Nadya Bartol: Better cybersecurity starts with honesty and accountability | TED

Transcriber:

Traductor: Emma Gon Revisor: Sebastian Betti

Today, I'm going to talk about a shameful topic.

Hoy hablaré de un tema penoso.

This has happened to many of us, and it's embarrassing,

Esto nos ha pasado a muchos y es vergonzoso,

but if we don't talk about it, nothing will ever change.

pero si no hablamos de eso, nada cambiará.

It's about being hacked.

Es acerca de ser ‘hackeado’.

Some of us have clicked on a phishing link and downloaded a computer virus.

Algunos de nosotros hemos dado clic en un enlace phishing y bajado un virus.

Some of us have had our identities stolen.

A algunos nos robaron nuestras identidades.

And those of us who are software developers

Y aquellos que somos desarrolladores de software

might have written insecure code with security bugs in it

quizá escribimos código inseguro lleno de errores

without realizing it.

sin saberlo.

As a cybersecurity expert,

Como experta en ciberseguridad,

I have worked with countless companies on improving their cybersecurity.

he trabajado con infinidad de compañías para mejorar su ciberseguridad.

Cybersecurity experts like me have advised companies

Los expertos en ciberseguridad como yo hemos dado consejo a compañías

on good cybersecurity practices,

sobre buenas prácticas de ciberseguridad,

herramientas de monitoreo

monitoring tools

and proper user behaviors.

y conductas de usuario apropiadas.

But I actually see a much bigger problem that no tool can fix:

Pero veo un problema mayor que actualmente no tiene remedio:

the shame associated with the mistakes that we make.

la vergüenza asociada con los errores que cometemos.

We like to think of ourselves as competent and tech savvy,

Nos gusta creernos competentes y sabiondos técnicos,

and when we make these mistakes that can have a really bad impact

pero cuando cometemos errores que pueden tener un mal impacto

on us and our companies --

en nosotros y nuestras compañías,

anything from a simple annoyance,

desde algo simple como una molestia

to taking a lot of time to fix,

que lleva tiempo arreglar

to costing us and our employers a lot of money.

hasta algo que nos cuesta a nosotros y a nuestros empleadores mucho dinero.

Despite billions of dollars that companies spend on cybersecurity,

A pesar de miles de millones de dólares que las empresas gastan en ciberseguridad,

practitioners like me see the same problems over and over again.

practicantes como yo vemos el mismo problema una y otra vez.

Let me give you some examples.

Daré unos ejemplos.

The 2015 hack of Ukrainian utilities

El hackeo del servicio eléctrico ucraniano en 2015

that disconnected power for 225,000 customers

que dejó sin energía a 225 000 clientes

and took months to restore back to full operations

y llevó meses restablecer a una operación completa

started with a phishing link.

comenzó con una liga de phishing.

By the way, 225,000 customers is a lot more 225,000 people.

Por cierto, 225 000 clientes son más de 225 000 personas.

Customers can be anything from an apartment building

Clientes pueden ser desde un edificio de departamentos

to an industrial facility

hasta instalaciones industriales

to a shopping mall.

hasta una plaza comercial.

The 2017 data breach of Equifax

La filtración de datos de Equifax en 2017,

that exposed personally identifiable information

que expuso información de identidad personal

of 140 million people

de 140 millones de personas

and may ultimately cost Equifax something on the order of 1.4 billion dollars:

y que al final tuvo un costo de unos USD 1400 millones a Equifax,

that was caused by an exploitation of a well-known vulnerability

fue ocasionado por la explotación de una vulnerabilidad bien conocida

in the company's customer consumer complaint portal.

en el portal de quejas del consumidor de la compañía.

Fundamentally, this is about technology and innovation.

En esencia, se trata de tecnología e innovación.

Innovation is good; it makes our lives better.

La innovación es buena, mejora nuestras vidas.

Most of the modern cars we drive today are fundamentally computers on wheels.

La mayoría de los autos modernos de hoy son computadoras sobre ruedas.

