La naturaleza humana de la ciberseguridad

Puede que suene extraño, pero abre una nueva pestaña y haz una búsqueda rápida de imágenes de Google para «ciberseguridad». ¿Lo has hecho? ¿Qué has visto? ¿Quizá muchas imágenes futuristas translúcidas de candados superpuestos sobre placas de circuitos y lluvia digital al estilo Matrix? Me lo imaginaba. Para nosotros y nuestro director sénior de seguridad de la información, seguridad de productos y respuesta global, Quentyn Taylor, esto supone una enorme tergiversación del campo, cuyas bases no podrían ser más humanas.

Sí, hay un universo de competencias técnicas implicadas, no hay duda, pero el equipo de Quentyn también ha sido seleccionado por su experiencia en la naturaleza humana. ¿Por qué? Lamentablemente, es una verdad fundamental que las personas suelen ser el punto más vulnerable de la seguridad de una empresa. Y otras personas, los ciberdelincuentes, son terriblemente hábiles a la hora de explotar el comportamiento humano, como nuestra naturaleza confiada, nuestra curiosidad, la dependencia de los hábitos e incluso el exceso de confianza. Sin embargo, ellos también son solo humanos y a menudo se comportan de manera desconcertante. Así, con toda esta psicología implicada, veamos algunas de las formas en las que se muestra en un equipo de ciberseguridad de alto rendimiento como el nuestro.

Flexibilidad

«No me importa lo avanzado que sea tu modelo de IA, son los seres humanos quienes pueden integrar de forma flexible las fuentes de datos, tanto físicas como digitales», afirma Quentyn. «Las personas pueden hacer saltos de fe entre diferentes tipos de tecnología o datos, mientras que las herramientas de IA tienen que ser entrenadas». Esto tiene todo el sentido, ya que, en este momento, una IA solo puede trabajar con los datos que tiene a su disposición, mientras que los humanos pueden plantear hipótesis, pensar lateralmente y tomar decisiones rápidas. Podemos extraer mucha información diferente con rapidez, en diferentes formatos, y considerarla por igual, algo que a las herramientas de inteligencia artificial enfocadas en la seguridad les cuesta hacer en la actualidad.

Intuición

No, no todo es hacer conjeturas, a menudo, la intuición puede ser la expresión del reconocimiento de patrones, basado y conformado por las experiencias vividas. «Y puede ser poderosa, aunque también puede ser fácil descartarla sin más», dice Quentyn. «Sin embargo, hay cientos de ejemplos en los que alguien ha sentido que algo no funcionaba y luego resultó que tenía razón». No obstante, también le interesa señalar que, dado que cada persona es diferente, a veces esto puede basarse en otro atributo muy humano: el sesgo. «Hay que tener cuidado, por supuesto. Pero aun así, actualmente no existe ninguna IA que pueda equiparar la intuición humana cuando se combina con buenos datos, entrenamiento y el tiempo necesario para reflexionar».

Diversidad

«No todos los atacantes son iguales», subraya Quentyn. Parece obvio, pero, por otro lado, significa que los equipos de ciberseguridad también deben tenerlo en cuenta. «A la hora de formar un equipo, es absolutamente esencial tener diversidad en todo tipo de factores: educación, formación, cultura, ubicación, gustos, aversiones… si estamos tratando de defendernos de atacantes de todos los ámbitos de la vida, esto tiene sentido». Quentyn nos da un excelente ejemplo de un ciberataque donde se encontraron referencias obscuras a Dune de Frank Herbert en el código de un malware particularmente destructivo. Esto fue mucho antes de que saliera la popular saga de películas, por lo que alguien del equipo de investigación habría tenido que conocer la novela. Y, sí, esto implicó que la pasión de alguien por la ciencia ficción permitió que se recuperasen estas palabras clave y pudieran conectarse a través de diferentes ataques, aunando inteligencia.

Instinto

La intuición y el instinto a menudo se utilizan indistintamente, pero donde la intuición es un cálculo, el instinto es un impulso. Si bien, a simple vista, puede parecer irracional actuar de forma instintiva en una situación de alto riesgo, como un ciberataque, el instinto colectivo de un equipo puede ser una fuerza formidable. «Cuando aúnas pruebas e instinto puedes obtener una herramienta increíblemente poderosa», dice Quentyn. «Por ejemplo, si hay que tomar una decisión y tienes todos los datos disponibles, pero estos no ofrecen una orientación clara, es cuando realmente entra en juego el instinto. Cuando todo un equipo siente de forma instintiva que hay que adoptar un curso de acción frente a otro, ¿tendrías que fiarte de él? Yo diría que sí».

Percepción

Las personas son impredecibles. Hasta que dejan de serlo. Además, en el ámbito de la ciberseguridad, a veces se puede adoptar un enfoque ligeramente diferente o una visión alternativa para comprender lo que sucede con un atacante. «La mayoría de las veces, el rompecabezas que estás tratando de resolver es un ser humano haciendo cosas de humano». Quentyn pone el ejemplo de un ataque que parecía detenerse y volver a empezar al azar. «Lanzaron el ataque y luego se detuvieron durante un par de horas. A continuación, hubo un poco de actividad menor y luego otra parada antes de que la mayor parte del ataque se produjera unas horas más tarde». Se señaló que en realidad se trataba de un patrón: antes del trabajo, a la hora del almuerzo y después del trabajo. Y sabiendo esto, pudieron identificar rápidamente de qué parte del mundo procedía.

Pensamiento crítico

Engaño, sutiles irregularidades, ingeniería social, explotaciones técnicas… la lista es interminable y son muchas las decisiones fundamentadas. «Nuestro trabajo diario es la esencia misma de la interacción humano a humano», explica Quentyn. «Básicamente, se trata de dos personas intentando entenderse mutuamente, algo tan antiguo como el tiempo». Es más que un simple análisis de lo que tienes ante ti, es la suma total de todo lo anterior, llevando una evaluación meditada al mismo espacio que la intuición, actuando sobre múltiples fuentes de información y tomando decisiones rápidas, mientras nos apoyamos en las experiencias del equipo para ponerle nombre y lugar a una actividad inusual. Se extiende incluso a toda la organización, ya que los especialistas en ciberseguridad pueden poner en práctica estas competencias de forma que fomenten comportamientos online más seguros en todos los ámbitos.

En general, está muy lejos del estereotipo del profesional de la ciberseguridad y, de hecho, del propio concepto de ciberseguridad en sí. La realidad es que los resultados de la búsqueda en Google deberían ser simplemente un montón de imágenes de diferentes equipos, trabajando juntos. De humano a humano.

Más información sobre carreras profesionales en Canon.