Política de seguridad: Se clasifica como una infraestructura vital e indispensable para el futuro.

En los sectores bancario y de servicios públicos, los reguladores definen ciertos sistemas como críticos. Un sistema crítico es aquel cuyo fallo podría causar daños intolerables a los clientes, los mercados o la seguridad pública. Por ejemplo, una plataforma de pagos en un banco de compensación o una red SCADA en una distribuidora de energía conllevan las más altas obligaciones de gobernanza, incluyendo la monitorización continua, la gestión documentada de cambios y una resiliencia demostrable.

El entorno de políticas —un conjunto de reglas acumuladas a través de firewalls, controles en la nube y microsegmentación— determina qué sistemas pueden acceder entre sí, qué comunicaciones se bloquean y qué excepciones se mantienen. Estas reglas, en conjunto, constituyen la capa de control de políticas de seguridad: la capa de gobernanza que traduce los objetivos de negocio en decisiones de acceso a través de puntos de ejecución distribuidos.

Una regla de hash mal configurada durante una migración a la nube puede desconectar un servicio de pago de su plataforma de liquidación; del mismo modo, una regla temporal que otorga un amplio acceso desde una subred de desarrollo al entorno de producción puede permanecer vigente durante meses después de su puesta en marcha debido a la falta de una persona responsable de eliminarla.

Las reglas del firewall, las políticas de segmentación y las decisiones de acceso afectan directamente a los riesgos operativos, y cuando falla el entorno de políticas, los servicios vitales que lo rigen fallan con él.

Esto convierte al entorno político en una infraestructura vital en sí misma.

Todavía se gestionan como tareas rutinarias.

A pesar de ello, muchas organizaciones reguladas siguen gestionando sus normativas como tareas puramente operativas. Las reglas se añaden mediante solicitudes de cambio, y rara vez se analiza el efecto acumulativo en relación con la intención original. La responsabilidad se fragmenta a medida que cambian las funciones de los líderes, y la razón de ser de una regla en particular solo se puede encontrar en una solicitud de cambio, si es que existe alguna.

Un director de seguridad de la información (CISO), que jamás permitiría que una plataforma de pagos operara sin monitorización continua ni dependencias documentadas, podría aceptar la ausencia de ambas en el marco normativo que determina la accesibilidad de la plataforma. Podemos describir esta situación como una que tiene consecuencias de gran magnitud para la infraestructura, con una gobernanza de nivel rutinario.

En el sector bancario, un fallo en las políticas que interrumpa la comunicación entre los sistemas de liquidación provocaría una interrupción en servicios empresariales esenciales. La Autoridad de Conducta Financiera (FCA) prestaría especial atención a estos fallos, ya que la pérdida de dicho servicio podría ocasionar graves perjuicios.

En los sectores sanitario y energético, las consecuencias difieren, pero el mecanismo es el mismo: una configuración incorrecta que permite el acceso desde una red corporativa a los sistemas clínicos de una institución del NHS (Servicio Nacional de Salud del Reino Unido) o a la tecnología operativa de una distribuidora de energía, crea vulnerabilidades en la prestación de servicios esenciales. Estos no son riesgos hipotéticos, sino consecuencias operativas reales de tratar la gestión de infraestructuras críticas como una tarea rutinaria. Para comprender mejor la importancia de la planificación proactiva, consulte nuestro artículo «Antes de empezar: Cuestiones esenciales sobre infraestructuras».

Las previsiones regulatorias confirman la misma tendencia.

Las expectativas regulatorias en el Reino Unido son cada vez mayores, lo que respalda la misma conclusión: las políticas de seguridad que rigen el acceso a los servicios críticos deben gestionarse con un nivel de disciplina acorde con la infraestructura. El programa de resiliencia operativa de la Autoridad de Conducta Financiera (FCA) exige a las empresas reguladas que identifiquen los servicios empresariales críticos y demuestren, de forma continua, que la infraestructura de soporte se mantiene dentro de los límites de tolerancia establecidos para el impacto.

El regulador del mercado de gas y electricidad (Ofgem) está evaluando a los proveedores de servicios esenciales según el Marco de Evaluación Cibernética del Centro Nacional de Ciberseguridad (NCSC), cuestionando si se están alcanzando resultados de seguridad específicos de forma continua. El proyecto de ley de Ciberseguridad y Resiliencia, que se espera que entre en vigor a finales de este año, extenderá obligaciones similares a los centros de datos , los proveedores de servicios gestionados y los proveedores críticos.