They tell us where to go to avoid traffic, when to take them in for maintenance

Nos dicen cómo evitar tráfico, cuándo necesitan mantenimiento

and then give us all kinds of modern-day conveniences.

y nos dan todo tipo de conveniencias modernas.

Many people use connected medical devices like pacemakers

Muchos usan dispositivos médicos como marcadores de paso

and glucose monitors with insulin pumps.

y monitores de glucosa con bombas de insulina.

These devices make these people's lives better

Estos dispositivos mejoran la vida de estas personas

and sometimes even extend their lives.

y a veces extienden sus vidas.

But anything that can be interconnected can be hacked when it's connected.

Pero todo lo que se puede conectar puede ser hackeado cuando está conectado.

Did you know that the former US Vice President Dick Cheney

¿Sabían que el exvicepresidente estadounidense Dick Cheney

kept his pacemaker disconnected from Wi-Fi before he received a heart transplant?

mantenía su marcador de paso desconectado

del wi-fi antes de su trasplante de corazón?

I will let you figure out why.

Dejaré que Uds. averigüen la razón.

In a digitally interconnected world, cyber risks are literally everywhere.

En un mundo interconectado digitalmente,

los riesgos cibernéticos están en todas partes.

For years, my colleagues and I have been talking about

Por años, mis colegas y yo hemos hablado

this elusive notion of cybersecurity culture.

sobre esta noción elusiva de la cultura de ciberseguridad.

Cybersecurity culture is when everybody in the organization

La cultura de la ciberseguridad es cuando todos en una organización

believes that cybersecurity is their job,

creen que la ciberseguridad es su trabajo,

knows what to do and what not to do

saben qué hacer y qué no hacer

and does the right thing.

y hacen lo correcto.

Unfortunately, I can't tell you which companies do this well,

Desafortunadamente, no les puedo decir cuáles empresas lo hacen bien,

because by doing so, I would put a juicy target on their backs

porque al hacerlo, los haría un blanco jugoso

for ambitious attackers.

para atacantes ambiciosos.

But what I can do is make cybersecurity less mysterious,

Pero sí puedo hacer que la ciberseguridad sea menos misteriosa,

bring it out into the open and talk about it.

exponiéndola abiertamente para hablar de ella.

There should be no mystery or secrecy within an organization.

No debería haber ni misterio ni secrecía en una organización.

When something is invisible and it's working,

Cuando algo es invisible y funciona,

no sabemos que está ahí hasta que no está.

we don't know that it's there until it's not there.

Kind of like toilet paper.

Algo parecido pasó con el papel de baño.

When the COVID-19 pandemic began,

Cuando la pandemia de COVID-19 comenzó,

what has been there all of a sudden became super important

lo que había estado ahí de repente se volvió super importante,

because we couldn't find it anywhere.

porque no lo había en ningún lado.

Cybersecurity is just like that:

La ciberseguridad es igual:

when it's working, we don't know, and we don't care.

cuando funciona, no sabemos y no nos importa.

But when it's not working,

Pero cuando no funciona,

it can be really, really bad.

puede llegar a ser muy malo.

Toilet paper is pretty straightforward.

El papel de baño se arregla fácil.

Cybersecurity is mysterious and complex.

La ciberseguridad es misteriosa y compleja.

And I actually think it starts with the notion of psychological safety.

Y creo que comienza con la noción de seguridad psicológica.

This notion was popularized by an organizational behavior scientist,

Esta noción la popularizó una científica de conducta organizacional,

Amy Edmondson.

Amy Edmonson.

Amy studied behavior of medical teams in high-stakes situations like hospitals,

Amy estudió la conducta de equipos médicos

en situaciones de alto riesgo como hospitales,

where mistakes could be fatal.

donde los errores pueden ser fatales.

And she found out that nurses were not comfortable

Descubrió que las enfermeras no se sentían cómodas

bringing up suggestions to the doctors

en dar sugerencias a los médicos

because of the fear of questioning authority.

debido al temor de cuestionar a la autoridad.

Amy helped improve medical teams

Amy ayudó a mejorar a los equipos médicos

to make nurses more comfortable bringing up suggestions to the doctors

para que las enfermeras se sintieran mejor al hacer sugerencias a los médicos

for patient treatment

en el tratamiento de pacientes

without the fear of being scolded or demeaned.

sin el miedo de ser regañadas o humilladas.

