Ciberseguridad: comprender el comportamiento de la organización
Desde hace años, la ciberseguridad se ha concentrado principalmente en la protección de las infraestructuras: cortafuegos, antivirus, detección de intrusiones, cifrado, segmentación de redes y control de accesos. Estos mecanismos siguen siendo esenciales, pero responden sobre todo a una pregunta técnica: ¿qué está ocurriendo en la red? Ahora bien, otra pregunta se vuelve hoy igual de importante:
¿Se está comportando esta organización, en este preciso momento, como debería comportarse normalmente?
Rutinas, hábitos, horarios, lugares, comportamientos, etc.: cada empresa posee una firma operativa que le es propia. Los empleados llegan a ciertas horas, los sistemas intercambian datos siguiendo ciclos previsibles, las copias de seguridad se ejecutan en momentos determinados, las aplicaciones consumen una cantidad relativamente estable de ancho de banda y las distintas áreas siguen hábitos que evolucionan lentamente con el tiempo. Esta estabilidad constituye una fuente de información extremadamente valiosa.
Al igual que los medidores inteligentes que hoy permiten seguir en tiempo real el consumo de agua o de electricidad de un edificio, se vuelve posible observar el comportamiento digital de una organización. No solo midiendo la cantidad de ancho de banda consumida, sino también identificando qué usuarios, qué aplicaciones, qué equipos y recursos o qué procesos están en el origen de ese consumo.
La inteligencia conductual permite establecer un perfil operativo normal de la empresa. Así, cuando un usuario transfiere de repente un volumen inusual de datos, cuando un servidor se comunica con destinos nunca solicitados anteriormente, cuando un equipo permanece muy activo durante un período en que la empresa está normalmente en reposo o cuando una aplicación consume un ancho de banda incompatible con su uso habitual, esas desviaciones se vuelven inmediatamente visibles.
Estas situaciones no significan automáticamente que haya un ciberataque en curso. Constituyen, sin embargo, indicadores que merecen comprenderse e investigarse con rapidez. Un intento de intrusión, un programa malicioso, un error de configuración, una fuga de datos, un proceso defectuoso o incluso un simple cambio operativo pueden producir todos una ruptura del comportamiento esperado. Este enfoque no reemplaza las herramientas tradicionales de ciberseguridad. Las complementa añadiendo una dimensión a menudo poco aprovechada: la comprensión del funcionamiento normal de la organización.
Podríamos calificar este enfoque de inteligencia conductual de los flujos digitales o de perfilado conductual de las infraestructuras digitales. Su objetivo ya no es únicamente vigilar los equipos, sino aprender cómo funciona la organización para reconocer de inmediato cuándo se aparta de su comportamiento esperado.
A medida que las empresas adoptan más servicios en la nube, inteligencia artificial, objetos conectados y automatización, los intercambios digitales se vuelven cada vez más numerosos y más complejos. En este contexto, la capacidad de identificar rápidamente una anomalía de comportamiento se convertirá en un complemento natural de los mecanismos clásicos de ciberseguridad.
Quantum Beyond considera que la ciberseguridad del mañana se apoyará tanto en la comprensión del comportamiento normal de una organización como en la protección de sus infraestructuras. Una organización verdaderamente resiliente no solo es capaz de bloquear un ataque: es capaz de reconocer, casi al instante, cuándo ha dejado de comportarse como debería.