Brian Wagner se erige como autoridad distinguida en ciberseguridad y cumplimiento, con una carrera que abarca más de dos décadas a la vanguardia de la innovación tecnológica. Su mandato notable incluye servir como jefe de cumplimiento de la división de servicios financieros de Amazon Web Services, donde desempeñó un papel fundamental en la configuración de los protocolos de seguridad para el sector financiero.
Actualmente, como director de tecnología de Revenir, Brian continúa liderando avances en la seguridad y las transformaciones de tecnología. Su amplia experiencia abarca posiciones clave en los gigantes de la industria como Cisco Systems y Ford Motor Company, subrayando su profunda experiencia en computación en la nube, gestión de riesgos y arquitectura de seguridad.
En esta entrevista exclusiva, profundizamos en las ideas de Brian sobre el panorama en evolución de las amenazas cibernéticas, las estrategias para que las empresas fortalezcan sus defensas en un entorno sin perimetral y la importancia crítica de los factores humanos en la ciberseguridad.
P: Según su experiencia, ¿cuál diría que es el factor principal detrás de las violaciones de datos en las organizaciones modernas?
Brian: “Lamentablemente, son los seres humanos. Los humanos confían inherentemente por naturaleza, es algo arraigado en nosotros. Estadísticamente, es objetivo que las vulnerabilidades más grandes están relacionadas con el phishing y, en última instancia, las personas son el punto más débil.
“Tradicionalmente, antes de que el correo electrónico se convirtiera en un vector de ataque importante, las exploits eran más físicas. Por ejemplo, alguien podía entrar en una oficina principal alegando que llegaron tarde a una entrevista de trabajo y solicitar que se imprima un CV. Se entregarían un palo USB, y una vez que se conectara, el sistema se vería comprometido.
“Hoy en día, especialmente con el trabajo remoto, el phishing ha aumentado. Pero no quiero apoyarme en el phishing para cada respuesta. En términos más generales, las personas desafortunadamente siguen siendo el vínculo más débil en cualquier organización cuando se trata de seguridad de datos”.
P: Para las empresas que buscan fortalecer sus defensas, ¿qué pasos prácticos recomendaría como las principales prioridades para protegerse contra los ataques cibernéticos?
Brian: “Creo que el consejo superior absoluto es algo fácil de implementar y realista. Entonces, número uno: use un administrador de contraseñas. Muchas de las violaciones que vemos ahora se deben a contraseñas o contraseñas reutilizadas ya filtradas en Internet. Ese es probablemente el paso más simple y efectivo que puede tomar.
“Otra área crítica es la vigilancia con los correos electrónicos. Si no está familiarizado con el término, el phishing es cuando los atacantes engañan a las personas para que revelen información: nombres de usos, contraseñas, datos bancarios, etc. En un contexto comercial, generalmente son credenciales que buscan, que luego se usan para obtener acceso y causar caos.
“No hay una sola acción para detener el phishing por completo, pero la conclusión clave es ser escéptica de todos los correos electrónicos.
“Un consejo más útil es habilitar la autenticación de múltiples factores (MFA), especialmente ahora que casi todas las herramientas están basadas en suscripción con inicios de sesión en línea. MFA significa que incluso si su contraseña está comprometida, el atacante aún necesitaría esa segunda capa de verificación. Sin ella, la contraseña sola es efectivamente inútil.
“Definitivamente hay más que decir, pero si estamos hablando de pasos simples y procesables que puede tomar hoy, esos están entre los más efectivos”.
P: ¿De qué manera la pandemia Covid-19 y el cambio hacia el trabajo remoto aumentaron las vulnerabilidades de ciberseguridad para las empresas?
Brian: “Absolutamente, tuvo un impacto significativo. El trabajo remoto definitivamente está en aumento. Trabajo desde casa yo mismo.
“Cuando estás en una oficina, estás en una red conocida, en un espacio conocido. ¿Es siempre la mejor configuración? Eso varía, pero al menos es predecible. Sabes dónde está el perímetro y cómo se estructuran las comunicaciones internas.
“Cuando trabaja desde casa, ese perímetro desaparece. Se disuelve. Ya no hay perímetro.
“Para usar una analogía, es como una fortaleza. En una fortaleza, protege las paredes, y se supone que cualquier persona adentro tiene algún nivel de confianza. Es lo mismo en una oficina, si está físicamente allí, probablemente haya pasado algunos controles de seguridad o que otros lo reconocan.
“Pero sin ese perímetro físico, la superficie de ataque digital se expande dramáticamente. Más dispositivos, más puntos de acceso, más riesgo. Y con eso viene una mayor oportunidad para los atacantes”.
P: Mirando hacia el futuro, ¿cuál anticipa que será la próxima evolución o estilo de ataque cibernético para el que las organizaciones deben prepararse?
Brian: “Esa es una gran. Creo que estamos haciendo un progreso real en áreas como la computación cuántica y otras tecnologías centradas en el futuro.
“A medida que crezca la potencia informática, llegará un punto en el que nuestros mecanismos de cifrado actuales ya no se mantengan. No digo que sea el próximo estilo de ataque que veremos, pero está en el horizonte.
“Si observa cómo funciona hoy el cifrado y cómo protegemos los datos digitales, hay un punto en el futuro no muy lejano en el que estas protecciones podrían romperse, ya sea por la computación cuántica o por sistemas significativamente más potentes.
“No se trata de pánico, sino de preparación. Estas evoluciones están llegando y debemos estar listos”.
P: Desde su introducción, ¿cómo ha influido GDPR la forma en que las empresas manejan y salvaguardan los datos personales?
Brian: “GDPR ha introducido un nivel significativo de responsabilidad, y ese fue el punto.
“Antes de GDPR, los datos a menudo se trataban de manera muy casual. Las empresas pensarían:” Recopilemos todo lo que podamos, tal vez podamos monetizarlo “. Para muchos, los datos fueron simplemente un flujo de ingresos.
“Pero GDPR te obliga a pensar realmente en cómo se usan y comparten esos datos. Ha causado inconvenientes para las empresas que no administraban los datos correctamente, han tenido que reestructurar cómo los almacenan y procesan.
“Pedir un consentimiento explícito de las personas no era algo a lo que la mayoría de las empresas estaban acostumbradas. Pero ahora, con GDPR en su lugar, existe un nuevo nivel de responsabilidad y consideración en el diseño de infraestructura y la protección de datos.
“En última instancia, eso es bueno, para todos. Beneficia tanto a las personas como a las empresas, y está empujando todo el mundo hacia una mejor higiene de datos y responsabilidad digital”.
Esta entrevista con Experto de ciberseguridad Brian Wagner fue realizado por Mark Matthews.