Conversatorio Parte1: «Resiliencia Empresarial: Continuidad del Negocio en el Mundo Digital».

En diciembre, se llevaron a cabo dos conversatorios dentro del segmento de Estrategia, Tecnología y Negocio de la Revista IT ahora. Estos tienen como objetivo abordar temas de interés compartidos por los líderes de IT de empresas ecuatorianas, quienes gestionan la tecnología en sus respectivas organizaciones.

En esta ocasión, tuvimos la oportunidad de discutir sobre «Resiliencia Empresarial: Continuidad del Negocio en el Mundo Digital». En el primer conversatorio, nos acompañaron Jorge Mena, ingeniero de Infraestructura de Coheco; Santiago Ávila, Jefe de Tecnología de Kywi; José Luis Noroña, Gerente de Tecnología de Teojama Comercial; Oscar Mera, Jefe de Infraestructura Corporativa de BMI Ecuador; Paúl Caicedo, Jefe de Infraestructura y Seguridad Informática de Asertec; Hernán Estrella, Jefe de Tecnología de Kubiec; Alex Garzón, Jefe de Sistemas de Chevy Seguros; Javier Romero, Subgerente de Infraestructura IT de Salud S.A.; y Yonny Holguín, Jefe Nacional de Sistemas de Industrias Ales y Leonardo Cárdenas, del IESS.

Para complementar la perspectiva de los líderes, también se unieron Felipe Patiño, especialista en almacenamiento de IBM Colombia, Patricio Camino, Gerente de Ventas; y Marcelo Chiriboga, vicepresidente de Producción de Soluciones Informáticas del Futuro, SIFUTURO.

Durante un intercambio de experiencias e ideas, se abordaron diversos temas de interés relacionados con las mejores prácticas para la recuperación de ataques, métodos, herramientas y estrategias. Además, se discutió el impacto financiero y reputacional que implica una amenaza a la continuidad de las operaciones en las organizaciones.

Yonny Holguín, Jefe Nacional de Sistemas de Industrias Ales, mencionó las acciones que desde las áreas de IT desarrollan para reducir las amenazas externas. Políticas de uso de USB, reglas de firewall centralizadas a un sistema de notificaciones les permite gestionar las amenazas. Señala que es frecuente las amenazas a través de correos electrónicos dirigidos que toman como referencia a actividades internas particulares de las organizaciones.  Frente a estas circunstancias, Holguín mencionó que realizan alertas con los usuarios internos y el uso de herramientas de antispam.

Al abordar el tema de la resiliencia, Oscar Mera, Jefe de Infraestructura Corporativa de BMI Ecuador, hizo hincapié en que no se puede garantizar que nunca se experimente un ataque. Por ello, resaltó la importancia de desarrollar la capacidad de respuesta ante tales situaciones: cómo reaccionaremos y qué acciones tomaremos en caso de enfrentar una vulnerabilidad. Subrayó la necesidad de empezar a trabajar en estas habilidades de resiliencia para estar preparados ante posibles eventualidades. «Debemos centrarnos en los planes y en cómo actuar durante esos momentos, trabajando en la recuperación de desastres y en la reacción y acciones del negocio al sufrir un incidente.»

El impacto reputacional que puede ocasionar una falla tecnológica varía dependiendo del tipo de servicio o negocio. Marcelo Chiriboga, vicepresidente de Operaciones de SIFUTURO, ejemplificó, que no responder a un correo electrónico de un cliente oportunamente por un evento de seguridad puede significar perder un negocio. Más allá, de eso, señaló que, en empresas grandes en Estados Unidos, el impacto reputacional frente a amenazas ha incidido inclusive en el cierre de compañías y pérdidas de empleo.

Alex Garzón, Jefe de Sistemas de ChevySeguros, destacó que la priorización sobre lo que se tiene que proteger en una organización es responsabilidad directa del negocio, de manera que es necesario realizar un análisis para determinar qué áreas tienen el mayor impacto, tanto en términos de reputación como económicos, en caso de sufrir algún tipo de afectación debido a una amenaza.

A pesar de que el departamento de tecnología posee un conocimiento completo de los recursos necesarios para implementar medidas de protección, la decisión sobre qué elementos proteger recae en el negocio. Por ende, resulta necesario, llevar a cabo procesos de capacitación y educación dentro de las diversas instancias de decisión en las empresas, a fin de concientizar sobre el impacto y las consecuencias de las amenazas y riesgos.

Santiago Ávila, Jefe de Tecnología de Kywi, compartió su experiencia en el uso de servidores Power de IBM. Destacó que la evaluación de la nube no cumplió con sus expectativas, por lo que optaron por replicar completamente la máquina. Ahora, mantienen el equipo fuera con replicación de backup, respaldos en cinta en un sitio alterno y los respaldos que realiza el AS 400.

