Atacar sin avisar

Ataques continuos: Los ataques a los sistemas de tu organización deben realizarse para encontrar vulnerabilidades que permitan a atacantes malintencionados tomar el control de tus operaciones y activos de información. La palabra "continuos" significa que estos ataques deben seguir una frecuencia específica y estable (trimestral, semestral, etc.). Cuando esta política no está estipulada, las organizaciones tienden a detener nuevos ataques con la excusa de no poder solucionar las vulnerabilidades encontradas en el ciclo anterior. Una vez que tu organización aplique sabiamente esta política, podrás dar un paso más hacia la siguiente.

Intrusión total: Esta política es la consecuencia directa de las dos anteriores. El red team debe disponer de una autorización completa en papel y correo electrónico y de todas las formas de protección legal de la más alta autoridad de la empresa (es decir, el CEO o el director) para aplicar cualquier táctica ofensiva con el fin de obtener información, modificar datos, acceder a los puestos de trabajo o desconectar servicios. Todo debe estar permitido para garantizar la máxima rigurosidad y comprometer la seguridad al más alto nivel. Si no se pone en práctica esta política, los hackers éticos o de sombrero blanco que hayas contratado tendrán las manos atadas y estarán limitados en su identificación de vulnerabilidades. Tendrán restringidas las posibilidades de explorar los caminos por los que podrían moverse los atacantes malintencionados y de detectar los problemas de seguridad que deberías remediar. Al final, si no encuentran nada significativo en las pruebas de penetración, seguramente se deberá a las limitaciones que impusiste al red team. En consecuencia, tu incertidumbre sobre la seguridad de tu organización podría aumentar o, para empeorar las cosas, podrías pensar, equivocadamente, que todo está protegido.

Coherencia: Si preguntas a los directivos "Entre disponibilidad y confidencialidad, ¿qué es lo más importante?" la mayoría de las veces, la respuesta será "ambas". Pero si les preguntas ¿Apagaría sus servidores ante la presencia de un atacante?". Responder "sí" situaría la confidencialidad por encima de la disponibilidad. Sin embargo, la respuesta típica es que mantendrían sus servidores en funcionamiento e intentarían lidiar con el atacante. Es habitual que en la lista de prioridades las organizaciones sitúen la disponibilidad por encima de la confidencialidad y la integridad. Aunque para ellas la disponibilidad es el elemento más importante de la tríada, resulta paradójico que muchas no autoricen a los red teams a evaluar sus capacidades defensivas contra ataques DoS (denegación de servicio). En este caso, la invitación es la siguiente: convierte tus restricciones en motivaciones para recibir ataques de un red team. De este modo, puedes comprobar con la ayuda de un aliado lo vulnerable que es tu empresa a los atacantes maliciosos.