Panorama#

El capítulo anterior montó el programa —los activos que protege, la estructura que lo gobierna, las reglas que aplica— y dejó dos cabos pendientes: los controles concretos que el programa ejecuta y la observación de que la cultura organizacional es, ella misma, una variable de seguridad. Este capítulo los recoge y con ellos cierra la Parte. El CERT organiza sus recomendaciones en un catálogo de veintidós prácticas (Best Practices), y la tentación de leerlas como una lista de compras —veintidós cosas que instalar o firmar— es exactamente el error que hay que evitar. No son veintidós herramientas: son tres planos de control que solo funcionan integrados —el administrativo y humano, el técnico y el de ciclo de vida—, y su valor está en cómo se refuerzan entre sí, no en la suma.

La tesis del capítulo elige entre esos tres planos el que el resto del manual no pudo cubrir y que, contra la intuición técnica, es el que más rinde: el plano humano. Todas las Partes anteriores operan sobre el comportamiento ya desviado —detectan la exfiltración, contienen el sabotaje, revocan el acceso abusado—; el plano humano opera aguas arriba, sobre la motivación, antes de que haya nada técnico que detectar. Y como la mayoría de los actos internos maliciosos nacen de un agravio antes que de un plan, un control que desactiva el agravio previene el incidente en su origen, donde ningún sensor llega. Ese es el aporte propio de la gobernanza al problema del insider: no una técnica nueva, sino la atención a la dimensión —la de las personas y su relación con la organización— que la técnica no alcanza.

flowchart TB
  subgraph H["Plano humano — aguas arriba (la motivación)"]
    direction TB
    H1["BP4 conducta preocupante desde la contratación\nBP5 gestión de la crisis laboral\nBP6 terceros de confianza\nBP7 OPSEC / redes sociales"]
    H2["BP8 carga de trabajo y estrés\nBP9 concientización\nBP21 justicia organizacional e incentivos positivos"]
  end
  subgraph T["Plano técnico — durante (el comportamiento) · REFERENCIADO"]
    T1["BP10-11 identidad y cuentas privilegiadas → 4.9\nBP12-14 UAM · SIEM · UEBA · peer-group → 5.9\nBP15 separación de funciones + least privilege → 3.9"]
  end
  subgraph C["Plano de ciclo de vida — el eje temporal"]
    C1["BP16 nube · BP17 control de cambios (logic bombs) → 6.5\nBP18 respaldo protegido → 5.4 · BP19 exfil/DLP → 5.9\nBP20 terminación / deprovisionamiento (máximo riesgo)"]
  end
  H --> INS["insider gestionado\n(riesgo aceptable + resiliencia)"]
  T --> INS
  C --> INS
  INS --> BP22["BP22 aprender de los incidentes\n= lazo de mejora → vuelve a la validación (6.3 / 5.4 / 6.1)"]
  BP22 -.realimenta.-> H

El plano humano: el control que actúa antes del ataque#

El plano humano agrupa las prácticas que operan sobre la conducta y la cultura, y su lógica es preventiva en el sentido más fuerte: intervienen antes de que el empleado tenga un motivo para actuar, o mientras el motivo se está formando, no cuando ya está exfiltrando datos.

Empieza en la contratación y sigue durante toda la relación laboral. La conducta preocupante (concerning behavior, BP4) —cambios de actitud, quejas sistémicas, alardes, hostilidad hacia supervisores— es observable, y el supervisor directo es el sensor primario que la detecta, si se lo entrena para reconocerla y se le da una vía de reporte confidencial que no alerte al implicado. Los casos del CERT son elocuentes en lo que cuesta ignorarla: el administrador que alardeaba de tener puertas traseras y evitaba viajar, el que exhibía ausentismo crónico y amenazaba a su jefe antes de plantar una bomba lógica, la gerente con ludopatía que hacía compras extravagantes mientras malversaba fondos. En todos, las señales conductuales precedieron al acto y nadie las conectó.

