Miles de riesgos y ni idea de por dónde empezar: el rediseño de Risk Assessment en 1Secure™

Es lunes por la mañana. Abre su panel de seguridad, con un café en la mano, y esto es lo que ve: 573 riesgos altos.

¿Es grave? Probablemente. ¿Es peor que el mes pasado? Difícil saberlo. ¿Cuál corrige primero? Averiguarlo va a llevar un buen rato.

Este fue el punto de partida de uno de los problemas de UX más difíciles en los que he trabajado para 1Secure, la plataforma SaaS de Netwrix para la seguridad de datos e identidades. Los datos eran precisos, pero un número sin significado no es más que ruido. Así que nos preguntamos: “¿Cómo podríamos convertir ese ruido en algo sobre lo que se pueda actuar?”

La prueba de los 30 segundos

Al inicio del proyecto nos fijamos un objetivo incómodo: un administrador de seguridad debía entender su postura en menos de 30 segundos. No “encontrar la información si busca a fondo”. Entenderla en cuanto carga la página, con el café todavía en la mano.

Esa restricción descartó algunas de las soluciones más obvias, como un simple recuento de riesgos. Contar no es entender, así que no supera la prueba.

Por eso pasamos a una puntuación de riesgo con una escala clara, zonas claras y una frase honesta que le dice dónde se encuentra.

Risk Assessment se basa en PingCastle, una herramienta en la que los equipos de seguridad confían desde hace años para saber en qué estado se encuentra su Active Directory. El análisis que hay detrás es sólido, así que conservamos lo que funcionaba y rediseñamos la forma de comunicarlo. La puntuación está ponderada, lo cual importa más de lo que parece. Un hallazgo de alta gravedad que afecta a 12 cuentas de administrador pesa mucho más que un objeto de equipo obsoleto en una OU de preproducción, de modo que el número refleja el impacto, no solo el volumen.

Y no nos quedamos en decir a las personas dónde están. También les dijimos hacia dónde van:

Get +12 pts to reach Fair

Convertimos un número en un siguiente paso. Puede ver exactamente cuántos puntos le separan de la siguiente zona y qué correcciones le llevan hasta allí.

Su progreso es lo más importante

Esto es algo que escuchamos una y otra vez en nuestra investigación: el trabajo de seguridad es incesante y, a veces, invisible. Usted corrige 12 cosas y nadie lo nota. Pero cuando falla una 13.ª, todo el mundo se entera.

Por eso hicimos que el progreso fuera imposible de pasar por alto. La puntuación cambia a medida que remedia los riesgos y cada corrección aporta un punto de valor visible. Las tendencias muestran si va mejorando o empeorando respecto al mes pasado.

Focus center: la función de la que todos se enamoraron

Si tuviera que elegir el elemento más validado de todo el rediseño, sería este.

Focus center responde a la pregunta con la que todo administrador abre la página: “De todo lo que está roto, ¿qué hago ahora mismo?” No obtiene una lista de 573 elementos ni un filtro de gravedad que configurar. En su lugar, muestra los pocos elementos con mayor impacto en su postura, cada uno con lo que le costará ignorarlo y lo que ganará al corregirlo.

A los usuarios les encantó porque eliminaba una decisión que no querían tomar. Priorizar agota, así que lo hicimos por ellos.

También añadimos insignias de contexto, New y Regressed, porque “esto acaba de aparecer” y “esto ha vuelto después de que ya lo corrigiera una vez” son situaciones emocionales y operativas muy distintas, y merecen reacciones distintas.

¿Sabía que…? Convertir datos en frases

Los números le dicen qué está pasando, pero las frases le dicen qué significa.

• 3 cuentas de administrador tienen contraseñas con más de 3 años de antigüedad y siguen activas en varios tenants.
• Los riesgos de autenticación y protocolo aumentaron un 18 % este mes, la categoría de riesgo que más rápido crece.

Son ideas que puede llevar directamente a una reunión con su CISO sin crear una sola diapositiva. Era una necesidad real de los usuarios que no dejábamos de oír: los informes de postura consumen horas y a nadie le gusta traducir manualmente los paneles al lenguaje ejecutivo. Esta función es un buen recordatorio de que las mejores ideas surgen cuando diseño y producto abordan un problema juntos.

Cada riesgo, desde el ángulo que más le importe

Entender la postura de un vistazo es una cosa. Trabajar con ella es otra.

Agrupamos All risks por categoría de forma predeterminada porque una lista plana de cientos de hallazgos no indica dónde está el problema, pero una lista de áreas sí. Que identidad y privilegios representen el 35 % de su puntuación es una conversación muy distinta de que un 7 % esté en brechas de registro, y a menudo es un equipo distinto el que tiene que corregir cada una. Cada categoría también muestra cómo ha evolucionado desde el mes pasado, de modo que se ve tanto lo que está creciendo como lo que pesa.

Sin embargo, no todo el mundo piensa por categorías. Un arquitecto de seguridad suele trabajar a partir de un marco, un responsable de cumplimiento a partir de una normativa. Por eso ambos están a un clic: los mismos riesgos, otra perspectiva. Era nuestra hipótesis de partida y queremos validarla con el uso real.

Y esto es solo la superficie

Abra cualquier riesgo individual y obtendrá la historia completa: cuál es realmente el problema, por qué importa y a qué afecta. Pero, más importante aún, obtiene una salida: una remediación lista para usar que puede aplicar directamente o una conversación con IA para explorar enfoques alternativos cuando la solución estándar no se ajusta a su entorno.

Identificar un riesgo es la parte fácil; cerrarlo es donde está el trabajo.

Lo que me llevo de este proyecto

Lo más difícil de este proyecto fue resistir la tentación de mostrarlo todo.

Cada parte interesada tenía un gráfico que le encantaba. Cada conjunto de datos tenía una historia que quería contar. Pero cada elemento que se nos ocurría añadir tenía que superar la misma pregunta: “¿Esto ayuda a entender la postura más rápido?”

Una cantidad sorprendente de buen diseño consiste en restar.

Lanzamos un panel que le dice dónde está, hacia dónde va, qué corregir primero y cuánto ha avanzado, todo en menos de 30 segundos.

Que es, creo, lo mínimo que merece un equipo de seguridad un lunes por la mañana.

Comience su camino con 1Secure Risk Assessment

Vea 1Secure Risk Assessment en acción. Explore la experiencia con datos de prueba (sandbox) o conecte su propio entorno mediante nuestra prueba guiada y sencilla.