Selección de controles de seguridad y análisis de brechas

Los controles preventivos bloquean las amenazas antes de que se materialicen (firewalls, control de acceso y cifrado). Los controles de detección identifican las amenazas que ya se han producido (IDS, registros y auditorías). Los controles correctivos reducen el impacto después de un incidente (copias de seguridad, planes de respuesta a incidentes y parches). La defensa en profundidad requiere los tres tipos.

Los controles abarcan varias dimensiones: físicos (cerraduras y cámaras), técnicos (firewalls y MFA) y administrativos (políticas y capacitación). Para un riesgo determinado, seleccione controles complementarios de varias categorías: un control técnico respaldado por una política administrativa y seguridad física crea una auténtica defensa en profundidad.

Seleccione controles proporcionales al riesgo. Calcule el riesgo residual: riesgo inherente menos la eficacia de los controles. Los riesgos con una probabilidad y un impacto altos justifican controles costosos. Los riesgos con una probabilidad y un impacto bajos pueden aceptarse sin controles. Documente la justificación del tratamiento de riesgos.

NIST 800-53, revisión 5, contiene más de 1.000 controles organizados en 20 familias (AC, AU, CA, CM, etc.). Las agencias federales y los contratistas deben implementar las líneas base especificadas (Baja/Moderada/Alta). El catálogo es la referencia de controles técnicos más completa disponible.

El análisis de brechas compara el estado actual de su seguridad con la línea base de un marco de referencia objetivo. Pasos: (1) Documente los controles implementados actualmente, (2) asígnelos a los controles del marco, (3) identifique los controles no implementados o implementados parcialmente, (4) priorice las brechas según el riesgo y (5) cree una hoja de ruta de corrección.

Cuando no es posible implementar un control ideal (por su coste, las limitaciones operativas o los sistemas heredados), implemente controles compensatorios que logren una reducción equivalente del riesgo por medios alternativos. Documente la justificación del control compensatorio para los auditores y la aceptación del riesgo.

Los controles deben probarse; no debe suponerse que funcionan. Pruebe los controles preventivos intentando realizar la acción bloqueada. Pruebe los controles de detección simulando el evento y verificando que se detecte. Pruebe los controles correctivos mediante ejercicios teóricos y simulacros de recuperación.

CIS Critical Security Controls (18 controles) son salvaguardas priorizadas y prácticas. Los Grupos de implementación (IG1/IG2/IG3) abarcan desde la higiene básica para organizaciones pequeñas hasta controles sofisticados para grandes empresas. IG1 proporciona las protecciones básicas de mayor impacto para una seguridad mínima viable.

Los resultados del análisis de brechas se convierten en una hoja de ruta de madurez: priorice según la reducción del riesgo por cada dólar, agrupe los controles en sprints trimestrales, haga un seguimiento del progreso respecto a los hitos de madurez e informe de los avances a los directivos utilizando el lenguaje del riesgo empresarial en lugar de jerga técnica.

La gestión de riesgos de terceros requiere evaluar los controles de su cadena de suministro. Los cuestionarios de seguridad, los informes SOC 2, los certificados ISO 27001 y los resúmenes de pruebas de penetración proporcionan evidencias de la eficacia de los controles de los proveedores. Los proveedores de alto riesgo pueden requerir evaluaciones in situ.

Los controles se deterioran con el tiempo: disminuyen los niveles de aplicación de parches, las configuraciones se desvían y se acumulan los permisos de acceso. La supervisión continua de los controles mediante herramientas automatizadas de cumplimiento (AWS Config, Azure Policy y SCC) mantiene un estado de los controles en tiempo real, en lugar de una imagen puntual obtenida durante las auditorías anuales.

¿Cuál es la diferencia entre los controles de seguridad preventivos y los de detección?

La selección de controles relaciona los riesgos identificados con controles preventivos, de detección y correctivos adecuados en las categorías física, técnica y administrativa. El análisis de brechas identifica los controles que faltan en comparación con las líneas base de los marcos de referencia, y una hoja de ruta priorizada según el riesgo impulsa una mejora sistemática hacia una madurez de seguridad medible.