Por qué los CISO no pueden permitirse tener puntos ciegos en las auditorías de gobernanza del correo electrónico

El correo electrónico sigue siendo el principal vector de ataque para las empresas, y los puntos ciegos en las auditorías de las plataformas de correo electrónico y de colaboración generan un riesgo significativo en los ámbitos financiero, jurídico y de reputación. La solución exige una gestión planificada: visibilidad unificada, controles de riesgos relacionados con el factor humano y un cumplimiento normativo justificable que abarque el correo electrónico, así como Teams, Slack y Zoom. Las organizaciones que no subsanen estas deficiencias se enfrentan a amenazas cada vez mayores que las herramientas de seguridad tradicionales por sí solas no pueden prevenir.

Por qué son tan peligrosos los puntos ciegos en las auditorías de correo electrónico

El correo electrónico como principal vía de ataque

El malware, el ransomware y el phishing siguen llegando principalmente a través del correo electrónico, y los atacantes no dejan de perfeccionar sus técnicas para eludir incluso las herramientas de seguridad más sofisticadas. Aunque las organizaciones realizan importantes inversiones en soluciones de seguridad del correo electrónico, el error humano sigue constituyendo la brecha que necesitan los delincuentes. Basta con que un solo empleado haga clic en un enlace malicioso para que la infraestructura de seguridad, valorada en millones de dólares, quede inutilizada.

Los puntos ciegos en las auditorías de correo electrónico ocultan puntos críticos de fallo en los que los controles fallan y se concentran los comportamientos de riesgo. Sin una visión global de estos patrones, los equipos de seguridad trabajan a ciegas, sin poder identificar a los usuarios vulnerables ni las debilidades sistémicas hasta que se produce un incidente.

Business email compromise (BEC)

Las cuentas comprometidas permiten el movimiento lateral por las redes, la preparación de ataques de ransomware y la realización de pagos fraudulentos, lo que supone un coste medio de 125 000 dólares por incidente para las organizaciones. La confianza en los remitentes conocidos, que hace que la comunicación por correo electrónico sea eficaz, también hace que el BEC resulte especialmente perjudicial. Los empleados bajan naturalmente la guardia cuando los mensajes parecen proceder de compañeros o socios de confianza.

Para que las auditorías sean eficaces, deben comprobar los mecanismos de verificación de la identidad y las capacidades de detección de anomalías en todo el ecosistema del correo electrónico. Esto incluye verificar la aplicación de DMARC, supervisar patrones de inicio de sesión inusuales y detectar cambios en el comportamiento que indiquen que la cuenta ha sido comprometida.

Amenazas internas (accidentales y malintencionadas)

La filtración de datos, el uso indebido de información confidencial y el uso inadecuado del correo electrónico eluden, por su propia naturaleza, las defensas perimetrales.,Tthe La amenaza proviene del interior. Ya sean accidentales o intencionados, los incidentes provocados por personas internas eluden los controles de seguridad tradicionales, que se centran en las amenazas externas.

Las soluciones DLP tradicionales no tienen en cuenta señales cruciales relacionadas con el contexto y la intención del usuario. Las auditorías deben evaluar los sistemas de monitorización de riesgos internos, los protocolos de respuesta y la capacidad para distinguir entre actividades empresariales legítimas y posibles robos de datos. Las organizaciones necesitan saber no solo qué datos se transfieren, sino también quién los transfiere y por qué.

La «TI en la sombra» y el «correo electrónico en la sombra»

Los buzones de correo personales y las aplicaciones de terceros no autorizadas quedan totalmente al margen de las políticas de conservación, los controles de prevención de fugas de datos (DLP) y los requisitos de retención legal. Los empleados suelen reenviar correos electrónicos del trabajo a sus cuentas personales por comodidad, lo que da lugar a repositorios de datos confidenciales que no están controlados.

Los marcos de gobernanza deben identificar y restringir los canales no autorizados, al tiempo que ofrecen alternativas aceptables que satisfagan las necesidades de los usuarios. Esto incluye el control de las herramientas de inteligencia artificial que los empleados utilizan cada vez más para realizar tareas laborales sin comprender los riesgos que conlleva la exposición de los datos.

