«Creemos que el control de seguridad funciona» ya no es suficiente

Las eva­lua­cio­nes de se­gu­ri­dad, ries­go y cum­pli­mien­to so­lían rea­li­zar­se prin­ci­pal­men­te para cum­plir con nor­ma­ti­vas, su­pe­rar au­di­to­rías y com­ple­tar trá­mi­tes me­dian­te ca­si­llas mar­ca­das. No obs­tan­te, en la ac­tua­li­dad, las jun­tas di­rec­ti­vas, los clien­tes y los re­gu­la­do­res exi­gen una res­pues­ta mucho más com­ple­ja: una prue­ba real de que los con­tro­les de se­gu­ri­dad están fun­cio­nan­do en el mo­men­to pre­sen­te. Ante esto, mu­chos res­pon­sa­bles de se­gu­ri­dad sue­len res­pon­der con in­cer­ti­dum­bre, re­fle­jan­do que exis­te una bre­cha im­por­tan­te entre lo que se cree sobre los con­tro­les y lo que real­men­te se puede ve­ri­fi­car.

Las re­vi­sio­nes ba­sa­das en mo­men­tos es­pe­cí­fi­cos o en mues­tras li­mi­ta­das ya no son su­fi­cien­tes para ga­ran­ti­zar la se­gu­ri­dad de­bi­do al cam­bio cons­tan­te de las em­pre­sas y a la evo­lu­ción de los ries­gos. Los con­tro­les su­fren al­te­ra­cio­nes con el tiem­po y pue­den dejar de fun­cio­nar co­rrec­ta­men­te poco des­pués de que con­clu­ya una au­di­to­ría, per­ma­ne­cien­do vul­ne­ra­bles du­ran­te meses mien­tras los in­for­mes si­guen re­fle­jan­do que todo es­ta­ba en orden. Esto deja a los pro­fe­sio­na­les en una po­si­ción frá­gil al mo­men­to de fir­mar com­pro­mi­sos con clien­tes o re­gu­la­do­res, ba­sán­do­se úni­ca­men­te en prue­bas frag­men­ta­das de su en­torno tec­no­ló­gi­co.

La so­lu­ción pro­pues­ta es el mo­ni­to­reo con­ti­nuo de los con­tro­les, lo que per­mi­te eva­luar los sis­te­mas con datos en vivo y de ma­ne­ra cons­tan­te en lugar de de­pen­der de re­vi­sio­nes pe­rió­di­cas en el ca­len­da­rio. Este en­fo­que busca res­pon­der si ha ocu­rri­do algún cam­bio en el en­torno cada día, pres­tan­do aten­ción a ele­men­tos crí­ti­cos como iden­ti­da­des, ac­ce­sos, con­fi­gu­ra­cio­nes en la nube, vul­ne­ra­bi­li­da­des y pro­vee­do­res. Lejos de ge­ne­rar más ruido o aler­tas in­ne­ce­sa­rias, un mo­ni­to­reo con­ti­nuo bien im­ple­men­ta­do ayuda a iden­ti­fi­car prio­ri­da­des cla­ras y se ali­nea con los li­nea­mien­tos ac­tua­les de mar­cos de tra­ba­jo como el de NIST.