Señales en el control de acceso
Señal 1. La contraseña es el único requisito para entrar al correo. Si un empleado puede abrir su buzón desde cualquier computadora del mundo con sólo usuario y contraseña, una credencial filtrada equivale a acceso completo. La pregunta de verificación es sencilla: ¿qué porcentaje de las cuentas tiene MFA activo, incluidas las de administrador y las de proveedores? Si la respuesta no es un número exacto, el porcentaje real es menor del que se cree.
Señal 2. Las cuentas de administrador se usan para trabajar. Leer correo, navegar y abrir archivos adjuntos con una cuenta que tiene permisos de administrador global o de dominio convierte cualquier clic desafortunado en un compromiso total del entorno. Lo mismo vale para la contraseña de administrador local que es idéntica en todos los equipos: con una sola credencial el atacante se mueve por toda la red.
También cuenta como señal el inventario de identidades que nadie revisa: usuarios de personas que ya salieron de la empresa, accesos de proveedores que terminaron el proyecto hace un año y aplicaciones de terceros con permiso permanente sobre el correo.
Señales en los equipos y en el software
Señal 3. El antivirus es lo único que hay en los equipos, y nadie mira su consola. Un antivirus de firmas no detecta el uso malicioso de herramientas legítimas del sistema, que es cómo opera hoy la mayor parte de los ataques. Y una consola que nadie abre no es detección: es un registro histórico que se consulta después del desastre.
Señal 4. Nadie sabe decir cuándo se parchó por última vez. Si no existe un ciclo con fecha, responsable y evidencia, hay vulnerabilidades conocidas abiertas desde hace meses. El punto crítico no son las computadoras de los usuarios, sino lo publicado en internet: VPN, firewall, servidores de acceso remoto y correo. Síntomas asociados: servidores con sistema operativo fuera de soporte, aplicaciones de negocio que impiden actualizar y equipos que llevan semanas sin reiniciarse.
- Verificación rápida para la señal 3: pedir el porcentaje de equipos y servidores con agente de EDR instalado y activo, y la última alerta que alguien atendió.
- Verificación rápida para la señal 4: pedir la fecha del último parcheo del concentrador de VPN y del firewall perimetral.
Señales en el respaldo
Señal 5. Hay respaldo, pero nunca se ha probado una restauración completa. Es la señal que más caro sale, porque da tranquilidad sin dar protección. Un respaldo que no se ha restaurado nunca es una hipótesis. Y hay tres defectos que sólo se descubren el día que hace falta: que la copia estaba incompleta, que tarda muchísimo más de lo que la operación aguanta, o que el ransomware la borró primero porque vivía en el mismo dominio y con las mismas credenciales.
Preguntas de verificación: ¿existe una copia inmutable o fuera de línea? ¿La consola de respaldo usa credenciales distintas de las del dominio? ¿Cuándo fue la última restauración de prueba y quién firmó el resultado? ¿Cuánta información nos podemos permitir perder y cuánto tiempo puede estar detenida la operación, acordado por escrito con la dirección?
Señales en la operación y en las personas
Señal 6. No existe un plan de respuesta escrito. Si al preguntar quién decide desconectar un servidor, a quién se llama fuera de horario y dónde están los teléfonos de contacto la respuesta es un nombre y no un documento, el incidente se va a gestionar improvisando. El plan debe estar impreso y guardado fuera de los sistemas que un ataque va a cifrar.
Señal 7. La seguridad depende de que los usuarios no se equivoquen, y nadie los ha entrenado. Sin capacitación periódica, sin ejercicios de phishing y sin un canal claro y sin castigo para reportar un correo sospechoso, el usuario que cae en una trampa lo oculta. Y las horas que pasan entre el clic y el aviso son justo las que decide el incidente.
Hay una octava señal que no numeramos porque es consecuencia de las anteriores: nadie puede responder cuántos equipos, servidores y servicios en la nube tiene la empresa. Sin inventario, todo lo demás es una estimación.
En qué orden corregirlas
Cuando aparecen varias señales a la vez, la tentación es comprar una herramienta. El orden que mejor reduce riesgo por peso de trabajo es otro:
- Identidad. MFA en todas las cuentas, bloqueo de la autenticación heredada, cuentas de administrador separadas de las de uso diario y revisión de accesos de terceros. Son días de trabajo y eliminan la vía de entrada más usada.
- Respaldo. Una copia inmutable o aislada, con credenciales independientes, y una restauración de prueba con resultado por escrito. Es lo que determina si un incidente dura un fin de semana o un mes.
- Detección en los equipos. EDR en estaciones y servidores, con reglas de reducción de superficie de ataque y protección contra desinstalación, y con alguien que atienda las alertas también de madrugada.
- Parcheo y exposición. Inventario, ciclo mensual con plazos por criticidad, prioridad para lo publicado en internet y retiro del escritorio remoto expuesto.
- Plan de respuesta y capacitación. Un documento de dos páginas con roles, teléfonos y primeros pasos vale más que un manual de cien que nadie leyó. Y ejercicios de phishing con medición de mejora, no para señalar a nadie.
Cómo saber que mejoró
Para que esto no se vuelva una sensación, conviene seguir unos pocos indicadores y revisarlos cada mes con la dirección:
- Porcentaje de cuentas con MFA, y número de exclusiones vigentes con su justificación y fecha de revisión.
- Porcentaje de equipos y servidores con EDR activo y reportando.
- Tiempo medio desde que se publica un parche crítico hasta que está aplicado en el perímetro.
- Fecha y resultado de la última restauración de prueba, y tiempo real que tomó.
- Tiempo desde que se genera una alerta hasta que alguien la atiende, dentro y fuera del horario laboral.
- Tasa de reporte de correos sospechosos: cuánta gente avisa, no sólo cuánta gente cae.