¿Las empresas necesitan contratar sus propios hackers?

Desde hace algunos años, Google ofrece recompensas de decenas de miles de dólares a los hackers que descubran y reporten fallos de vulnerabilidad en sus servicios. Es tal la importancia que la empresa da a esto, que en los últimos 3 años ha pagado más de 3 millones de dólares a través de sus programas Android Security Rewards y Google Play Security Rewards. 

¿Por qué Google hace esto? La respuesta es muy sencilla: Un agente externo, ajeno a la cultura de una empresa, tiene una perspectiva diferente que puede aportar mucho al momento de lograr objetivos. En el ámbito de la ciberseguridad, un hacker aporta habilidades, experiencia y mentalidad diferentes que pueden derivar en un cambio de paradigma a lo que entendemos como seguridad.

La ciberseguridad centrada en eventos, con una visión binaria de las situaciones (bueno-malo, prohibido-permitido, etc), no basta frente a la interconectividad de hoy. A medida que los puntos de contacto aumentan, también aumentan los riesgos de una brecha. Hoy en día, mantener visibilidad y control sobre cada aspecto de la información requiere pensar fuera de lo tradicional y adelantarse a los atacantes.

Hackers de sombrero blanco y sombrero negro

El espectro de lo que se conoce como hacker es bastante amplio. Esta palabra, que suele asociarse a ciberdelitos, en realidad es un término con el que se llama a las personas con extensos conocimientos sobre ciberseguridad y tecnología.

Lo que comúnmente entendemos como hacker, es lo que dentro de la comunidad informática se conoce como cracker o hacker de sombrero negro: personas que utilizan sus conocimientos para acceder a sistemas o datos no autorizados. Por otro lado, los hackers de sombrero blanco, también conocidos como hackers éticos, son aquellos que se alejan de estas prácticas y se ponen al servicio de las compañías como agentes de ciberseguridad.

Si se planea contratar un hacker, es importante tomar en cuenta esta distinción, ya que una entrevista de trabajo o una verificación de sus habilidades no es suficiente. La reputación de un hacker, sus acciones en el pasado y sus motivaciones, son las principales características que una empresa debe investigar.

¿Qué puede aportar un hacker a una empresa?

Con el termino de Hacking Ético se conoce a la práctica de contratar hackers para realizar ataques a los sistemas de seguridad y redes de una empresa, con el objetivo de poner a prueba la infraestructura IT y localizar vulnerabilidades, para luego reportarlas y sugerir cambios. A diferencia de los análisis estándar realizados por el equipo de seguridad, la principal ventaja del hacking ético es que emula lo más posible un ataque real, incluyendo la intención y forma de pensar del atacante.

Existen cuatro tipos de pruebas que suelen realizar los hackers éticos en conjunto con las empresas que los contratan:

Pruebas externas: Son ataques destinados a comprobar los servidores y dispositivos que son visibles desde el exterior, para identificar riesgos en los principales puntos de contacto con el público.

Pruebas internas: Cuando el ataque se origina desde un usuario autorizado, la situación puede complicarse rápidamente. Este tipo de pruebas, así como las soluciones de análisis conductual implementadas por Forcepoint en sus herramientas de seguridad, pueden ayudarle a revisar los protocolos y políticas de acceso a datos no indispensables entre el personal de la compañía.

Pruebas ciegas: El hacker recibe información mínima por parte de la empresa, por lo que debe recurrir a sus habilidades para investigar y explotar las vulnerabilidades del sistema tal y como haría un atacante externo. Son ideales para descubrir brechas que pudieron haber pasado desapercibidas en otro tipo de estudios.

Pruebas doble ciegas: Además de proporcionar poca información al hacker, tampoco se les informa a los empleados sobre la prueba, de manera que se puedan analizar los protocolos de monitoreo y respuesta ante un ataque. Este tipo de prueba no solo mide el impacto del ataque en los sistemas, sino también los elementos humanos que intervienen en la ecuación, como el estrés, el cansancio y la motivación de los equipos de seguridad.

Implementar medidas de seguridad vanguardistas puede hacer por su compañía mucho más que proteger datos. Los problemas modernos requieren soluciones modernas. Las soluciones de Forcepoint, por ejemplo, son pioneras en la implementación de aprendizaje automatizado en la detección de amenazas. Contratar un hacker para su compañía puede ser el cambio que necesita su equipo IT.

Una sola brecha de seguridad puede poner en riesgo la estabilidad financiera de una organización en cuestión de minutos. Es importante no tomar las amenazas a la ligera y mantenerse en constante evolución para resguardar los datos sensibles de su empresa.

Metadescripción: La ciberseguridad moderna requiere cooperación entre diferentes partes. Un hacker puede dar una visión única al problema.