Salvar la brecha entre el cumplimiento normativo y la seguridad operativa

En lo que respecta a la ciberdefensa, el mero hecho de cumplir con los requisitos no siempre es sinónimo de seguridad. Muchas organizaciones siguen superando sus auditorías, obtienen el sello de aprobación y, a continuación, sufren una filtración de datos.

A los atacantes no les importa si dispone de una carpeta con las políticas o de un informe de auditoría sin objeciones. Les preocupan los dispositivos finales sin parches, las identidades con seguridad deficiente, las carpetas de colaboración olvidadas y los equipos de seguridad sobrecargados de trabajo.

Para los expertos de Mimecast, la conclusión es clara: el cumplimiento normativo y la seguridad operativa deben ir de la mano. «No basta con demostrar que existen controles», afirma Andrew Williams, director principal de marketing de producto de Mimecast. «Hay que demostrar que son capaces de trabajar bajo presión». «De lo contrario, estará dejando la puerta abierta».

Cumplimiento normativo: el conjunto de normas que no puede ignorar

El cumplimiento normativo consiste en cumplir con los requisitos externos: el RGPD en Europa, la HIPAA en el ámbito sanitario, la norma PCI DSS en el sector de los pagos, la NIS2 para los sectores críticos y un entramado cada vez más amplio de leyes estatales en materia de privacidad.

Estos marcos exigen que las organizaciones apliquen controles, documenten las medidas adoptadas y demuestren su cumplimiento. Registros, informes, certificaciones: constituyen su rastro de pruebas ante los organismos reguladores y las partes interesadas.

El resultado es evidente: seguridad jurídica y menor responsabilidad. Sin embargo, el mero cumplimiento normativo solo responde a una pregunta: ¿puede demostrar a los auditores que ha actuado correctamente? No siempre responde a la pregunta más importante: ¿Se puede detener un ataque?

Seguridad operativa: ahí es donde se libra la verdadera batalla

La seguridad operativa (OpSec) es lo que ocurre cada día en el SOC. Son las configuraciones, las detecciones y los procedimientos los que permiten contener las amenazas.

Se basa tanto en el riesgo como en los resultados:

• Controles de identidad, como la autenticación multifactorial (MFA) y el acceso basado en roles.
• Segmentación de la red para limitar el movimiento lateral.
• Gestión de parches y vulnerabilidades para reducir la superficie de ataque.
• Detección y respuesta rápidas ante intrusiones puntuales.
• Planes de copia de seguridad y de continuidad para recuperarse cuando surgen problemas.

Mimecast aprecia la diferencia entre sus 42 000 clientes, procesando miles de millones de interacciones cada día. Las organizaciones que cuentan con programas de seguridad operativa (OpSec) bien consolidados se recuperan más rápidamente, registran menos incidentes y dedican menos tiempo a resolver problemas de forma urgente cuando se produce un incidente.

¿Por qué existe esa diferencia?

El cumplimiento normativo establece los requisitos mínimos y exige pruebas. OpSec le ofrece la capacidad necesaria. Con demasiada frecuencia, se gestionan de forma aislada.

Esto da lugar a dos consecuencias dolorosas:

• Cumplen con la normativa, pero son inseguras: las organizaciones superan las auditorías, pero sufren brechas de seguridad porque los controles no se aplicaron ni se sometieron a pruebas.
• Seguro, pero no conforme con la normativa: los equipos cuentan con defensas sólidas, pero carecen de pruebas, lo que expone a la empresa a sanciones normativas.

Los responsables de seguridad denominan a esto «teatro de auditoría»: una documentación impecable que, sin embargo, guarda poca relación con la resiliencia en el día a día. El verdadero riesgo es acabar enfrentándose a ambos problemas a la vez: puntos ciegos que los atacantes pueden aprovechar y deficiencias en el cumplimiento normativo que los organismos reguladores sancionarán.

Unir los puntos: convertir el cumplimiento normativo en una estrategia de defensa

Los investigadores de Mimecast sostienen que la solución consiste en vincular directamente las obligaciones normativas con los controles operativos.

RGPD → Controles operativos

La minimización de datos, el control de acceso, el cifrado y la notificación de violaciones de seguridad se corresponden con: la clasificación de datos, la prevención de fugas de datos (DLP), la gestión de claves, el registro centralizado y los manuales de respuesta ante incidentes.