For that to happen, doctors needed to listen and be receptive --

Para que eso sucediera, los doctores tenían que escuchar y ser receptivos,

without judging.

sin juzgar.

Psychological safety is when everybody is comfortable speaking up

La seguridad psicológica es cuando alguien se siente bien al hablar

and pointing things out.

y señalar puntos.

I want cybersecurity to be the same.

Quiero que la ciberseguridad sea igual,

And I want cybersecurity practitioners to be comfortable bringing suggestions up

que los practicantes de ciberseguridad de sientan bien al hacer sugerencias

to senior executives or software developers,

a directivos o desarrolladores de software,

without being dismissed as those people who continue to talk about

sin que sean tachados de ser personas que seguido hablan

horrors and errors,

de horrores y errores

and say no.

y de decir no.

Not doing so is really hard

No hacerlo en verdad es difícil

for the individuals who are responsible for the creation of digital products

para aquellos responsables de la creación de productos digitales,

because fundamentally, it's about their pride and joy in their creations.

porque en esencia, se trata de su orgullo y alegría de sus creaciones.

I once tried talking to a senior software development executive

Una vez trate de hablar con un alto ejecutivo de desarrollo de software

sobre la necesidad de mejorar la seguridad.

about the need to do better security.

You know what he said?

¿Saben lo que dijo?

"Are you telling me we're developing insecure code?"

“¿Me estás diciendo que desarrollamos un código inseguro?

In other words, what he heard was, "Your baby is ugly."

En otras palabras, lo que oyó fue, “Tu bebé está feo”.

What if instead of focusing on what not to do,

¿Qué tal si en lugar de enfocarnos en lo que no hacemos,

we focused on what to do?

nos enfocamos en qué hacer?

Like, how do we develop better software

Tal como de qué forma desarrollamos mejor software

and protect our customer information at the same time?

y protegemos la información de nuestros clientes al mismo tiempo?

Or how do we make sure that our organization is able to operate

¿O cómo nos aseguramos de que nuestras organizaciones pueden operar

in crisis, under attack or in an emergency?

bajo crisis, ataque o en una emergencia?

And what if we reward good things that people do in cybersecurity in some way

¿Y qué tal si premiamos lo bueno que la gente hace en ciberseguridad

and encourage them to do so,

y los animamos a que lo hagan,

like reporting security incidents,

como reportar incidentes de seguridad,

reporting potential phishing emails,

reportar correos phishing potenciales,

or finding and fixing software security bugs

o encontrar y corregir errores de seguridad

in the software that they develop?

en el software que desarrollamos?

And what if we tied these good security actions to performance evaluations

¿Qué tal si estas acciones de seguridad buenas se ligan con evaluaciones

to make it really matter?

de desempeño para hacerlas que importen?

I would love for us to communicate these good cybersecurity things

Me encantaría que nos comunicáramos estas cosas buenas de ciberseguridad

y promoverlos en alguna forma de comunicación en toda la compañía

and encourage them in some sort of company-wide communications

como boletines, blogs, sitios web, micrositios,

like newsletters, blogs, websites, microsites --

whatever we use to communicate to our organization.

lo que sea que usemos para comunicación en nuestras organizaciones.

What if a company announced a competition for who finds the most security bugs

¿Qué tal si una compañía anunciara una competencia

para encontrar la mayoría de los errores de seguridad

and fixes them in a two-week development sprint

y corregirlos en un sprint de desarrollo de 15 días

and then announces the winner of the competition for the quarter

y luego anunciar al ganador del trimestre

at a large company virtual town hall,

en una gran asamblea virtual de la compañía,

and then rewards these people, these winners, with something meaningful,

y premiar a estos ganadores con algo significativo

like a week's vacation or a bonus.

como una semana de vacaciones o un bono.

Others will see the celebration and recognition,

Otros verán la celebración y el reconocimiento

and they'll want to do the same.

y querrán hacer lo mismo.