Fugas de datos y vulnerabilidades de los sistemas de prevención de pérdida de datos (DLP)

Los datos confidenciales circulan constantemente a través del correo electrónico y las aplicaciones de colaboración, ya sea porque se comparten de forma intencionada o porque se divulgan accidentalmente. Los estudios indican que uno de cada 17 mensajes de colaboración contiene datos confidenciales, y que la información de identificación personal (PII) aparece en el 37 % de los mensajes en todas las plataformas.

Las auditorías deben someter a pruebas de estrés las políticas de prevención de pérdida de datos (DLP) en condiciones reales, examinando los procesos de gestión de excepciones y los flujos de trabajo de censura. Muchas organizaciones se dan cuenta de que sus reglas de DLP generan tantos falsos positivos que los equipos de seguridad suelen ignorar las alertas, lo que hace que los controles resulten ineficaces.

Cumplimiento normativo y riesgo jurídico

El RGPD, la HIPAA y las normativas específicas de cada sector imponen obligaciones estrictas en materia de tratamiento de datos, notificación de violaciones de seguridad y divulgación de información. El incumplimiento conlleva sanciones económicas inmediatas, pero los costes a largo plazo, los litigios, el escrutinio regulatorio y el daño a la reputación suelen superar las multas iniciales.

Las auditorías inadecuadas no detectan las deficiencias en el cumplimiento normativo hasta que los organismos reguladores o los abogados litigantes las sacan a la luz. Las organizaciones necesitan una validación proactiva de su situación de cumplimiento antes de que terceros les obliguen a abordarla mediante auditorías o solicitudes de información en el marco de procedimientos judiciales.

La superficie de ataque cada vez mayor y la falta de visibilidad

Plataformas de colaboración (Teams, Slack, Zoom)

La comunicación empresarial moderna va mucho más allá del correo electrónico; sin embargo, la mayoría de los programas de seguridad tratan las plataformas de colaboración como algo secundario. Los controles nativos de estas plataformas ofrecen una protección mínima, ya que carecen de las sofisticadas capacidades de detección de amenazas y de cumplimiento normativo que la seguridad del correo electrónico ha desarrollado a lo largo de décadas.

Las auditorías deben verificar que las políticas de captura, clasificación y conservación se apliquen de manera uniforme en todos los canales de comunicación. Un mensaje que contenga datos de clientes requiere la misma protección, tanto si se envía por correo electrónico como si se comparte en un canal de Teams.

La «TI en la sombra» y las herramientas de IA no autorizadas

Los empleados filtran datos a aplicaciones no verificadas y a plataformas de inteligencia artificial generativa a un ritmo alarmante. Los responsables de seguridad expresan una preocupación justificada por la divulgación involuntaria de información, ya que el personal pega información confidencial en ChatGPT o sube documentos sensibles a servicios en la nube no autorizados.

La gobernanza debería exigir el uso de alternativas autorizadas, al tiempo que se implementan controles técnicos que impidan la filtración de datos hacia servicios no autorizados. Esto incluye la supervisión de patrones sospechosos de movimiento de datos y el bloqueo de las subidas a destinos que se sabe que entrañan riesgo.

Soluciones puntuales fragmentadas

Las herramientas de seguridad desconectadas entre sí generan silos de datos y fatiga por alertas, lo que da lugar a puntos ciegos que pueden ser objeto de explotación. Cuando la seguridad del correo electrónico, la supervisión de la colaboración y el DLP funcionan de forma independiente, los atacantes se aprovechan de las brechas existentes entre los sistemas.

El coste medio de una fuga de datos provocada por una persona interna asciende a 15 millones de dólares. La consolidación reduce tanto el riesgo como la complejidad operativa, al proporcionar una visibilidad unificada y una aplicación coherente de las políticas en todos los canales de comunicación.

El elevado coste de los incumplimientos normativos y las auditorías

Regulaciones en evolución

Los constantes cambios normativos aumentan el riesgo de interpretaciones erróneas, y dos tercios de los profesionales no se sienten seguros respecto a su situación de cumplimiento normativo. Los nuevos requisitos surgen más rápido de lo que las organizaciones pueden adaptar sus procesos y controles.

Las auditorías deben evaluar la periodicidad de las actualizaciones, la precisión en la correspondencia con las políticas y la exhaustividad de la cobertura de las pruebas. Las organizaciones necesitan marcos que se adapten automáticamente a los cambios normativos, en lugar de tener que actualizar las políticas de forma manual.

