El SOC de Kyndryl: operativo 24/7 con una estructura de tres niveles de alerta
Antes del simulacro, hemos podido conocer las claves de este SOC de Kyndryl de la mano de Nacho Hontoria, responsable de servicios de seguridad de la compañía en España y Portugal, quien nos ha hecho una visita guiada por la instalación.
Según nos ha explicado, este es uno de los siete SOC que tiene la compañía a nivel global y está construido bajo los estándares del Esquema Nacional de Seguridad de nivel alto. La sala no tiene falsos techos y dispone de una electrónica independiente de la del resto del edificio, del que también está aislado en términos de conectividad, con sistemas de alimentación ininterrumpida que cuentan con una autonomía de entre 8 y 9 horas. Gracias a esta autonomía, el SOC pudo seguir trabajando durante el apagón masivo del pasado 28 de abril y, si se hubiera prolongado, habría podido continuar operando desde el centro que tiene la compañía en Torrejón, donde la autonomía es de 72 horas. Además, el SOC de Madrid, atendido 24×7, tiene una réplica en Salamanca para garantizar su operatividad.
En cuanto al desarrollo de su actividad, Hontoria ha señalado que actualmente el SOC está integrado por 75 operadores estructurados en tres niveles, en función del grado de gravedad de la alerta.
«Todas las alertas las gestiona la gente de operación. En caso de que ellos no sean capaces de responder a la alerta, la transfieren al nivel 2, que a su vez la escala al nivel 3 si detecta que la incidencia tiene un alto impacto en el cliente. En ese punto, interviene nuestro equipo de respuesta a incidentes críticos, que toma el mando de las operaciones y todos nos ponemos a su disposición siendo ellos los que marcan las medidas de seguridad a tomar, mientras los equipos IP ayudan a revertir la situación», ha detallado.
Asimismo, ha remarcado que una de las principales causas de los incidentes de ciberseguridad es una deficiente protección de los sistemas, aunque la mayoría están desencadenados por fallos humanos. «El 90% de los ataques que vemos se producen a través de personas. Por este motivo, estamos haciendo mucho énfasis en la concienciación, porque, aunque las empresas son cada vez más conscientes de la necesidad de estar protegidas, los usuarios son un punto de acceso extremadamente crítico«.
Hontoria también ha destacado que este SOC de Kyndryl forma parte de la Red Nacional de SOC, que promueve el intercambio de información entre todos los SOCs a nivel nacional para mejorar la respuesta a los ciberataques. Además, ha subrayado la evolución que ha experimentado el SOC de Kyndryl, que ha pasado de ser un equipo reactivo, que actuaba cuando saltaba una alerta, a convertirse en reactivo.
«Ahora intentamos ir un paso por delante de los malos, lo cual es complicado. De hecho, tenemos un equipo que básicamente se dedica a identificar amenazas para trasladarlas a nuestros sistemas y evitar que se produzcan brechas de seguridad», ha apuntado el responsable de servicios de seguridad de Kyndryl.
Finalmente, cabe resaltar que este SOC, acreditado con las principales certificaciones (ISO, CSIRT y FIRST) permite a las organizaciones externalizar su ciberseguridad, bien de forma selectiva u optando por una gestión integral.
Simulacro de ciberataque de ransomware
El ejercicio Tabletop ha sido adaptado para la prensa, recreando un ciberataque a un diario online ficticio –denominado La K Curiosa–, al que los periodistas hemos tenido que responder encarnando cada uno un rol directivo de este medio de comunicación. Los puestos asignados han sido seis cargos de alta dirección –director general (CEO), director legal (CLO), director de comunicación (CCO), director de operaciones (COO), director de tecnología y seguridad (CISO) y líder técnico–, que hemos ejercido contando con el apoyo de los dos expertos de Kyndryl que han guiado el simulacro: Paco Guirado –associate director, security and resiliency Consult de la compañía en España y Portugal– y Blanca Ruiz –cybersecurity senior consultant, también en la península ibérica.
La crisis comienza con la página web del diario mostrando un mensaje que denota haber sufrido un hackeo, lo que no tarda en confirmarse: los servidores han sido comprometidos por una banda de ransomware que ha cifrado el contenido y ha dejado el portal inoperativo. El incidente escala de forma que, en menos de 48 horas, los atacantes hacen pública información robada, que incluye fuentes confidenciales, correos internos y datos personales de suscriptores. Esta filtración desencadena una crisis reputacional, legal y ética, mientras el diario se enfrenta a una enorme presión en medios y redes sociales.
Una semana después, tras mucho esfuerzo, el periódico consigue recuperar sus sistemas gracias a las copias de seguridad, aunque las consecuencias a nivel de reputación, confianza y cumplimiento normativo persisten. El equipo de ciberseguridad elabora un informe de lecciones aprendidas sobre el ciberataque, que atribuye a un correo de phishing que permitió el acceso a los atacantes. Dicho informe recoge un análisis del impacto del ataque y ofrece unas recomendaciones ejecutivas para prevenir nuevos incidentes en el futuro.
Durante la hora que ha durado aproximadamente el ejercicio, los participantes hemos tenido que ir tomando decisiones en función de nuestros respectivos roles, cuyas responsa
El enfoque de ciberresiliencia de Kyndryl
Este simulacro de ciberataque ha sido diseñado siguiendo el enfoque de Kyndryl Cyber Resilience Framework, que busca ayudar a las organizaciones a resistir y recuperarse frente a ciberataques. No se trata solo de tecnología, sino de procesos, personas y comunicación. Los cinco pilares sobre los que se sustenta son:
- Identificación: se analizan las vulnerabilidades y riesgos específicos del escenario.
- Protección: se plantean las capas de protección necesarias, desde accesos hasta redes y datos.
- Detección: simulan los mecanismos de detección temprana que habrían permitido frenar el ataque antes de su escalada.
- Respuesta: evalúan las decisiones estratégicas y la coordinación entre departamentos: comunicación, legal, TI, etc.
- Recuperación: demuestran cómo una infraestructura preparada, con backups, plataformas híbridas y respuesta forense, permite recuperar la actividad en el menor tiempo posible.
A modo de conclusión, Kyndryl destaca que la ciberresiliencia no es un producto, sino una estrategia en la que la comunicación es clave, la normativa ayuda (si se cumple adecuadamente) y la función de todos los departamentos es determinante para hacer frente a los ciberataques de forma efectiva.
Deja una respuesta