Ya no da tiempo a reaccionar. Los controles compensatorios se están volviendo fundamentales

Durante años, la ciberseguridad se ha basado en un principio muy sencillo: encontrar vulnerabilidades y solucionarlas. Pero ese modelo parte de una premisa que ya no está garantizada. Parte de que hay tiempo.

En un panorama de amenazas impulsado por la IA, las vulnerabilidades se descubren y se aprovechan más rápido de lo que la mayoría de las organizaciones tardan en parchearlas. Según un estudio citado en The Hacker News, en 2024 se produjo un aumento del 61 % en el número de vulnerabilidades aprovechadas para las que ya había un parche disponible desde hacía más de 30 días, y las vulnerabilidades aprovechadas casi se duplicaron en comparación con el año anterior. Las empresas no solo se enfrentan a más vulnerabilidades. Cada vez son más las que se utilizan con fines maliciosos antes de que llegue la solución.

Por eso los controles compensatorios ya no son un concepto de nicho. Se están convirtiendo en una parte fundamental de cómo las organizaciones mantienen la seguridad.

Los límites de los parches

Los entornos informáticos modernos no se diseñaron pensando en la rapidez. Incluyen sistemas heredados, integraciones de terceros y actualizaciones continuas que hacen que la aplicación de parches sea un proceso complejo y que lleva mucho tiempo, incluso en condiciones ideales. Primero hay que identificar el problema, probar la solución y aplicar los cambios con cuidado para no interrumpir las operaciones. En entornos grandes o complejos, esto puede llevar semanas.

El Marco de Ciberseguridad del NIST lleva mucho tiempo haciendo hincapié en la gestión de riesgos por capas precisamente por esto, ya que reconoce que ningún control por sí solo es suficiente y que las organizaciones deben crear varias capas de protección. Cuando los atacantes pueden pasar del descubrimiento de una vulnerabilidad a su explotación activa en cuestión de horas, un proceso de aplicación de parches que tarda semanas simplemente no es suficiente por sí solo.

¿Qué son realmente los controles compensatorios?

Los controles compensatorios son medidas de seguridad que reducen el riesgo cuando no es posible aplicar una solución directa de inmediato. No sustituyen a los parches. Sirven para ganar tiempo y limitar la exposición mientras se prepara la solución. En la práctica, esto puede significar restringir el acceso a los servicios vulnerables, segmentar las redes para contener posibles daños, aumentar la supervisión y las alertas en torno a los sistemas en riesgo, o introducir cambios temporales en los procesos que reduzcan la probabilidad de que se aprovechen las vulnerabilidades. El objetivo es mantener un nivel de protección significativo incluso cuando el sistema aún no esté totalmente actualizado.

¿Por qué es importante esto para el cumplimiento normativo?

Marcos como NIS2 y DORA no buscan la perfección. Lo que esperan es una gestión de riesgos estructurada y proporcionada. Ambos exigen a las organizaciones que implementen controles adecuados, garanticen la continuidad de las operaciones y mantengan la seguridad incluso cuando las condiciones cambien. Esto incluye explícitamente controles por capas, no solo depender de los parches. Una organización que pueda demostrar que ha identificado una vulnerabilidad, evaluado el riesgo, implementado controles compensatorios y realizado un seguimiento del progreso hacia una solución completa está demostrando exactamente el tipo de gobernanza que estos marcos están diseñados para fomentar.

El reto operativo

El problema para muchas organizaciones no es la falta de concienciación, sino la falta de estructura. Sin una visión clara de dónde se necesitan controles, sin procesos definidos para implementarlos rápidamente y sin una documentación adecuada de lo que se ha puesto en marcha, los controles compensatorios siguen siendo una respuesta improvisada en lugar de una capacidad gestionada. Esa brecha entre la intención y la ejecución es donde reside el riesgo normativo.

De lo puntual a la gobernanza

Para que los controles compensatorios funcionen como parte de una estrategia de seguridad más amplia, es necesario establecer una correspondencia clara entre los riesgos y los controles, definir procedimientos sobre cuándo y cómo se activan dichos controles, llevar a cabo un seguimiento y una revisión continuos, y disponer de documentación que se pueda presentar cuando sea necesario. Esto convierte una medida reactiva en una gobernanza estructurada, algo que se puede demostrar tanto a los reguladores como a los auditores y a la dirección.

Si a tu organización le cuesta mantener una visión clara de los riesgos, los controles y la documentación, Trustlinks se ha creado para ayudarte. Con Trustlinks, puedes registrar y hacer un seguimiento de los riesgos en un registro centralizado, vincular los incidentes directamente a los riesgos a los que dan lugar y asignar cada riesgo a varios marcos normativos a la vez. Cuando se implementa un control compensatorio, queda documentado, vinculado y es auditable. Una sola plataforma, supervisión completa, siempre lista para una auditoría.