolar o gobierno local), un proceso de requisitos de CTI se ubica en algún punto entre estos extremos, determinado por una combinación de la capacidad de esa entidad para impulsar el proceso y el riesgo que enfrenta si no lo hace adecuadamente.
Las SMB deben equilibrar los beneficios del desarrollo de requisitos con los costos de hacerlo para llegar a un compromiso satisfactorio. Un mecanismo clave para lograr esto es entender qué no puede hacer la organización (o sus proveedores de servicios) de forma orgánica, y buscar apoyo externo cuando sea necesario.
En el caso de la inteligencia de negocios, los principales tomadores de decisiones de una SMB no cuentan con un departamento analítico que produzca análisis de mercado internos, pero sí recurrirán a publicaciones comerciales y medios similares para mantenerse informados sobre el entorno y así asegurar cierto entendimiento más allá de la capacidad orgánica de la organización. Por lo tanto, deberían buscarse soluciones similares en otros campos, incluido el de la CTI, dada la importancia de los sistemas de información para la salud y el funcionamiento continuo de casi todas las organizaciones en la economía moderna.
Llegamos así a la idea de externalizar el proceso de CTI, e incluso muchos de los elementos de desarrollo de requisitos, a terceros que puedan reunir esfuerzos de múltiples organizaciones para escalar la visión y el esfuerzo de manera adecuada y eficaz. Esto suena engañosamente simple, pero para los tomadores de decisiones más pequeños (o los proveedores de servicios que actúan en su nombre dentro del ámbito de TI), es fundamental identificar a aquellos proveedores que estén específicamente en sintonía con las necesidades y las amenazas de estas organizaciones. Por eso, es necesario hacer una evaluación y un filtrado críticos, ya que los resultados de inteligencia que son perfectamente relevantes y satisfactorios para un servicio de seguridad gubernamental o una gran empresa comercial suelen ser casi inútiles para la SMB o el proveedor de servicios enfocado en este tipo de entidades.
Para la SMB que reconoce la necesidad de impulsar la inversión y la toma de decisiones en TI mediante un proceso informado por inteligencia, o para los proveedores de servicios que lo hacen en nombre de varias de estas entidades, surgen preguntas críticas:
- ¿El proveedor entiende y reconoce el perfil de riesgo de mi organización, o de las organizaciones que apoyo?
- ¿El proveedor interactúa con entidades como la mía para aprender continuamente sobre las preocupaciones que enfrentan estas organizaciones y así perfeccionar ese entendimiento con el tiempo?
- ¿Ese proveedor entrega resultados que son relevantes y aplicables para la toma de decisiones de seguridad de mi organización?
- ¿Son razonables y justificables los costos asociados con este proveedor en relación con el valor agregado o creado mediante una posible asociación o relación con el socio?
Casi todas estas preguntas tienen equivalentes dentro de un proceso interno de generación de requisitos, pero aquí se simplifican en un lenguaje más propio de la adquisición de servicios, para impulsar la externalización de las funciones de CTI en organizaciones que simplemente no pueden desarrollar esa capacidad de forma orgánica. De esta manera, la organización (o el proveedor de servicios que actúa en su nombre) llega a un punto intermedio de nuestro continuo de requisitos anterior, obteniendo algunos de los beneficios de un proceso de generación de requisitos mientras evita los altos costos de un esfuerzo completo de requisitos de CTI. El resultado debería ser incorporar un recurso externo de CTI e inteligencia similar que pueda beneficiar la toma de decisiones de la SMB o del proveedor de servicios, impulsando así una mejor creación de valor y una asignación de recursos más eficiente.
Conclusión
La inteligencia sin requisitos puede existir, pero a menudo se encontrará perdida o será irrelevante. Sin embargo, desarrollar y perfeccionar los requisitos es, en sí mismo, un proceso costoso y que consume mucho tiempo.
Para organizaciones con recursos limitados como las pymes, es necesario encontrar un equilibrio entre prescindir por completo del apoyo de inteligencia y perseguir resultados de inteligencia inalcanzables. Identificar a las partes que mejor se alinean con las necesidades de la organización y entender el tipo de decisiones que enfrenta dicha organización también son aspectos críticos para garantizar el éxito. Ignorar o pasar por alto la relevancia de una posible fuente de CTI para la organización defendida o para las entidades socias implica el riesgo de desperdiciar recursos, mientras que omitir ese apoyo por completo significa que los responsables de tomar decisiones clave seguirán sin información vital para la supervivencia y el crecimiento de la entidad.
