La pregunta que incomoda
Pregunta a cualquier organización si sus sistemas son seguros y casi siempre dirá que sí. Pregunta a continuación cómo lo sabe, y la respuesta suele cambiar: "tenemos un cortafuegos", "pasamos una auditoría el año pasado", "nunca nos ha pasado nada".
Ninguna de esas respuestas demuestra nada. Un cortafuegos mal configurado protege poco. Una auditoría anual retrata un solo día. Y que no haya pasado nada puede significar simplemente que nadie lo ha visto.
Declarar frente a demostrar
La seguridad declarada describe intenciones y herramientas. La seguridad demostrada responde, para cada riesgo importante, cuatro preguntas:
- ¿Qué control lo cubre? Algo concreto: "todo acceso administrativo exige segundo factor".
- ¿Quién es responsable de que funcione?
- ¿Cuándo se comprobó por última vez?
- ¿Qué evidencia hay del resultado? Un informe, un registro, una captura con fecha.
Cuando esas respuestas existen y están al día, la conversación con un auditor, un cliente o la dirección cambia de tono: ya no se discuten opiniones, se revisan pruebas.
Lo que recorre esta serie
Empieza por saber qué hay que proteger (la superficie expuesta). Sigue por cómo se pasa de los marcos de referencia a controles propios con evidencia, y cómo esa evidencia se recoge sola. Baja después a las capas de protección que más fallan en la práctica: permisos, código y dependencias, cifrado y acceso híbrido. Termina en lo que pasa cuando algo falla: registrar, detectar, responder, y hacer que la seguridad ayude en lugar de frenar.
Varias piezas ya se trataron en otras series y aquí solo se citan: la identidad única (Gobierno), los secretos (Plataforma), las reglas como código y las líneas base (IaC) y el diseño por zonas (Arquitectura).
Lo primero, antes de cualquier control, es saber qué ve un atacante.
Cómo lo aplicamos: Ciberseguridad.