La distancia entre un control documentado y uno operativo es donde realmente se sitúa la mayoría de las organizaciones certificadas. No porque alguien haya tomado atajos, sino porque el proceso de certificación nunca se diseñó para medir ese tercer estado.
Un control tiene tres estados
Tomemos algo concreto: la revisión de accesos privilegiados.
Documentado. Una política establece que las cuentas privilegiadas se revisan trimestralmente. Designa a un responsable, fija una frecuencia y define qué se considera privilegiado. El documento cuenta con control de versiones y está aprobado.
Verificado. Alguien presenta los registros de las últimas cuatro revisiones trimestrales. Un auditor los lee, confirma su existencia, comprueba que las fechas coinciden con la frecuencia establecida y coteja una muestra de entradas con el directorio.
Operativo. Las cuentas privilegiadas se enumeran de forma continua. Cuando una cuenta obtiene derechos de administrador fuera del proceso de cambio, un sistema lo detecta en cuestión de horas, y una persona designada lo recibe, lo clasifica y decide si lo aprueba o lo revoca. La revisión trimestral es solo un resumen de un proceso que ya estaba en marcha, no el proceso en sí.
Los tres estados describen el mismo control. Solo el tercero reduce el riesgo entre revisiones.
Lo que realmente evalúa una auditoría de certificación
La certificación ISO 27001 se realiza en dos etapas. La etapa 1 revisa la documentación del sistema de gestión: alcance, política, evaluación de riesgos y la Declaración de Aplicabilidad producida bajo la cláusula 6.1.3. La etapa 2 audita la implementación: el auditor busca evidencias de que el SGSI funciona y que los controles seleccionados están implementados. La certificación va seguida de auditorías de seguimiento anuales y una recertificación completa en un ciclo de tres años.
Esa estructura es sólida, pero también se basa en muestreos. Un auditor examina un subconjunto de controles frente a un subconjunto de evidencias durante unos pocos días. El Anexo A de la norma ISO 27001:2022 contiene 93 controles divididos en cuatro temas: organizativos, de personas, físicos y tecnológicos. Una auditoría no evalúa los 93 de forma exhaustiva cada año. No puede hacerlo, ni pretende hacerlo.
SOC 2 es más explícito respecto a esta distinción. Un informe Tipo I aborda el diseño de los controles en un momento determinado. Un informe Tipo II aborda la eficacia operativa durante un periodo definido. Ambos no son intercambiables, y un cliente que solicita un SOC 2 y recibe un Tipo I, por lo general, no ha recibido lo que pidió.
El ENS funciona con un ritmo bienal: los certificados tienen una validez de dos años, con una auditoría ordinaria al menos cada dos años y una auditoría extraordinaria cuando el sistema cambia sustancialmente.
Ninguno de estos mecanismos es débil. Son periódicos por diseño. La garantía periódica y la operación continua son simplemente cosas distintas, y confundirlas es lo que produce organizaciones certificadas que no pueden responder a una pregunta técnica sobre lo ocurrido el martes pasado.
Por qué la documentación se desvía
La evidencia describe la organización tal como era el día en que se recopiló.
Una captura de pantalla de un conjunto de reglas de firewall demuestra cuáles eran las reglas esa mañana. Un registro de revisión de acceso demuestra quién tenía privilegios ese trimestre. Una exportación de finalización de formación demuestra quién había completado un módulo en esa fecha. Todo válido, todo preciso y todo degradándose desde el momento en que se archiva.
Mientras tanto, la organización sigue en movimiento. Aparecen nuevos repositorios. Se crea una cuenta en la nube para un proyecto y nunca se desmantela. Alguien se va y su acceso a SaaS sobrevive a su portátil. Una dependencia adquiere una vulnerabilidad. El personal que redactó el procedimiento rota y sus reemplazos siguen una versión que vive en la cabeza de alguien.
Para la siguiente auditoría, la distancia entre el control documentado y la realidad operativa ha crecido durante un año. La auditoría detecta parte de ello. Las partes que no detecta no se resuelven: simplemente aún no se han observado.
Este es el modo de fallo que una carpeta de políticas no puede solucionar, por muy bien redactada que esté. Los documentos registran la intención. No detectan la desviación.
Las preguntas que plantea una revisión técnica
La consecuencia práctica se manifiesta en la contratación empresarial, porque las personas que le evalúan cada vez están menos satisfechas solo con el certificado.
Un cuestionario de seguridad o una revisión técnica del cliente suele preguntar cosas como:
- ¿Cuánto tiempo transcurre desde que se publica una vulnerabilidad crítica hasta que se parchea en toda su infraestructura?
- ¿Quién recibe una alerta a las 02:00 de un domingo y qué sucede después?
- ¿Cuándo fue la última vez que probó su respuesta ante incidentes y qué descubrió?
- ¿Qué está expuesto actualmente en su perímetro externo?
- Muéstreme los tres últimos incidentes de seguridad y cómo se cerró cada uno.
Un certificado no responde a ninguna de estas preguntas. Atestigua que existe un sistema de gestión y que se encontró conforme cuando se realizó el muestreo. Las preguntas anteriores indagan sobre lo que hace la organización, de forma continua, y quién es responsable cuando no lo hace.
Una organización en el estado documentado responde con extractos de políticas. Una organización en el estado operativo responde con fechas, duraciones y nombres.
Lo que cuesta cerrar la brecha
Aquí vale la pena hacer bien los cálculos, porque la comparación a menudo se plantea de forma errónea.
Una plataforma de cumplimiento cierra bien el primer estado y parte del segundo. Centraliza políticas, asigna controles a marcos de trabajo, almacena evidencia y automatiza parte de la recopilación. Eso es un valor real y no está en disputa.
Lo que no hace es operar. Para alcanzar el tercer estado, la misma organización todavía necesita detección y respuesta en puntos finales y servidores, recopilación y correlación de registros, alguien que supervise fuera del horario laboral, visibilidad de la superficie de ataque externa, evaluación de la configuración en la nube, escaneo de aplicaciones y dependencias, pruebas de penetración periódicas con un alcance definido y un responsable de seguridad que supervise todo el proceso y pueda dar la cara ante un auditor o un cliente.
Por tanto, una comparación de costes honesta no consiste en enfrentar una licencia contra otra. Se trata de comparar una licencia frente a todo el conjunto integrado: plataforma de cumplimiento, además de SIEM, EDR, escaneo, servicios de pruebas de penetración, liderazgo de seguridad fraccionado y las horas internas necesarias para gestionar e integrar todo ello. Al calcularlo así, la consolidación suele ganar y la comparación deja de ser sobre el software.
La pregunta que debe plantear a cualquier proveedor es simplemente cuáles de los tres estados cubre, y debe desconfiar de cualquier respuesta que no los distinga entre sí.
Un certificado es valioso. Es la prueba de que existe un sistema de gestión y de que ha sido examinado por un tercero independiente. No es prueba de que haya alguien supervisando en este momento. Son afirmaciones distintas, y los compradores han empezado a exigir la segunda.
Compruebe cuál de los tres estados alcanza realmente su programa.
