Gestión continua de la postura frente a evaluaciones puntuales

Adelantarse a la curva de seguridad empieza con un cambio de mentalidad

Casi todo el trabajo de seguridad empieza con un empujón. Un auditor envía una lista de solicitudes o una alerta llega a la bandeja de alguien, y el equipo lo deja todo para investigar y responder. Adelantarse a la curva exige otra mentalidad. Decida cómo es una buena postura, compruébela con un ritmo constante y corrija lo que se desvía antes de que alguien tenga que empujarle. Eso es seguridad proactiva, y nunca tendrá que investigar el incidente que previno.

El ciclo de empujón, investigación y reacción

Muchos de los equipos con los que hablo gestionan la seguridad como un bucle con dos disparadores.

El primero es la auditoría. Nadie mira de cerca la postura hasta que llega el auditor. Entonces el equipo pasa semanas extrayendo informes, reconstruyendo cronologías y persiguiendo capturas de pantalla para demostrar que cumplió los criterios durante todo el año. Eso puede marcar la casilla de cumplimiento. Como práctica de seguridad deja mucho que desear, porque la evidencia muestra lo que era cierto la semana en que se recopiló y muy poco sobre los meses anteriores.

El segundo es la alerta. Los equipos más maduros eligen los escenarios que les importan, crean alertas para ellos e investigan cuando salta una. Es un avance real. El problema es que muchas alertas describen una política que ya se ha roto. Cuando se entera de que alguien fue añadido a Domain Admins, o de que una carpeta de archivos sensibles se abrió a Everyone, está investigando una infracción que preferiría haber evitado. En ambos casos, el auditor o el incidente marca el calendario de su equipo.

Los marcos ya esperan una mejora continua

Los auditores dejaron atrás las instantáneas hace tiempo. Un informe SOC 2 Tipo I comprueba si los controles están diseñados correctamente en una fecha concreta. Un informe Tipo II evalúa si funcionaron con eficacia durante un periodo, normalmente de 3 a 12 meses. ISO/IEC 27001:2022 exige supervisar y medir sus controles de seguridad (cláusula 9.1) y mejorar continuamente su sistema de gestión de seguridad (cláusula 10.1). NIST CSF 2.0 incluye como categorías tanto la monitorización continua como la mejora. Cada marco le pide demostrar que actúa sobre su postura a lo largo del tiempo, y la carrera previa a la auditoría es la forma más difícil de demostrarlo.

Cómo es la seguridad proactiva en la práctica

La seguridad proactiva es sobre todo un ritmo construido en torno a políticas, y puede empezar poco a poco.

• Defina sus primeras políticas a partir de un estándar de referencia. No tiene que inventar una definición de lo que es bueno. Empiece con el marco o estándar que importa a su negocio, sean los CIS Benchmarks, NIST CSF o los criterios SOC 2 que evalúa su auditor. Convierta en políticas un puñado de sus controles. Buenos puntos de partida son cuentas habilitadas sin inicio de sesión reciente, cuentas que no requieren contraseña, grupos con privilegios cuyos miembros nadie sabe explicar y archivos sensibles compartidos con Everyone o con usuarios externos.
• Conozca sus escenarios y obtenga los datos. Para cada política, decida qué necesita ver para saber si se cumple. Luego implemente una herramienta que supervise esa información de forma continua, para no reconstruirla a mano cada trimestre.
• Haga que los hallazgos sean claros y accionables. Su línea base solo es útil si el equipo puede leerla de un vistazo y saber qué corregir primero. Si hace falta un experto para interpretar los resultados, no se actuará sobre ellos.
• Revise los riesgos proactivos cada semana. Reserve 30 minutos para repasar los riesgos más importantes que aún no se han convertido en alerta o incidente. Para cada uno, decida si es razonable. Si no lo es, corríjalo. Si sigue aceptando el mismo hallazgo, quizá deba ajustar la política a cómo funciona realmente el negocio.
• Observe la tendencia. Una sola puntuación muestra dónde está hoy. Su evolución en el tiempo muestra a la dirección, y a su auditor, si la práctica funciona. Mejoras pequeñas y constantes facilitan las auditorías y siguen reduciendo el riesgo, lo que le aleja de una posible brecha.

Tomemos un ejemplo habitual. Un contratista termina un proyecto y su cuenta sigue habilitada. En un modelo basado en alertas, se entera cuando esa cuenta inicia sesión desde un lugar inesperado. Con un ritmo proactivo, aparece en su revisión semanal como una cuenta habilitada sin actividad reciente, y la deshabilita antes de que alguien más pueda usarla.

El trabajo sobre la postura no detendrá todos los ataques, y aún necesita alertas para el comportamiento sospechoso. Reduce las configuraciones erróneas en las que se apoyan los atacantes, de modo que las alertas que reciba tengan más probabilidad de señalar algo nuevo.

Por qué la mayoría de los equipos sigue siendo reactiva

El tamaño del equipo importa menos que la madurez de la práctica. Un equipo de tres personas puede dirigir un programa maduro, y una gran empresa puede seguir saltando de auditoría en auditoría. Los equipos que más sufren son los que intentan mejorar, o a los que empuja a hacerlo un nuevo requisito de cumplimiento, una revisión de seguridad de un cliente o un cuestionario de ciberseguros.

Lo que los frena es la fricción. No tienen una definición de lo bueno ya preparada. No saben cuáles de cientos de configuraciones importan más, y nadie tiene tiempo de construir un marco desde cero. Las organizaciones grandes suelen contratar consultores para que lo entreguen. Es caro y normalmente produce otra evaluación congelada en una sola fecha. La mayoría de las pymes ni siquiera puede presupuestarlo.

Creo que eliminar esa fricción es tarea del producto. Una buena herramienta de postura debe ofrecer una línea base integrada, una vista en lenguaje claro de lo que impulsa su riesgo y una idea clara de qué corregir primero. Si espera que el equipo aporte su propio marco, la mayoría de los equipos nunca supera el primer paso.

Empiece por el ritmo

No necesita un programa maduro para empezar. Comience con unas pocas políticas de un estándar de referencia, obtenga una línea base y proteja 30 minutos a la semana. Unos meses después, los empujones dejan de marcar su agenda y la próxima auditoría se convierte en un informe que puede sacar en una tarde.

Ese es el tipo de práctica que estamos construyendo Netwrix 1Secure para respaldar, con evaluaciones de riesgo integradas que dan a los equipos un punto de partida para su postura.

Vea dónde está hoy su postura. Inicie una prueba gratuita de Netwrix 1Secure.