¿Qué es la seguridad continua y por qué no basta con una auditoría anual?

La mayoría de las empresas compra seguridad como si fuera un evento. Una auditoría en primavera, un test de penetración en otoño, un informe que termina en una carpeta. El problema es que el informe describe un día que ya pasó. Mientras tanto se han publicado nuevas vulnerabilidades, un proveedor ha cambiado de propietario y alguien de la plantilla ha hecho clic en el enlace equivocado.

La seguridad continua es lo contrario: una forma de trabajar permanente en la que se mide, se prioriza y se corrige todo el tiempo, en lugar de una vez al año.

La diferencia en la práctica

Una acción puntual responde a la pregunta «¿estábamos protegidos en ese momento?». La seguridad continua responde a «¿estamos protegidos ahora y qué ha cambiado desde la última vez?». Parece un matiz, pero las consecuencias son grandes:

• La exposición se detecta en horas, no en meses. Una nueva vulnerabilidad crítica en un servicio que utiliza se convierte en una tarea esa misma semana, no en un punto del orden del día del año siguiente.
• Los cambios se notan. Aparecen constantemente nuevos puertos públicos, nuevos recursos en la nube y nuevas integraciones de terceros. Sin un inventario actualizado, nadie sabe qué está realmente expuesto.
• Las decisiones cuestan menos. Cuando la situación es conocida, la dirección puede elegir entre riesgos en lugar de adivinar.

Cuatro capas que deben funcionar a la vez

1. Inventario de activos. No se puede proteger lo que no se sabe que se tiene. Dominios, subdominios, API públicas, cuentas en la nube, servicios SaaS y dispositivos de la plantilla deben estar en una lista viva, no en una hoja de cálculo actualizada el año pasado.

2. Vigilancia de vulnerabilidades. Las vulnerabilidades conocidas (CVE) deben cruzarse con su entorno técnico real, teniendo en cuenta si la vulnerabilidad se explota en la práctica y si el activo es alcanzable desde internet. Una puntuación CVSS alta en un servidor de pruebas interno no es lo mismo que una vulnerabilidad media en su página de inicio de sesión pública.

3. Detección y alertas. Los registros que nadie lee son un coste, no un control. Hacen falta pocas alertas, pero con sentido real: nuevo inicio de sesión de administrador, extracción masiva de datos, permisos modificados, tráfico hacia direcciones maliciosas conocidas.

4. Gestión de incidentes. Cuando algo ocurre, la responsabilidad, los contactos y las primeras acciones deben estar decididos de antemano. Es la diferencia entre cerrar una cuenta en diez minutos y pasar un día averiguando quién llama a quién.

Qué significa para una pequeña empresa

La seguridad continua no requiere un equipo de diez personas. Requiere tres cosas: un responsable, un ritmo y un lugar donde lleguen los hallazgos.

• Un responsable: una persona nombrada que convierta los hallazgos en acciones.
• Un ritmo: revisión semanal de nuevos hallazgos, revisión mensual de accesos y proveedores.
• Un lugar: un sistema donde cada hallazgo tenga estado, responsable y fecha, no una bandeja de correo.

Para la mayoría de las pequeñas organizaciones, el nivel razonable es externalizar la vigilancia y la priorización a un socio externo, manteniendo las acciones en casa. Así se obtiene continuidad sin crear un departamento de seguridad interno.

Las objeciones habituales

«Somos demasiado pequeños para interesar a alguien.» Los ataques automatizados no eligen por facturación. Eligen por exposición, y una pequeña empresa con un servicio público sin actualizar es un objetivo más fácil que un banco grande.

«Hicimos una auditoría el año pasado.» Es un buen comienzo, pero no dice nada sobre la situación actual. Una auditoría es una foto; la seguridad continua es una película.

«Va a costar demasiado.» Normalmente cuesta menos que un solo incidente con caída de servicio, clientes perdidos y costes de investigación. La idea no es comprar más herramientas, sino hacer menos cosas con más frecuencia.

Cómo empezar en cuatro semanas

1. Semana 1: inventaríe los activos públicos y las cuentas en la nube. Desactive lo que no se utilice.
2. Semana 2: active la vigilancia de vulnerabilidades conocidas sobre su entorno real y priorice los diez hallazgos más urgentes.
3. Semana 3: despliegue MFA donde falte, especialmente en cuentas administrativas y correo. Sigue siendo la medida individual más eficaz en relación con su coste.
4. Semana 4: escriba un plan de incidentes de una página y pruébelo con un escenario sencillo.

Después, el trabajo pasa a ser una cuestión de ritmo, no de proyecto. Ese ritmo es lo que permite responder a las preguntas de seguridad de clientes y autoridades con hechos en lugar de promesas.