La segunda pieza es la gestión de la ventana de crisis (BP5). El capítulo 7.3 estableció que el despido y la renuncia son los desencadenantes empíricos más frecuentes; el corolario operativo es que los períodos de inestabilidad —reorganizaciones, recortes salariales, despidos masivos— concentran el riesgo y exigen vigilancia reforzada mientras duran. A esto se suman dos prácticas de frontera: los terceros de confianza (trusted external entities, BP6) —contratistas y proveedores con acceso comparable al de un empleado, que deben entrar en el perímetro del programa por contrato, con verificación de antecedentes y privilegio mínimo, en directo enganche con el C-SCRM de 7.2— y la higiene de información pública (BP7), las directrices de OPSEC sobre lo que el personal expone en redes sociales, que es la materia prima de la ingeniería social que un atacante —interno o externo— usa para construir su pretexto.

Las dos últimas piezas del plano humano son las que menos se parecen a la seguridad tradicional y las que la tesis del capítulo pone en el centro. La gestión del estrés y la carga de trabajo (BP8) es un control de seguridad porque el arquetipo más frecuente —la amenaza no intencional— nace de la fatiga: el empleado bancario que transfirió millones por quedarse dormido, los programadores que expusieron datos por cronogramas irreales. Reducir la sobrecarga no es una cortesía de recursos humanos; es reducir la tasa de error que produce brechas. Y la concientización (BP9) convierte a toda la plantilla en una red de sensores que reconoce los indicadores conductuales y los intentos de manipulación, siempre que la dirección la respalde de forma visible.

La justicia organizacional es la contramedida más barata y la menos usada. La práctica BP21 —incentivos positivos y justicia organizacional (organizational justice)— cierra el plano humano y es, según el propio CERT, el cimiento sobre el que se apoyan las prácticas de seguridad tradicionales, no un complemento opcional. Su lógica es la inversa de todo lo demás: en vez de detectar y castigar el acto desviado, alinea los valores y las expectativas del personal con los de la organización de modo que el motivo del acto no llegue a formarse. Un entorno percibido como justo —donde las reglas se aplican parejo, el trabajo se reconoce y los agravios se atienden— reduce el riesgo base del que nacen el sabotaje y el fraude por venganza. Es más barato que cualquier plataforma de monitoreo y actúa donde ninguna llega —en la motivación—, y sin embargo es la práctica que las organizaciones sistemáticamente descuidan, porque no se compra, no se instala y no aparece en un panel de cumplimiento. Es el ejemplo más puro de la tesis de la Parte: seguridad que es gobernanza y cultura antes que tecnología.

El plano técnico: referenciado, porque la gobernanza aporta la política, no la técnica#

El segundo plano —las prácticas técnicas núcleo, BP10 a BP15— es el que el resto del manual ya construyó, y este capítulo lo referencia en lugar de rehacerlo, porque el aporte de la gobernanza no es la técnica sino la política que la ordena y la exige. Vale enumerarlas para dejar el mapa completo:

  • Gestión de identidades y cuentas (BP10): eliminar cuentas compartidas —que destruyen la trazabilidad—, exigir MFA y auditar las cuentas huérfanas que sobreviven a una desvinculación mal hecha. El contratista despedido que siguió entrando por una cuenta compartida cuya contraseña nadie cambió es el caso testigo.
  • Control de usuarios privilegiados (BP11): el administrador es el vector interno de mayor impacto porque puede alterar sistemas y borrar sus propios rastros. La respuesta —PAM, dual control para cambios en sistemas críticos, tiering— es la que la defensa de Active Directory desarrolló en detalle.
  • Monitoreo correlacionado (BP12), regulación del acceso remoto (BP13) y detección por comportamiento (BP14): fusionar telemetría física y lógica, terminar las VPN frente a sensores, y establecer baselines que un motor de UEBA contrasta —incluido el peer-group analysis, comparar al usuario contra su grupo funcional—. Es exactamente el aparato que la detección del insider de 5.9 presentó como su mecanismo primario, precisamente porque contra el insider no hay firmas, solo desviaciones.
  • Separación de funciones y privilegio mínimo (BP15): que ninguna persona pueda iniciar, aprobar y ejecutar una transacción sensible de extremo a extremo. El director ejecutivo que tenía a la vez el sistema contable y las cuentas bancarias, y se pagaba a sí mismo disfrazando los pagos, es el fallo de este control; el least privilege de 3.9 es su base técnica.