In the energy industry,

En la industria de la energía,

there is a really strong culture of safety.

hay una sólida cultura de seguridad.

People care about this culture, are proud of it,

A la gente le importa esta cultura y se enorgullece de ella

and there is a collective reinforcement of this culture

y existe un refuerzo colectivo de esta cultura

to make sure that nobody gets hurt.

que asegura que nadie se lastime.

One of the ways they exhibit and keep this safety conscious culture going

Una de las forma en que exponen y mantienen

la cultura de conciencia de seguridad vigente

is by counting and visibly displaying days since the last safety incident.

es con el despliegue visual del conteo de días desde el último incidente.

And then everybody works really hard not to have that count go back to zero

Y así todos trabajan en verdad arduo para que el conteo no regrese a cero

because that means that somebody did get hurt.

porque eso significa que alguien salió lastimado.

Cybersecurity is the same as safety.

La ciberseguridad es lo mismo que seguridad.

What if we all agree

¿Qué tal si todos acordamos

to keep that count of days since the last cybersecurity incident

en mantener el conteo de días desde el último incidente de ciberseguridad

going on forever

que siga para siempre

and then work really hard not to have it reset to zero?

y trabajamos arduamente para no regresarlo a cero?

And then certain things are a no-no,

Hay cosas que son un no-no,

and we need to clearly communicate to our organizations what they are

y debemos comunicarlas claramente en las organizaciones cuáles son

in an easily digestible and maybe even fun way,

de manera sencilla y hasta incluso divertida,

like gamification or simulations,

con ludificación o simulaciones,

to make sure that people can remember this.

para asegurarnos de que la gente lo pueda recordar.

And if somebody does something they're not supposed to do,

Y si alguien hace algo que se supone no debía,

they should face some sort of consequences.

deberían enfrentar las consecuencias.

So, for example, if an employee buys equipment on Amazon or eBay

Así, por ejemplo, si un empleado compra un equipo en Amazon o eBay

or uses personal Dropbox for their company business,

o usa un Dropbox personal para el negocio de la compañía,

then they should face some sort of consequences.

deberían enfrentar algún tipo de consecuencia.

And when this happens, executives should get the same treatment

Cuando esto ocurra, los ejecutivos deben recibir el mismo trato

as regular employees,

que recibe el empleado común,

because if they don't, then people won't believe that it's real

porque si no, entonces la gente no creerá que es real

and will go back to their old behaviors.

y volverá a sus viejas conductas.

It's OK to talk about mistakes,

Está bien hablar de los errores,

but just like a teenager who violates the rules tells us about it,

así como un adolescente que viola las reglas nos lo dice,

we appreciate that they told us about it,

apreciar que lo confiesa,

but there should still be some sort of consequences.

pero que debería haber algún tipo de consecuencia.

Cybersecurity is a journey.

La ciberseguridad es un viaje,

It's not a destination,

no un destino

and we need to keep working on it.

y debemos seguir trabajándola.

I would love for us to celebrate cybersecurity people

Me encantaría que celebráramos a la gente de ciberseguridad

like the heroes that they are.

como los héroes que son.

If we think about it, they are firefighters,

Si lo pensamos, son como bomberos,

emergency room doctors and nurses,

médicos y enfermeras de urgencias,

law enforcement, risk executives and business strategists

policía, ejecutivos de riesgos y estrategas de negocios

all in the same persona.

todo en el mismo personaje.

And they help us protect our modern life that we like so much.

Nos ayudan a proteger nuestra vida moderna que tanto nos gusta.

They protect our identities, our inventions, our intellectual property,

Protegen nuestras identidades, inventos, propiedad intelectual,

our electric grid, medical devices,

red eléctrica, dispositivos médicos,

connected cars and myriad other things.

autos conectados y un sinfín de cosas.

And I'd like to be on that team.

Y me gustaría estar en ese equipo.

So let's agree that this thing is with us to stay,

Aceptemos que esto llegó para quedarse,

let's create a safe environment to learn from our mistakes,

formemos un ambiente seguro para aprender de nuestros errores

and let's commit to making things better.

y comprometámonos a mejorar las cosas.

Thank you.

Gracias.