Clasificar No Es el Camino al Mínimo Privilegio

Lo que un escaneo de DSPM realmente te dice (y lo que no)

Esa brecha merece tenerse presente ahora que la gestión de la postura de seguridad de datos, o DSPM, se convierte en una de las categorías de seguridad de más rápido crecimiento. Gartner situaba la adopción de DSPM por debajo del 1 % de las organizaciones en 2022 y proyecta que superará el 20 % en 2026, una subida pronunciada para una categoría todavía joven. La definición de Gartner explica el atractivo: las herramientas de DSPM descubren, clasifican y catalogan datos sensibles en almacenes on-premises, nubes y aplicaciones SaaS, de modo que un equipo de seguridad puede por fin ver dónde vive su información regulada y confidencial y, en el mejor de los casos, quién tiene acceso a ella.

Verlo es donde empiezan los problemas.

Piensa en lo que recibe realmente un CISO al final de un escaneo: un número. Se marca y se etiqueta cierta cantidad de archivos sensibles repartidos por cierto conjunto de repositorios. El hallazgo es real, y afecta a la ansiedad del equipo de seguridad mucho más de lo que afecta a su exposición real. La herramienta solo ha informado de dónde está el dato. Puede decir algo sobre quién puede llegar a ese dato, pero si esas personas debían tener realmente ese acceso, o qué hacer a continuación, queda fuera del alcance del DSPM. Lo que llega al escritorio del CISO es un inventario de exposición, no un plan para reducirla.

Por qué la clasificación no puede llevarte al mínimo privilegio

Aquí está la distinción que la categoría difumina. El riesgo asociado a un archivo sensible procede de tres cosas a la vez: cuán sensibles son los datos, quién puede llegar a ellos y si esas personas tienen algún motivo legítimo para hacerlo. La clasificación aborda el primer término. Incluso cuando lo hace con precisión, dice poco sobre la legitimidad del acceso y sobre el terreno donde vive la exposición. Por eso un equipo de seguridad no puede clasificar su camino hacia el mínimo privilegio.

Tres mecanismos explican este silencio.

Empieza por la brecha entre el acceso efectivo y la lista de control de acceso (ACL). Lo que dicen los permisos de un archivo y quién puede realmente abrirlo diverge en el momento en que la realidad se entromete: grupos de Active Directory anidados, herencia, herencia rota en algún punto del árbol, una entrada "Everyone" o "Authenticated Users" instalada en un recurso compartido, un enlace de SharePoint olvidado que sigue activo en la bandeja de entrada de alguien. Una herramienta que lee la etiqueta de sensibilidad ve los permisos declarados. No resuelve el grafo real de accesibilidad, y la distancia entre ambos es por donde viaja una brecha de seguridad.

Luego está el origen de la ruta de acceso, que se encuentra en el tejido de identidad mucho antes de llegar al dato. El grupo con permisos excesivos, el grupo de seguridad con varios miles de miembros que nadie ha depurado en años, la cuenta de servicio o el agente de IA con acceso de lectura permanente, la identidad de invitado en Entra que todavía conserva un enlace: esto es lo que abre la puerta, y vive en la capa de identidad. Un escáner que solo lee el almacén de datos no puede ver la ruta completa, ya que la mitad de ella nunca estuvo en el almacén de datos.

Por último, el descubrimiento y la remediación son trabajos distintos. Un escaneo produce un hallazgo. El riesgo solo disminuye cuando alguien elimina el grupo global, pone la carpeta en cuarentena, la vuelve a permisar de acuerdo con lo que el negocio realmente necesita, y puede después demostrar el mínimo privilegio. Eso es un acto de gobernanza de accesos, y ningún volumen de clasificación lo lleva a cabo.

Supongamos que un escaneo marca una carpeta de registros de nómina como altamente sensible. Por un lado, el equipo de seguridad ahora sabe que la carpeta existe y que importa, lo cual es el primer paso necesario. Por otro lado, la carpeta se encuentra detrás de una concesión heredada a "Domain Users" aplicada hace años para un proyecto que lleva mucho tiempo cerrado, así que varios miles de personas pueden abrirla esta misma tarde, y la etiqueta de clasificación no ha cambiado nada de eso. La etiqueta le dice al equipo que la carpeta merece protección; solo el modelo de acceso le dice que actualmente no está protegida, y solo la remediación la cierra.

Cómo Netwrix Access Analyzer cierra la brecha

Esta es la dirección desde la que trabaja Netwrix Access Analyzer. Empieza en el modelo de acceso y llega al dato a través de él, mientras que los escáneres nativos de la nube funcionan en sentido contrario, mapeando primero el dato e infiriendo el acceso después. Resuelve el acceso efectivo en entornos híbridos y no estructurados, desenreda la maraña de permisos de Active Directory y Entra que los escáneres tratan como opaca, saca a la luz lo sobreexpuesto y lo obsoleto, e impulsa la remediación con un paso de simulación y ejecución posterior, con revisiones dirigidas al propietario del negocio, que es quien sabe si una persona determinada debería tener ese acceso siquiera.

La clasificación encuentra el riesgo. El acceso lo elimina.

Nada de esto vuelve inútil la clasificación. Un equipo no puede gobernar el acceso a datos que nunca localizó, así que el descubrimiento tiene que ir primero. Su trabajo es localizar el riesgo; cerrar ese riesgo pertenece a una disciplina distinta. El planteamiento defendible es estrecho: la clasificación le muestra a un equipo de seguridad dónde se concentra su riesgo, y el acceso es donde ese riesgo se elimina. Necesitas hacer ambas cosas si el objetivo es una gestión equilibrada del riesgo.

Lo cual nos devuelve a la carpeta del inspector. Tiene un valor real, porque le dice al propietario adónde enviar al contratista. Pero nadie confunde la carpeta con una casa reparada, y un mapa de datos clasificados merece el mismo escepticismo. Cualquier herramienta de DSPM del mercado puede decir dónde vive el dato sensible. La pregunta que decide si ese dato está en riesgo es quién puede abrirlo, y esa respuesta nunca estuvo en el mapa de datos. Está en el modelo de acceso.