Lo que la gobernanza agrega sobre estos controles no es implementarlos —eso es trabajo de las Partes técnicas— sino decidir que son obligatorios, para quién, y verificar que se apliquen. Un PAM que se compra pero se saltea para los administradores «de confianza», o un UEBA cuyas alertas nadie correlaciona con recursos humanos, son controles técnicos sin la política que los vuelve efectivos. El plano técnico rinde solo si el plano de gobernanza lo exige y lo sostiene.

El plano de ciclo de vida: cerrar el eje temporal en la terminación#

El tercer plano protege los datos y los procesos a lo largo del ciclo de vida, y es donde se cierra el eje temporal que 7.3 identificó como el organizador del riesgo. Cinco prácticas lo componen. El riesgo de la nube (BP16) traslada el problema del administrador interno al administrador del proveedor: el modelo de responsabilidad compartida no permite delegar la seguridad de los datos, y exige contrato, auditoría e inspección del tráfico saliente. El control de cambios (BP17) es la defensa directa contra las bombas lógicas (logic bombs): exigir revisión independiente de toda modificación productiva impide que un desarrollador descontento inserte código destructivo, y convierte cualquier cambio sin autorización documentada en una señal inequívoca de hostilidad; se apoya en la gestión de cambios y exposición de 6.5. El respaldo protegido (BP18) parte de una observación específica de este adversario: el insider con privilegios destruye la infraestructura principal y las copias a la vez, así que el backup debe protegerse del propio administrador —con autorización dual para restaurar y copias inmutables u offline—, lo que engancha con la continuidad de negocio de 5.4. La prevención de exfiltración (BP19) —DLP, egress filtering, control de medios extraíbles— es el control cuyos límites y cuya lógica ya desarrolló la detección de exfiltración de 5.9.

La quinta y decisiva es la terminación (deprovisioning, BP20). Si el eje temporal del riesgo culmina en la desvinculación, el control que lo cierra es un procedimiento de offboarding riguroso y coordinado: desactivar las credenciales de forma inmediata —idealmente antes de comunicar el despido—, retirar los dispositivos físicos, bloquear el acceso remoto y auditar todos los portales, incluidos los externos y los que nadie recuerda. Los casos del CERT muestran justo lo que falla cuando no se hace: el ingeniero que creó una VPN a nombre de un empleado ficticio y la activó un mes después de irse, el director tecnológico que volvió por un servidor de alojamiento externo que la revocación no cubrió. La terminación incompleta deja abierta precisamente la ventana en la que el riesgo empírico es máximo.

BP22 — Aprender de los incidentes: el lazo que devuelve a la validación#

La última práctica, aprender de los incidentes pasados (BP22), no es un control más sino el lazo de mejora que cierra el ciclo. Un repositorio interno de casos convierte cada incidente —propio o ajeno— en inteligencia accionable: revela las vulnerabilidades endémicas, alimenta los programas de concientización, calibra las herramientas de detección. Es el mismo movimiento que aparece en dos lugares ya recorridos del manual —el cierre de lazo del ejercicio purple de 6.3, donde cada hallazgo se convierte en una detección nueva, y las lecciones aprendidas del ciclo de respuesta de 5.4— y no es coincidencia: un programa maduro, sea de purple team, de respuesta a incidentes o de amenaza interna, termina siempre volviendo sobre sí mismo para mejorar. BP22 devuelve la Parte 7 al punto donde empezó la Parte 6: la validación. Lo que se aprende de un incidente es una hipótesis nueva sobre qué controles fallaron, y esa hipótesis se prueba —no se supone— con los métodos que 6.1 estableció.