HIPAA → Controles operativos

Las medidas de seguridad administrativas y técnicas para la información médica protegida (PHI) se traducen en: autenticación de múltiples factores (MFA) y control de acceso basado en roles (RBAC), registro de accesos a la PHI, refuerzo de la seguridad de los terminales, pruebas de recuperación ante desastres y supervisión de los proveedores.

PCI DSS → Controles operativos

La gestión continua de vulnerabilidades y el mapa de segmentación se corresponden con: la microsegmentación de los entornos de los titulares de tarjetas, los acuerdos de nivel de servicio (SLA) de análisis, las alertas del sistema SIEM y las ventanas de cambio estructuradas.

NIS2 → Controles operativos

La gestión de riesgos y la notificación de incidentes se concretan en: objetivos definidos de MTTD y MTTR, simulacros, inventarios de SBOM y supervisión continua de los proveedores.

Cada marco le indica cuáles son los requisitos. Asignarles medidas técnicas garantiza que le protejan realmente en condiciones reales.

Siete pasos para reducir la brecha

Los expertos de Mimecast recomiendan un manual de procedimientos estructurado que integre el cumplimiento normativo y la seguridad operativa (OpSec) en un único sistema de registro. Piense en ello como la diferencia entre un coche con los faros en buen estado y un salpicadero que le avisa realmente cuando uno de ellos se funde. Necesita ambas cosas.

1) Establecer un lenguaje común

Los equipos de Asuntos Jurídicos, Gestión de Riesgos y Seguridad suelen hablar sin entenderse entre sí. El ámbito jurídico se ocupa de las leyes y las cláusulas. El departamento de seguridad se ocupa de las configuraciones y la telemetría. El departamento de riesgos se ocupa de la exposición residual y de su impacto.

Para salvar esa brecha, lo primero es contar con un único catálogo de controles compartido. Asigne cada requisito, desde el RGPD hasta la NIS2, a los controles que lo cumplen. A continuación, asigne los nombres:

• Los responsables del control redactan las políticas y se aseguran de que estén siempre actualizadas.
• Los responsables de los servicios se encargan de la gestión técnica diaria.
• Los responsables de las pruebas demuestran a los auditores que los controles funcionan.

Esta estructura evita las prisas de última hora durante las auditorías y ayuda a establecer prioridades a la hora de aplicar medidas correctoras cuando un control deja de cumplir los requisitos. No se trata solo de documentación, sino de rendir cuentas por escrito.

2) Convertir la política en normas

Las políticas suelen ser de carácter orientativo: «Exigimos la autenticación de dos factores (MFA) para todos los usuarios con privilegios». Las normas lo hacen viable: «La autenticación multifactorial (MFA) debe aplicarse mediante políticas de acceso condicional para el 100 % de las identidades con privilegios, con excepciones de duración limitada aprobadas por el CISO».

En entornos sensibles, vaya un paso más allá:

• Exija el uso de FIDO2 o de una autenticación multifactorial (MFA) resistente al phishing para los administradores de dominio.
• Aplique límites de tiempo de sesión en los sistemas de alto riesgo.
• Aplique medidas más estrictas de registro y conservación de la información médica protegida (PHI) o de los datos de los titulares de tarjetas.

Este nivel de especificidad elimina la ambigüedad, permite auditar su cumplimiento y ofrece a los ingenieros un objetivo claro que deben alcanzar.

3) Automatizar la recopilación de pruebas

Las capturas de pantalla son reliquias del pasado, y los atacantes saben cómo cumplir con la normativa el tiempo justo para superar una auditoría. La verdadera resiliencia requiere telemetría en tiempo real.

Controles de los instrumentos que informan de su propio estado:

• Cobertura del cifrado de dispositivos finales a través de MDM.
• Cumplimiento de las actualizaciones de seguridad detectadas por los escáneres de vulnerabilidades.
• Datos de inscripción en MFA procedentes de su IdP.

Introduzca estos datos en un panel de control centralizado de GRC para que el estado de cumplimiento se actualice de forma continua. Ahora, en lugar de la «temporada de pánico» anual, sus directivos pueden consultar un indicador en tiempo real que muestra la situación de la empresa —en verde, amarillo o rojo— y tomar medidas antes incluso de que llegue el auditor.

4) Comprobación de la eficacia

No basta con tener el control; es necesario saber que funciona bajo presión. Aquí es donde entran en juego las pruebas de resistencia:

• Simulaciones de phishing: compruebe si los empleados realmente reconocen y notifican los correos electrónicos sospechosos.
• Ejercicios de los equipos «rojo» y «morado»: Identificar las deficiencias en la detección y la respuesta.
• Simulacros de copia de seguridad y recuperación: demuestre que puede restaurar un sistema crítico dentro del plazo de recuperación (RTO).
• Simulacros de mesa cronometrados: mida la rapidez con la que los equipos escalan el problema, se comunican y responden.

