Antes de que un nuevo producto de software llegue al mercado, se prueban las vulnerabilidades. Toda empresa responsable lleva a cabo estas pruebas, con el fin de proteger tanto a sus clientes como a sí misma de las ciberamenazas.
En los últimos años, los desarrolladores han confiado cada vez más en el crowdsourcing para realizar investigaciones de seguridad. Pero, ¿qué es exactamente la seguridad colaborativa? ¿Cómo funciona y cómo se compara con otros métodos comunes de evaluación de riesgos?
Cómo funciona la seguridad colaborativa
Organizaciones de todos los tamaños han utilizado tradicionalmente pruebas de penetración para asegurar sus sistemas. La prueba de penetración es esencialmente un ataque cibernético simulado que está destinado a exponer fallas de seguridad, tal como lo haría un ataque real. Pero a diferencia de un ataque real, una vez descubiertas, estas vulnerabilidades se reparan. Esto aumenta el perfil de seguridad general de la organización en cuestión. Suena simple.
Pero hay algunos problemas evidentes con las pruebas de penetración. Por lo general, se realiza anualmente, lo que simplemente no es suficiente, dado que todo el software se actualiza periódicamente. En segundo lugar, debido a que el mercado de la ciberseguridad está bastante saturado, las empresas de pruebas de penetración a veces "encuentran" vulnerabilidades donde realmente no las hay para justificar el cobro de sus servicios y diferenciarse su competencia. Luego también hay preocupaciones presupuestarias: estos servicios pueden ser bastante costosos.
La seguridad colaborativa funciona en un modelo completamente diferente. Gira en torno a invitar a un grupo de personas a probar el software en busca de problemas de seguridad. Las empresas que utilizan pruebas de seguridad colaborativas extienden una invitación a un grupo de personas, o al público como tal, para probar sus productos. Esto se puede hacer directamente o a través de una plataforma de crowdsourcing de terceros.
Aunque cualquiera puede unirse a estos programas, es principalmente hackers éticos (hackers de sombrero blanco) o investigadores, como se les llama dentro de la comunidad, que participan en ellos. Y participan porque generalmente hay una recompensa económica decente por descubrir una falla de seguridad. Obviamente, depende de cada empresa determinar las sumas, pero se puede argumentar que el crowdsourcing es más barato y más efectivo a largo plazo que las pruebas de penetración tradicionales.
En comparación con las pruebas de penetración y otras formas de evaluación de riesgos, el crowdsourcing tiene muchas ventajas diferentes. Para empezar, no importa qué tan buena sea la empresa de pruebas de penetración que contrate, es mucho más probable que un gran grupo de personas que buscan constantemente vulnerabilidades de seguridad las descubran. Otra ventaja obvia del crowdsourcing es que cualquier programa de este tipo puede ser abierto, lo que significa que puede ejecutarse continuamente, por lo que las vulnerabilidades se pueden descubrir (y reparar) durante todo el año.
3 tipos de programas de seguridad colaborativos
La mayoría de los programas de seguridad colaborativos se centran en el mismo concepto básico de recompensar financieramente a quienes descubren una falla o vulnerabilidad, pero se pueden agrupar en tres categorías principales.
1. Recompensas de errores
Prácticamente todos los gigantes tecnológicos, desde Facebook, pasando por Apple, hasta Google, tienen una programa de recompensas por errores. Su funcionamiento es bastante simple: descubre un error y recibirás una recompensa. Estas recompensas van desde un par de cientos de dólares hasta unos pocos millones, por lo que no es de extrañar que algunos piratas informáticos éticos ganen ingresos a tiempo completo descubriendo vulnerabilidades de software.
2. Programas de divulgación de vulnerabilidades
Los programas de divulgación de vulnerabilidades son muy similares a las recompensas por errores, pero hay una diferencia clave: estos programas son públicos. En otras palabras, cuando un hacker ético descubre una falla de seguridad en un producto de software, esa falla se publica para que todos sepan de qué se trata. Las empresas de ciberseguridad a menudo participan en estos: detectan una vulnerabilidad, escriben un informe al respecto y ofrecen recomendaciones para el desarrollador y el usuario final.
3. Colaboración colectiva de malware
¿Qué sucede si descarga un archivo, pero no está seguro de si es seguro ejecutarlo? Cómo comprobar si es malware? Si logró descargarlo en primer lugar, su paquete de antivirus no pudo reconocerlo como malicioso, entonces lo que puede hacer es dirigirse a VirusTotal o un escáner en línea similar y cargarlo allá. Estas herramientas agregan docenas de productos antivirus para verificar si el archivo en cuestión es dañino. Esto también es una forma de seguridad colaborativa.
Algunos argumentan que el delito cibernético es una forma de seguridad colaborativa, si no la forma definitiva. Este argumento ciertamente tiene mérito, porque nadie está más incentivado para encontrar una vulnerabilidad en un sistema que un actor de amenazas que busca explotarlo para obtener ganancias monetarias y notoriedad.
Al final del día, los delincuentes son los que, sin darse cuenta, obligan a la industria de la ciberseguridad a adaptarse, innovar y mejorar.
El futuro de la seguridad colaborativa
Según la firma de análisis Perspectivas futuras del mercado, el mercado global de seguridad colaborativa seguirá creciendo en los próximos años. De hecho, las estimaciones dicen que tendrá un valor de alrededor de $ 243 millones para 2032. Esto no se debe solo a las iniciativas del sector privado, sino también a que los gobiernos de todo el mundo han adoptado seguridad colaborativa: varias agencias del gobierno de EE. UU. tienen programas activos de divulgación de vulnerabilidades y recompensas por errores, por ejemplo ejemplo.
Estas predicciones sin duda pueden ser útiles si desea medir en qué dirección se está moviendo la industria de la ciberseguridad. pero no hace falta ser economista para darse cuenta de por qué las entidades corporativas están adoptando un enfoque de crowdsourcing para la seguridad. Cualquiera que sea la forma en que mire el problema, los números se verifican. Además, ¿cuál podría ser el daño de tener un grupo de personas responsables y confiables que controlen sus activos en busca de vulnerabilidades los 365 días del año?
En resumen, a menos que algo cambie drásticamente en la forma en que los actores de amenazas penetran en el software, es más que probable que veamos programas de seguridad colaborativos apareciendo a diestra y siniestra. Esta es una buena noticia para los desarrolladores, los hackers de sombrero blanco y los consumidores, pero una mala noticia para los ciberdelincuentes.
Crowdsourcing de seguridad para proteger contra el ciberdelito
La ciberseguridad ha existido desde la primera computadora. Ha tomado muchas formas a lo largo de los años, pero el objetivo siempre ha sido el mismo: proteger contra el acceso no autorizado y el robo. En un mundo ideal, no habría necesidad de ciberseguridad. Pero en el mundo real, protegerse marca la diferencia.
Todo lo anterior se aplica tanto a empresas como a particulares. Pero mientras que la persona promedio puede mantenerse relativamente segura en línea siempre que siga los protocolos de seguridad básicos, las organizaciones requieren un enfoque integral para las amenazas potenciales. Dicho enfoque debe basarse principalmente en la seguridad de confianza cero.
