Cáscara dura, centro blando

Ricardo Corazón de León construyó Château Gaillard en poco menos de dos años, sobre un peñón que domina el Sena, y quedó tan conforme que según la crónica lo llamó su «hija de un año». No era un castillo: era una tesis sobre castillos. Tres recintos concéntricos, cada uno más alto que el anterior, fosos secos entre recinto y recinto, la torre del homenaje al fondo del todo. Para llegar al centro había que ganar tres asedios consecutivos, cada uno más caro que el anterior. Defensa en profundidad, escrita en piedra normanda, un siglo antes de que existiera la expresión.

En 1203 Felipe Augusto lo sitió igual. El primer recinto cayó como se esperaba que cayera: minado, a un costo enorme, meses de trabajo. Y el segundo recinto —la parte del diseño que debía costar otros tantos meses— cayó en una noche, porque un grupo de soldados franceses encontró en la cara sur una abertura a media altura del muro y trepó por ella. Las crónicas discuten qué era exactamente: la versión célebre dice que era el desagüe de una letrina; otras, más probables, apuntan a la ventana de una capilla que Juan sin Tierra había hecho agregar después de la muerte de Ricardo, adosada al muro, rompiendo la lógica del recinto. No importa cuál de las dos fue. Importa que en ambas versiones la respuesta es la misma: los franceses no atravesaron la capa. Entraron por un canal que la capa consideraba propio. Nadie defiende una letrina. Nadie cuenta una ventana de capilla como puerta.

El castillo perfecto no fue derrotado por un ariete mejor. Fue derrotado por su propio inventario incompleto de aberturas.

Las capas no se suman. Se multiplican, y solo bajo una condición.

La aritmética de la defensa en profundidad es seductora: si cada capa detiene el 90 % de los ataques, tres capas dejan pasar uno de cada mil. Esa cuenta es correcta bajo una condición que casi nadie verifica: que las capas fallen por separado. La multiplicación de probabilidades exige independencia. Si dos capas comparten un modo de falla —la misma credencial las abre, el mismo proveedor las fabrica, la misma cuenta de servicio las administra—, no tengo dos capas: tengo una capa contada dos veces, y la cuenta optimista es contabilidad creativa.

Esto no es una sutileza estadística; es el mecanismo concreto por el que caen las redes reales. El atacante que roba una credencial de administrador de dominio no «atraviesa» las capas siguientes: las hereda. El firewall interno lo deja pasar porque viene autenticado. El servidor lo acepta porque viene autenticado. El respaldo se