Cierre de la Parte 7: la gobernanza no se compra, se ejerce#

Con los tres planos integrados, la amenaza interna deja de ser un problema sin solución para volverse un riesgo gestionado: no eliminado —el CERT es explícito en que no se puede—, pero reducido a un nivel aceptable y acompañado de la resiliencia para absorber el incidente que ocurra igual. Y el modo en que los tres planos rinden ilustra la tesis de toda la Parte con más claridad que cualquier enunciado: el plano técnico ya existía en el manual y no bastaba por sí solo; lo que lo vuelve efectivo es la política que lo exige, la estructura que lo coordina y la cultura que desactiva el motivo del ataque antes de que el control tenga que actuar.

Esa es la conclusión que la Parte 7 aporta al manual entero. Las seis Partes anteriores construyeron capacidades —de inteligencia, de ataque y su contracara, de detección, de validación—, todas ellas implementaciones de las cinco funciones operativas del CSF. Lo que ninguna podía dar, porque no es una capacidad técnica, es la función que las decide, las financia, las hace política y rinde cuentas por ellas. La gobernanza no se compra, se ejerce. Una política que nadie hace cumplir es teatro; un control que nadie verificó es una suposición; un programa sin dueño de sus decisiones es un programa que se derrumba en la primera crisis. Es el mismo principio que 6.1 estableció para el control técnico —lo que no se prueba no se puede afirmar que funcione— elevado al plano de la organización: una organización que documenta su seguridad pero no la ejerce está en el «control no probado» a escala institucional. GOVERN es la función que convierte esa documentación en decisiones con dueño, y P7 es donde el manual, después de construir todo lo que se protege, detecta y responde, le pone finalmente el techo que lo gobierna.

Referencias#

  • blue-dfir/cert-insider-threats/cap-02 — CERT Common Sense Guide to Mitigating Insider Threats, factores humanos y conductuales: la conducta preocupante y el supervisor como sensor primario (BP4), la ventana de riesgo de las crisis laborales (BP5), los terceros de confianza y su encuadre contractual (BP6), la OPSEC sobre información pública (BP7), la gestión del estrés y la carga de trabajo como control contra la amenaza no intencional (BP8), la concientización (BP9) y la justicia organizacional e incentivos positivos como cimiento y no como complemento (BP21).
  • blue-dfir/cert-insider-threats/cap-03 — controles técnicos núcleo: gestión de identidades y cuentas huérfanas (BP10), control de usuarios privilegiados con PAM y dual control (BP11), monitoreo correlacionado (BP12), regulación del acceso remoto (BP13), detección por comportamiento con baseline, UEBA y peer-group analysis (BP14) y separación de funciones sobre privilegio mínimo (BP15).
  • blue-dfir/cert-insider-threats/cap-04 — datos, infraestructura y ciclo de vida: el riesgo de la nube y la responsabilidad compartida (BP16), el control de cambios contra las bombas lógicas (BP17), el respaldo protegido del propio administrador (BP18), la prevención de exfiltración (BP19), el procedimiento de terminación y deprovisionamiento (BP20) y el aprendizaje de los incidentes como repositorio de inteligencia (BP22).
  • La organización de las veintidós prácticas en tres planos integrados, la elección del plano humano como el que más rinde por operar aguas arriba de la motivación, y la lectura de BP22 como el lazo que devuelve la Parte a la validación son enriquecimiento propio. El plano técnico se remite a 4.9 (PAM/tiering), 5.9 (UAM/UEBA/exfiltración) y 3.9 (least privilege); el de ciclo de vida a 6.5 (control de cambios) y 5.4 (respaldo y continuidad); el lazo de mejora a 6.3 y 6.1; y el conjunto se apoya en el programa de 7.3 y el marco de 7.1 y 7.2. Los arquetipos de sabotaje se corresponden con las técnicas de valid accounts (MITRE ATT&CK T1078) y de destrucción de datos y sistemas (T1485–T1490, incluida la logic bomb).