Seguridad

Qué cubre esta sección

Evitar que se tomen el control de sistemas y cuentas: identidad y acceso, protección de equipos, gestión de vulnerabilidades, secretos, vigilancia de actividad sospechosa y la respuesta cuando algo ocurre.

Los productos van desde un solo control hasta plataformas que abarcan todo el parque tecnológico. Lo que importa es la cobertura de las vías que realmente utilizan los atacantes, mucho más estrecha de lo que sugiere el marketing.

El almacenamiento de credenciales para equipos está en gestión de contraseñas. Las evidencias de auditoría y los marcos normativos corresponden a cumplimiento y GRC.

Compre en el orden que corresponde al riesgo real

La mayoría de los incidentes en empresas pequeñas y medianas empiezan en uno de tres sitios: una contraseña robada, un sistema sin parchear expuesto a internet o alguien a quien se convence por correo para que haga algo.

Ese orden indica qué comprar primero. Autenticación multifactor en todo, sobre todo en el correo y en las cuentas administrativas. Una forma gestionada de mantener los sistemas parcheados. Protección de equipos con visibilidad centralizada, en lugar de una licencia sin vigilancia en cada portátil.

Las plataformas avanzadas merecen la pena más adelante. Compradas al principio, generan alertas que nadie tiene tiempo de leer, lo que produce coste sin protección.

La identidad es ahora el perímetro

El control de acceso se ha convertido en la defensa principal, porque el límite de la red dejó de significar mucho cuando el trabajo pasó a los navegadores y los teléfonos.

• Inicio de sesión único, para que las cuentas se creen y se eliminen en un solo lugar.
• Aprovisionamiento, que vincula el acceso al empleo y no a la memoria.
• Segundos factores robustos, con opciones resistentes al phishing para los administradores.
• Mínimo privilegio, incluida la elevación de corta duración en lugar de derechos permanentes.
• Control de sesiones, para que un token robado tenga una vida limitada.

Pregunte cómo gestiona el producto las cuentas que quedan fuera del inicio de sesión único. Toda organización tiene algunas, y son las que se olvidan cuando alguien se marcha.

Equipos, vulnerabilidades y el aburrido mantenimiento

La protección de equipos ha pasado de bloquear amenazas conocidas a registrar el comportamiento y permitir investigar después. La pregunta útil es qué puede hacer realmente un analista: aislar un equipo, recuperar un archivo, ver el historial de procesos, deshacer algo.

La gestión de vulnerabilidades es menos emocionante y cierra más brechas. Lo que importa no es la longitud del informe, sino si prioriza según la explotabilidad y la accesibilidad, y si las correcciones se pueden seguir hasta su finalización en lugar de quedar listadas para siempre.

La cadencia de parcheo supera a casi cualquier otro control de esta categoría. Una herramienta que le dice lo que falta sin ayudarle a aplicarlo traslada el trabajo en lugar de reducirlo.

Vigilar, y quién se encarga de vigilar

La recopilación de registros y las alertas solo ayudan cuando alguien responde.

Antes de comprar una plataforma, decida quién lee las alertas a las dos de la madrugada y qué autoridad tiene. Si la respuesta honesta es que nadie, un servicio gestionado es la mejor compra, porque convierte una herramienta en una respuesta.

Luego fije expectativas sobre el ruido. El volumen ingerido determina el coste y los falsos positivos generan fatiga, así que el ajuste es un trabajo continuo y no una tarea de puesta en marcha. Pregunte cómo es el ajuste en el producto y cómo se mide la calidad de las alertas.

Las personas, y el control más barato que existe

La formación y el phishing simulado se ridiculizan y aun así funcionan, porque el ataque que abordan es el más común.

Hágalos breves, frecuentes y específicos de las situaciones que su personal encuentra de verdad. Combínelos con una vía de notificación que lleve segundos, y trate un mensaje sospechoso notificado como un éxito y no como una interrupción.

Los precios de esta categoría van por equipo, por usuario, por volumen ingerido o por análisis, y los servicios gestionados cobran aparte la atención humana. Modele el total incluida esa atención y no solo la licencia, junto con las costumbres descritas en lo que ocultan las páginas de precios.

Cómo es lo bueno en tres tamaños

Para una empresa de menos de veinte personas, lo bueno significa que todas las cuentas estén protegidas con un segundo factor, los portátiles cifrados y parcheados, las credenciales en una caja fuerte y una persona responsable del asunto. Se consigue sin un equipo de seguridad.

Con cien personas, lo bueno añade gestión de identidades, automatización de altas y bajas, detección en los equipos y un plan de respuesta documentado que alguien haya ensayado de verdad.

Más allá, las preguntas pasan a ser organizativas y no técnicas: quién vigila las alertas, con qué rapidez se puede contener una cuenta comprometida y si las respuestas se sostienen a las dos de la madrugada de un día festivo.

El patrón que conviene notar es que el gasto rara vez fracasa porque una herramienta fuera demasiado barata. Fracasa porque nadie se hizo responsable de su resultado, y eso es una decisión de personal y no de compra.