Defensa en profundidad

Un castillo no dependía de un solo muro. Tenía un foso, un muro, una puerta, guardias y una torre. Si el foso fallaba, el muro era el siguiente. La seguridad utiliza la misma idea, llamada defensa en profundidad: varias capas independientes, para que cuando una falle, otra siga en pie.

Aquí tienes seis capas que una escuela o una pequeña empresa podría usar:

• Personas: concienciación, normas claras, alguien a quien preguntar.
• Perímetro: el borde entre el exterior y el interior, como un cortafuegos y puertas cerradas con llave.
• Red: cómo se divide y se vigila el interior.
• Dispositivos: actualizaciones, bloqueo de pantalla, antivirus, cifrado de disco.
• Aplicaciones: comprobaciones de inicio de sesión, ajustes seguros, software actualizado.
• Datos: copias de seguridad, cifrado y normas sobre quién puede abrir qué.

Por qué funcionan las capas: la regla de multiplicación. Supongamos que una amenaza tiene un 50 % de probabilidad de superar cada capa, y que las capas se comportan de forma independiente (que una falle no hace que falle otra). Para entrar por completo, la amenaza debe superar todas las capas:

• 1 capa: 0.5 = 50 %
• 3 capas: 0.5 × 0.5 × 0.5 = 12.5 %
• 5 capas: 0.5 elevado a la 5 = aproximadamente 3 %

Incluso un conjunto de capas mediocres supera a un solo muro fuerte. Si un solo muro deja pasar solo el 10 %, dos capas que dejan pasar el 30 % cada una dan 0.3 × 0.3 = 9 %, y una tercera capa del 30 % lo reduce al 2.7 %. Y un solo muro tiene una debilidad diferente: cuando falla, no queda nada más.

Sé honesto sobre los límites de esta aritmética. Las capas reales no son perfectamente independientes. Si el personal es engañado para entregar una contraseña, varias capas que confían en esa contraseña caen juntas. Por lo tanto, las capas deben ser diferentes en naturaleza (una persona, un candado, un registro), no tres copias de la misma cosa.

Seis funciones de una defensa. El instituto de estándares de EE. UU. NIST describe su Marco de Ciberseguridad con funciones. La versión 2.0 (2024) nombra seis:

• Gobernar: decidir las normas, roles y prioridades.
• Identificar: saber qué se tiene y qué podría salir mal.
• Proteger: poner en marcha salvaguardas.
• Detectar: notar cuando algo está ocurriendo.
• Responder: actuar ante un incidente.
• Recuperar: restablecer el trabajo normal y aprender de ello.

No son una escalera que se sube una vez. Son tareas que un equipo de seguridad realiza todo el tiempo. Este curso las visita por turnos: este mundo es principalmente Gobernar e Identificar, los mundos 2 a 4 son Proteger y Detectar, y el mundo 5 es Responder y Recuperar.