El seguimiento de indicadores como el tiempo medio de detección (MTTD) y el tiempo medio de respuesta (MTTR) convierte la seguridad en un debate sobre el rendimiento, y no solo en un mero trámite burocrático.

5) Integrar el cumplimiento normativo en la entrega

Las infraestructuras modernas cambian a diario. Si el cumplimiento normativo se limita únicamente a un documento normativo, es inevitable que se produzca una desviación. En su lugar, incorpore medidas de seguridad directamente en el proceso de desarrollo:

• Analice la infraestructura como código para detectar posibles errores de configuración.
• Bloquee las implementaciones de contenedores que presenten vulnerabilidades críticas.
• Registre automáticamente las autorizaciones y los planes de reversión.

Este enfoque garantiza que el cumplimiento normativo no sea una línea de trabajo independiente, sino que se integre en el proceso de implantación y mantenimiento de los nuevos sistemas.

6) Garantizar la seguridad de la cadena de suministro

La solidez de su estrategia de seguridad depende en gran medida de la de los proveedores que tienen acceso a sus datos. Asigne los compromisos de cada proveedor, los acuerdos de tratamiento de datos (DPA), los acuerdos de asociación empresarial (BAA) y los informes SOC 2 a su catálogo de controles.

A continuación, supervíselos de forma continua:

• Utilice plataformas de gestión de riesgos de terceros para analizar a los proveedores en busca de puertos abiertos, certificados caducados o credenciales filtradas.
• Exija certificaciones y revisiones anuales a los proveedores de alto riesgo.
• Incluya cláusulas sobre el derecho a realizar auditorías para no tener que confiar ciegamente en los demás.

A los atacantes les encantan los eslabones débiles. Las autoridades reguladoras no le darán tregua si una filtración de datos tiene su origen en un socio.

7) Fomentar una cultura de responsabilidad

La eficacia de los controles depende de las personas que los utilizan. Impartir una formación basada en funciones que guarde relación con las obligaciones reales:

• Los ingenieros aprenden qué significa la retención de registros y cómo configurarla.
• El personal de Recursos Humanos y de apoyo aprende a gestionar las solicitudes de datos de forma segura.
• Los directivos aprenden a interpretar los paneles de control y a tomar decisiones basadas en el riesgo.

Publique paneles de control sencillos y visuales que muestren a los directivos dos elementos uno al lado del otro:

• Garantía: ¿Cumplimos con la normativa?
• Preparación: ¿Podríamos hacer frente a un ataque si se produjera hoy mismo?

«Las nuevas pruebas que van surgiendo cambian las reglas del juego», afirma Williams. «Convierte el cumplimiento normativo de un motivo de pánico anual en un hábito diario, y demuestra a su consejo de administración que está preparado para ataques reales, no solo para auditorías».

Cómo se define el éxito

El éxito no consiste en superar una auditoría una vez al año. Se trata de disponer de un conjunto de controles unificado en el que cada requisito se identifique, se evalúe y se supervise. Se trata de informes trimestrales que combinan el estado de cumplimiento normativo con los indicadores operativos. Las auditorías son más rápidas y menos intrusivas, y habrá menos sorpresas cuando el próximo atacante llame a su puerta.

Cuando el cumplimiento normativo y la seguridad operativa (OpSec) se refuerzan mutuamente, los responsables de seguridad de la información (CISO) dedican menos tiempo a recopilar capturas de pantalla y más tiempo a mejorar las defensas.

Lo esencial

Los autores de amenazas están evolucionando rápidamente. Las autoridades reguladoras están aumentando las expectativas. Y las organizaciones que prosperen serán aquellas que logren vincular sus pruebas teóricas con las defensas en entorno de producción.

Mimecast ayuda a los CISO a hacer precisamente eso, gracias a una protección unificada del correo electrónico y la colaboración, una detección basada en inteligencia artificial y una supervisión continua de los controles que cumple con los requisitos de los organismos reguladores, al tiempo que mantiene a raya a los atacantes.

Concierte una demostración hoy mismo para descubrir cómo Mimecast convierte las obligaciones de cumplimiento normativo en una ventaja operativa, lo que le da la seguridad de que sus controles no solo existen, sino que funcionan.

Descubra las soluciones de seguridad para el correo electrónico y la colaboración de Mimecast →