La foto y la película
Una auditoría anual es una foto: dice cómo estaba todo un día concreto. Lo que pasa los otros 364 días no aparece. Una configuración que se rompió en marzo y se corrigió en noviembre, justo antes de la auditoría, no deja rastro.
El cumplimiento continuo es la película: los controles se comprueban solos, con frecuencia, y cada resultado se guarda con su fecha.
De la búsqueda manual al panel
Un sistema de evidencia continua tiene tres piezas:
- Comprobaciones automáticas para cada control que lo permite: leen la configuración real de las nubes, los sistemas de identidad, los repositorios y la plataforma de despliegue.
- Un almacén de evidencias donde cada resultado queda guardado, fechado y protegido contra modificaciones.
- Un panel que muestra el estado de cada control y cada marco, y avisa al dueño cuando algo deja de cumplirse.
Qué se puede automatizar
Mucho más de lo que parece. Casi todo lo que vive en configuración se puede comprobar solo: cifrado, segundo factor, exposición de red, registros activados, etiquetas, versiones de sistema, resultados de las líneas base de cada servidor y de las reglas como código.
Lo que requiere criterio humano (análisis de riesgos, revisión de accesos, simulacros) no se automatiza, pero sí su recordatorio, su registro y su evidencia: el sistema avisa cuando toca, guarda el acta y marca el control como cumplido o vencido.
Lo que cambia
- La auditoría deja de ser un proyecto: el auditor revisa el almacén de evidencias.
- Los problemas se ven cuando aparecen, no meses después.
- El estado de seguridad es un dato, consultable en cualquier momento por la dirección o por un cliente.
Con controles que se demuestran solos, toca revisar las capas de protección que más fallan en la práctica. La primera es la más antigua y la más incumplida: el mínimo privilegio.
Cómo lo aplicamos: Ciberseguridad.