Identificación de datos y preparación jurídica

Los procesos de auditoría, investigación y litigios se ven dificultados cuando las pruebas se encuentran dispersas en sistemas aislados entre sí o siguen siendo modificables tras su creación. Los equipos jurídicos pierden un tiempo valioso buscando comunicaciones relevantes en múltiples plataformas.

Las organizaciones deben verificar la integridad de los registros, la inmutabilidad de los archivos, los controles de acceso basados en roles, la documentación de la cadena de custodia y las capacidades de búsqueda rápida. Estas capacidades determinan si las organizaciones pueden responder de manera eficaz a las solicitudes de divulgación de información en el marco de procedimientos judiciales o a las consultas de las autoridades reguladoras.

DMARC, PCI DSS y requisitos de las aseguradoras

La norma PCI DSS 4.0 exige la implementación de DMARC para evitar la suplantación de identidad de marcas, y su aplicación ha entrado en vigor en marzo de 2025. Las aseguradoras cibernéticas exigen cada vez más la implantación de DMARC como condición para la cobertura, al reconocer su eficacia a la hora de prevenir los ataques a través del correo electrónico.

Las auditorías deben verificar la configuración de la política DMARC, los ajustes del modo de aplicación y los mecanismos de generación de informes. Muchas organizaciones implementan DMARC en modo de supervisión, pero nunca pasan a la fase de aplicación, lo que deja la puerta abierta a los ataques de suplantación de dominio.

El factor humano: su variable más importante

Concentración desproporcionada de riesgos

Los estudios demuestran sistemáticamente que aproximadamente el 8 % de los usuarios son responsables del 80 % de los incidentes de seguridad. Estas personas de alto riesgo requieren controles e intervenciones específicos, en lugar de una formación genérica dirigida a toda la organización.

Comportamientos arriesgados, pero elegidos a sabiendas

Más del 90 % de los usuarios que realizan acciones poco seguras son conscientes del riesgo, pero siguen adelante de todos modos. Dan prioridad a la comodidad o la productividad frente a la seguridad, ya que creen que las consecuencias negativas no les afectarán personalmente. Los recordatorios oportunos que aparecen en el momento en que surge el riesgo pueden orientar estas decisiones hacia opciones más seguras.

Incidencia de las infracciones y costes derivados de la información privilegiada

Casi el 60 % de las infracciones se deben a errores humanos o a acciones de personas internas. El coste medio de un incidente provocado por una persona con información privilegiada asciende a 15 millones de dólares si se tienen en cuenta la investigación, las medidas correctivas, los honorarios legales y la interrupción de la actividad empresarial. Las auditorías deben evaluar las metodologías de puntuación de riesgos humanos, la eficacia de las políticas adaptativas y el impacto de los programas de orientación.

Puntos en los que suelen fallar las auditorías de gobernanza del correo electrónico

• Lagunas en el alcance: Las organizaciones auditan el correo electrónico de forma meticulosa, pero pasan por alto Teams, Slack, Zoom y los buzones de correo personales, lo que genera enormes lagunas en las pruebas. Las políticas carecen de coherencia entre los distintos canales, ya que cada plataforma cuenta con períodos de conservación, normas de prevención de pérdida de datos (DLP) y procedimientos de retención legal diferentes.
• Integridad de las pruebas: Sinarchivos inmutables y a prueba de manipulaciones, así como un registro completo de los cambios, las organizaciones no pueden demostrar la autenticidad de los datos. Una documentación deficiente de la cadena de custodia socava la solidez jurídica del caso, lo que podría dar lugar a que las pruebas no sean admisibles.
• Controles de identidad y BEC: SPF, DKIM y DMARC siguen estando mal configurados o sin aplicarse en muchas organizaciones. La detección limitada de anomalías en los patrones de inicio de sesión, las imposibilidades geográficas o los cambios en el comportamiento de los proveedores permite que las cuentas comprometidas sigan funcionando sin ser detectadas.
• Desviación de las políticas y excepciones: la dependencia excesivade las excepciones manuales, los diccionarios de DLP obsoletos y la ausencia de procesos de certificación provocan una desviación de las políticas. Sin revisiones periódicas, las políticas de seguridad se van alejando cada vez más de las operaciones empresariales reales y del panorama de amenazas.