Paúl Caicedo, Jefe de Infraestructura y Seguridad Informática de Asertec, mencionó que la compañía, desde hace cuatro años trabaja con AWS con su core en nube. Con el avance de AWS cambian también los paradigmas y las contingencias están en servidores en zonas distintas.

Las instituciones del sector público tienen una dinámica distinta al sector privado, Leonardo Cárdenas, del IESS, señaló que la institución está creando el área de seguridad de datos, y la actualización de la infraestructura a través de proyectos en ejecución con la adopción de servidores Power BI.

La capacitación al usuario sobre las amenazas de seguridad en todos los niveles es necesario. Para Hernán Estrella, Jefe de Tecnología de Kubiec, la modalidad de ataques ha cambiado de estar enfocados a la alta dirección. “Los atacantes se dieron cuenta que atacar a la parte alta de la pirámide no era rentable, y cambiaron y realizan mayor número de ataques”. El ejecutivo señaló que las organizaciones deben contar con normas más fuertes que deben ser seguidas por los colaboradores.

De otro lado, indicó que los costos del internet, puede resultar altos para determinadas industrias, de manera que sacar respaldos en la nube podría ser costoso. Adicional mencionó que han analizado internamente tener un tipo de resiliencia y es la inmutabilidad en los respaldos. Explicó que generalmente el atacante ingresa de unos 3 a 4 meses atrás, antes de explotar la vulnerabilidad.

Patricio Camino, Gerente de Ventas de SIFUTURO, recordó que es muy común que a través de las redes sociales como Linkedin se analice la información registrada e inteligencie los ataques. “Ese perfilamiento de los usuarios es usado por los atacantes, debido al cruce de información sobre intereses e inclusive empresas que siguen los usuarios personalizan los ataques”.

Jorge Mena, ingeniero de Infraestructura de Coheco, indicó la estrategia de backup que se emplea para garantizar la disponibilidad y la recuperación de datos en caso de desatres, consiste en respaldos en Azure localizado en otra región, bakck up de la base de datos de los principales sistemas y la ejecución de procesos de disaster recovery con tiempo de reacción de 20 minutos, de manera que si existe una caída del sistema se tenga el respaldo del servidor de Azure.

Felipe Patiño, especialista en almacenamiento de IBM Colombia, invitó a revisar propuestas competitivas de soluciones de almacenamiento de IBM e indicó que existen soluciones como IBM Flash System que permiten pasar cargas a la nube y es compatible con Azure, Google Cloud Platform, AWS, la misma nube de IBM y la Swift.

Además, sostuvo que es importante tener en cuenta tres términos diferentes y complementarios como son la ciberseguridad relacionada con prácticas, procesos y tecnologías diseñadas para proteger sistemas informáticos, redes, dispositivos y datos contra amenazas; la protección de la información relacionada con los backup, sitios de recuperación de desastres, etc., y desde el almacenamiento relacionado con la ciberresiliencia que nos permite poder funcionar cuando nos pasa. Es este concepto de resiliencia se habla de copias inmutables y señaló que IBM tiene funcionalidad para recuperaciones rápidas desde el almacenamiento.

Defender los proyectos de manera adecuada para la continuidad del negocio es de vital importancia y para ello es necesario hablar el mismo lenguaje para trasladar la relevancia del tema. José Luis Noroña, Gerente de Tecnología de Teojama Comercial, señala que adicional a la educación que se imparte a los usuarios existe un involucramiento de la alta dirección, ellos reciben actualizaciones y están conscientes de lo que pasa y apoyan la ejecución de proyectos.

Conclusiones:

• La hiperconvergencia es una solución interesante siempre y cuando se tenga aplicaciones que usen de manera coherente la data, procesamiento, comunicación. O para granjas de servidores. Sin embargo, cuando se tienen necesidades específicas de procesamiento de datos e información y capacidad de almacenamiento para temas de IA o Big data no es aplicable por costos.
• Contar con un Business Impact Analysis bien elaborado, proporciona al área financiera una visión económica precisa sobre el impacto que una amenaza puede tener en la organización.
• En la gestión de presupuestos para seguridad, es importante comparar el costo de estar fuera de línea con el gasto necesario para solucionar problemas. Se evalúa la probabilidad de impacto para determinar los costos asociados y priorizar las inversiones en seguridad.
• Para reducir los costos de almacenamiento, es factible implementar un enfoque con múltiples respaldos, ya sea en la nube o en instalaciones locales. Una estrategia efectiva es comprimir los datos en la nube y luego transferirlos a las instalaciones locales para su almacenamiento, lo que facilita su gestión y control.