Estos marcos de referencia no son prescriptivos ni detallados; ninguno define las reglas de firewall que una organización debe tener ni cómo configurar sus políticas de venta minorista. Lo que requieren es evidencia: que lo que permite el entorno de políticas es lo previsto y que la organización puede demostrarlo de forma consistente, en lugar de tener que reconstruir la evidencia para cada evaluación.

¿Por qué el sistema actual no puede cumplir con este estándar?

La mayoría de los entornos de políticas nunca se diseñaron para cumplir con este estándar. De hecho, la mayoría ni siquiera se diseñaron de forma consciente o intencionada. En cambio, las políticas tienden a acumularse como un subproducto de los procesos de implementación. Cada proyecto y migración añade nuevas reglas, y muy pocas se eliminan.

Con el tiempo, la "superficie de políticas" —el conjunto completo de reglas y decisiones de acceso en todas las capas de implementación— se vuelve más grande de lo que el grupo de personas que la entienden puede manejar, y el sistema llega a un punto en el que se puede operar, pero no se puede explicar.

En sectores regulados como la banca, la energía y la sanidad, esto era sostenible bajo los marcos regulatorios anteriores: evaluaciones periódicas, auditorías basadas en controles y marcos de cumplimiento que cuestionaban la existencia de controles en lugar de su eficacia. Pero esto ya no es suficiente. La nueva norma exige pruebas continuas de que el acceso es intencional.

Las conclusiones de la Autoridad de Conducta Financiera (FCA), tras un año de autoevaluaciones sobre la resiliencia operativa, ilustran cómo se manifiesta esto en la práctica. En los casos en que las empresas reguladas informaron de pocas o ninguna vulnerabilidad de seguridad pendiente en la infraestructura que respalda sus servicios empresariales críticos, la FCA a menudo consideró que las pruebas eran insuficientes para determinar si las vulnerabilidades realmente no existían o simplemente no se habían descubierto.

Esta lección se aplica directamente a la gobernanza de las políticas de seguridad: ninguna organización puede afirmar con certeza que las vulnerabilidades de acceso están controladas sin aportar pruebas de lo que permiten sus políticas, cómo se han probado y si se han abordado las vulnerabilidades.

Requisitos de gobernanza a nivel de infraestructura

A menudo, la respuesta consiste en buscar mayor transparencia y documentación. Pero la documentación solo refleja un momento específico; no puede brindar la garantía continua que esperan los reguladores.

En una empresa regulada, el CISO necesita más que un simple registro de lo que permite el entorno de políticas. La configuración y el acceso efectivo no son lo mismo. Los equipos de seguridad deben comprender cómo interactúan las reglas, las rutas, los objetos y las capas de implementación para determinar qué puede comunicarse realmente.

Cumplir con este estándar implica conciliar dos cosas: demostrar que lo que el entorno permite en realidad es lo que se pretendía que permitiera, y ser capaz de probarlo sin previo aviso.

Separamos el lugar donde se define la intención de la política del lugar donde se aplica. La intención se almacena y mantiene de forma centralizada, mientras que la aplicación permanece distribuida entre firewalls, controles de nube y microsegmentación en entornos híbridos, multinube y de múltiples proveedores.

La intención se verifica continuamente, en lugar de comprobarse en puntos de revisión: los cambios propuestos se contrastan con la política antes de su implementación, y el acceso efectivo se evalúa constantemente para detectar exposiciones innecesarias, inconsistencias entre los distintos niveles de implementación y desviaciones de la intención empresarial. Lo que se permitió y lo que se modificó se conserva como evidencia.

El mismo responsable de seguridad de la información que jamás aceptaría una plataforma de pago que funcione sin una supervisión continua, un control de cambios verificado y dependencias documentadas, debería aplicar este estándar al entorno normativo que determina si una plataforma es accesible o no.

La Autoridad de Conducta Financiera (FCA), el Marco de Evaluación Cibernética del Centro Nacional de Ciberseguridad (NCSC) y el Proyecto de Ley de Ciberseguridad y Resiliencia apuntan a la misma pregunta fundamental: ¿Puede esta organización demostrar de forma consistente que la infraestructura que respalda sus servicios críticos se gestiona de acuerdo con los estándares requeridos por dichos servicios?

Responder a esta pregunta implica conocer (conocimiento real, no suposiciones ni reconstrucciones tras un análisis exhaustivo) qué permite el entorno político en un momento dado y si lo que permite se corresponde con la intención original. Estas cuestiones fundamentales sobre infraestructura constituyen un punto de partida crucial en este contexto.