Gestión del correo electrónico preparada para auditorías

Visibilidad unificada

Centralice la captura y la conservación de los datos de correo electrónico y de colaboración utilizando normas de metadatos coherentes. Este enfoque unificado elimina los puntos ciegos que aprovechan los atacantes y garantiza una cobertura de auditoría exhaustiva.

Normalice las etiquetas de clasificación y sensibilidad en todos los canales para garantizar una protección coherente, independientemente del método de comunicación.

Conservación justificable y retención legal

Adapte las políticas de conservación de datos directamente a los requisitos normativos y a las obligaciones contractuales. Implemente archivos inmutables que impidan la manipulación y permitan un descubrimiento electrónico rápido y preciso cuando sea necesario.

Autenticación sólida y confianza en el remitente

Aplique DMARC en los niveles de cuarentena o rechazo, implemente protocolos de supervisión rigurosos y verifique la autenticidad de los correos electrónicos de socios y proveedores. Estos controles evitan la suplantación de dominios y reducen el número de ataques de phishing que tienen éxito.

Medidas de control de los riesgos para las personas

Implemente puntuaciones de riesgo de los usuarios que impulsen la prevención adaptativa de fugas de datos (DLP), la protección de enlaces, el análisis en entorno aislado de archivos adjuntos y la formación «justo a tiempo». Centrar las intervenciones intensivas en los usuarios de alto riesgo, al tiempo que se simplifican las medidas de seguridad para los empleados de bajo riesgo.

Cómo eliminar los puntos ciegos mediante una estrategia unificada

Obtenga una visibilidad completa

Recopile, procese y conserve datos procedentes del correo electrónico, Teams, Slack y otras plataformas en un único sistema unificado. Detecte el intercambio no autorizado de información y las infracciones de las políticas casi en tiempo real en todos los canales de comunicación.

Automatizar y adaptar los controles

Ajuste los niveles de protección en función de los perfiles de riesgo de los usuarios. Aplique medidas de incentivo y controles más estrictos a los usuarios de alto riesgo, evitando al mismo tiempo que ello afecte a la productividad de los empleados que cumplen las normas. Coordine automáticamente la cuarentena, el cifrado y la ocultación de datos sin generar cuellos de botella manuales.

Aproveche las ventajas de la inteligencia artificial y la analítica avanzada

Implemente la inteligencia artificial para detectar intentos de estafa BEC, patrones de comunicación anómalos y comportamientos de empleados que los analistas humanos podrían pasar por alto. Los modelos de aprendizaje automático entrenados con billones de correos electrónicos pueden distinguir los mensajes legítimos de las amenazas sofisticadas.

Conclusión: De los puntos ciegos a una gobernanza sólida

Los riesgos relacionados con el correo electrónico y la colaboración se derivan, fundamentalmente, de las lagunas de visibilidad y de los retos que plantea el comportamiento humano. Una gestión eficaz debe abarcar todos los canales, identidades y contextos para ofrecer una protección completa. Una estrategia unificada y preparada para las auditorías reduce la probabilidad de que se produzcan infracciones, limita el riesgo interno, agiliza las investigaciones y refuerza tanto el cumplimiento normativo como la confianza de las partes interesadas.

Cómo contribuye Mimecast a esta estrategia

Mimecast ofrece una visibilidad y una conservación unificadas en el correo electrónico y las plataformas de colaboración, lo que permite subsanar las deficiencias en materia de gobernanza y agilizar los procesos de descubrimiento electrónico. Nuestra función de gestión de Human Risk evalúa a los usuarios de forma dinámica y adapta los controles —desde ligeros recordatorios hasta la aplicación estricta de las políticas de prevención de pérdida de datos (DLP)— en función de los perfiles de riesgo individuales.

Las funciones avanzadas de detección identifican los intentos de estafa BEC y la suplantación de marcas, lo que incluye una gestión integral de las políticas DMARC y la elaboración de informes. El archivo inmutable, el registro completo en diario y la cadena de custodia documentada proporcionan pruebas de auditoría defendibles que resisten el escrutinio normativo.

Nuestra IA, entrenada con billones de correos electrónicos, distingue las comunicaciones legítimas de las amenazas, al tiempo que reduce el ruido para los equipos de seguridad. Este enfoque integral transforma la gestión del correo electrónico, pasando de ser una carga en materia de cumplimiento normativo a convertirse en una ventaja estratégica que protege los activos más importantes de su organización.