La expresión «partir de la base de que se producirá una brecha de seguridad» ha completado su ciclo de vida, desde la idea inicial hasta convertirse en eslogan. Todos los proveedores que escriben sobre la seguridad de las infraestructuras críticas la utilizan ahora como titular. Los comentarios de CI Fortify la repiten de forma tan uniforme que la frase ha dejado de aportar información: ya no distingue un enfoque de otro y ya no indica a un operador qué debe hacer de forma diferente el lunes.

La forma de aprovechar el valor de esta idea es tomarla al pie de la letra. Imagina que hoy creyeras de verdad que un adversario capaz tuviera cierto grado de acceso a tu entorno. No de forma hipotética, como principio de diseño, sino en la realidad. ¿Qué es lo primero que cambiaría? La respuesta sincera no son las reglas de tu cortafuegos. Son tus comunicaciones.

No se trata de una formulación hipotética. Las directrices «CI Fortify» de la CISA define el aislamiento como «operar sin telecomunicaciones fiables, proveedores de Internet, proveedores de servicios ni dependencias de nivel superior»: la suposición de que se ha producido una intrusión, recogida en las directrices federales como una condición operativa más que como una postura.

La primera víctima de un supuesto compromiso de seguridad es la confianza en tus propios canales

Un adversario con acceso puede leer lo que envías a través de los canales a los que ha llegado. Partiendo de la hipótesis realista de que se ha producido una filtración, tu correo electrónico, tu chat corporativo y, posiblemente, tu tráfico de voz suponen un riesgo de divulgación precisamente cuando más importa que no se divulgue nada: mientras hablas de lo que sabes, de lo que piensas hacer al respecto y de dónde están tus puntos débiles en materia de defensa.

Por eso, la coordinación fuera de banda es una medida de control establecida y no una mera preferencia. MITRE ATT&CK la incluye como medida de mitigación M1060, y recomienda a los defensores que «establezcan canales de comunicación seguros fuera de banda para garantizar la continuidad de las comunicaciones críticas durante incidentes de seguridad, ataques a la integridad de los datos o fallos de comunicación dentro de la red». Los manuales de respuesta serios establecen estos canales antes de hacer cualquier otra cosa. Sin embargo, el contenido de CI Fortify del sector parte constantemente de la hipótesis de que el sistema ya está comprometido y rara vez sigue esta premisa hasta su consecuencia operativa más inmediata.

Tomarse en serio el principio de «asumir que se ha producido una filtración» significa dar por hecho que el adversario puede interceptar tu coordinación. El primer requisito que esto implica es disponer de un canal de comunicación al que el adversario no tenga acceso.

La lista de comprobación que genera realmente la premisa

Si se lleva hasta sus últimas consecuencias, el compromiso asumido da lugar a un conjunto concreto de requisitos operativos.

1. Un canal de coordinación fuera de banda. Voz y mensajería cifradas de extremo a extremo, independientes de la pila de identidad corporativa y de la ruta de red, disponibles para los responsables y el personal de respuesta antes de que se produzca un incidente, en lugar de tener que improvisarlas durante el mismo. BlackBerry^® SecuSUITE^® proporciona esta capa.
   

2. Un sistema de alertas que no depende de una infraestructura vulnerable. La capacidad de llegar a todo su equipo de respuesta a través de múltiples canales con confirmación de entrega, incluso si el correo electrónico y la telefonía corporativa no funcionan o no son fiables. BlackBerry^® AtHoc^® ofrece notificaciones masivas y control de la presencia del personal, y cuenta con la certificación FedRAMP Clase D (Alta), renovada este año —lo cual es importante cuando la propia capa de respaldo no debe convertirse en un objetivo vulnerable—.
   

3. Terminales de confianza para la propia respuesta. Dispositivos gestionados y reforzados para el personal encargado de la respuesta, ya que un canal de respaldo al que se acceda desde un portátil comprometido no constituye un verdadero respaldo. BlackBerry^®UEM se encarga de que ese reducido conjunto de dispositivos esté actualizado, protegido y sea recuperable.
   

4. Ensayo. La hipótesis solo es válida si los equipos la han puesto en práctica mediante ejercicios.

Fíjate en lo que esta lista de verificación no es. No sustituye a las capacidades de segmentación, detección o recuperación, ni es otra forma de decir «compra de todo». Se trata del conjunto específico y delimitado de capacidades que el eslogan favorito del sector exige lógicamente y que su contenido omite sistemáticamente.

¿Por qué persiste esta omisión?

Los proveedores hablan de los problemas que resuelven sus productos. La mayoría de los proveedores que marcan esta tendencia comercializan soluciones de seguridad de redes, visibilidad de la tecnología operativa (OT) o control de acceso: productos eficaces que resuelven las partes del problema que se recogen en sus diagramas. La capa de coordinación queda fuera de todos y cada uno de esos diagramas, y esa es precisamente la razón por la que no recibe financiación.

Da por hecho que te han hackeado. Y actúa en consecuencia: traslada tu coordinación a un canal al que el adversario no pueda acceder, asegúrate de que sigues pudiendo contactar con tu equipo y implementa la respuesta en hardware en el que confíes. Eso es lo que significa el eslogan, si es que significa algo.

Lecturas relacionadas:
Lo que CI Fortify pide a las empresas de servicios públicos que inviertan… y la capacidad que nunca menciona
Cuando se caen las redes telefónicas: la falta de coordinación que nadie tiene en cuenta
Lecciones de los ataques a las empresas de suministro de agua de julio: qué aconseja el informe conjunto a los operadores para el futuro
Por qué la planificación del aislamiento de las tecnologías operativas (OT) requiere continuidad en las comunicaciones