Dos significados de “continuo”
“Continuo” es una de las palabras más usadas en el marketing del cumplimiento, y cubre dos actividades distintas:
- Monitorización de controles: comprobaciones automáticas y repetidas de que los controles de seguridad que documentaste siguen implantados y funcionando.
- Monitorización de amenazas: vigilar los sistemas en tiempo real en busca de señales de que alguien los está atacando.
Las dos son continuas. Responden a preguntas distintas, usan herramientas distintas y necesitan personas distintas.
La monitorización de controles pregunta: ¿sigue activa la autenticación multifactor en todas las cuentas?, ¿siguen todos los portátiles cifrados y con protección de endpoint?, ¿se completó la copia de seguridad de anoche?, ¿conserva acceso alguien que ya se fue de la empresa? La monitorización de amenazas pregunta: ¿ese inicio de sesión desde un país inusual es de un empleado real?, ¿por qué un servidor envía datos a una dirección con la que nunca había hablado?, ¿ese proceso está cifrando ficheros?
Los fabricantes mezclan las dos porque cada una suena a la otra. Una plataforma de cumplimiento que revisa configuraciones cada hora puede presentarse como monitorización continua. Un SOC que vigila alertas a todas horas puede presentarse igual. Una empresa que compra una puede creer que tiene las dos. Este artículo trata de la primera: qué cubre, dónde se detiene y por qué la certificación necesita también la segunda.
Cómo se ve la deriva de un control
Los controles rara vez fallan el día que se implantan. Se van desviando. Cambia una configuración, llega un sistema nuevo sin la configuración estándar, un proceso deja de ejecutarse sin hacer ruido, y nada avisa a nadie porque, desde el punto de vista del usuario, nada se ha roto. En la siguiente auditoría, un control que estaba implantado en la anterior ya no lo está.
Los ejemplos son cotidianos, y por eso pasan desapercibidos:
- Autenticación. Una cuenta de servicio queda exenta de la autenticación multifactor para que funcione una integración y la excepción nunca se retira.
- Equipos. Se entrega un portátil nuevo a un empleado antes de instalar el agente de gestión, así que no tiene cifrado de disco ni protección de endpoint.
- Accesos. El acceso de un colaborador externo al entorno de producción sobrevive meses al contrato porque nadie es responsable del proceso de bajas de externos.
- Copias de seguridad. Una tarea de copia empieza a fallar tras un cambio de almacenamiento y el error llega a un buzón que nadie lee.
- Nube. Un contenedor de almacenamiento se hace público para una prueba rápida y nunca se vuelve a cerrar.
- Revisiones. La revisión trimestral de accesos se salta una vez en un momento de mucho trabajo, y luego otra.
Ninguno de estos casos es un ataque, pero cada uno debilita un control del que depende el certificado, y algunos son justo la forma en que un ataque tiene éxito más adelante. Un auditor que revise una muestra de evidencias los encontrará como no conformidades. Nuestro artículo sobre qué evalúa una auditoría de certificación explica por qué un control que existe en el papel y un control que funciona se juzgan de forma distinta.
Cómo funcionan las comprobaciones automáticas de controles
La monitorización continua del cumplimiento sustituye la revisión manual periódica por pruebas automáticas que se ejecutan contra los propios sistemas. No es magia, y conviene entender cómo funciona antes de confiar en ella.
Integraciones y pruebas
Una plataforma de cumplimiento se conecta a los sistemas donde viven los controles: el proveedor de identidad, las cuentas en la nube, la gestión de dispositivos, el repositorio de código, el sistema de recursos humanos, la herramienta de tickets. A través de esas integraciones lee la configuración y la actividad, y ejecuta pruebas sobre cada control. ¿Está activa la autenticación multifactor para todos los usuarios? ¿Están cifrados todos los equipos gestionados? ¿Está activado el registro en todas las cuentas en la nube? ¿Tiene cada empleado del sistema de recursos humanos su formación de seguridad completada?
Cada prueba se asocia a uno o varios controles de uno o varios marcos. Una sola comprobación de que todos los portátiles están cifrados puede servir a la vez para ISO 27001, el ENS y SOC 2, y por eso no hace falta recoger la misma evidencia tres veces. Nuestro artículo sobre cómo recoge y traza las evidencias una plataforma de cumplimiento explica esa correspondencia y el registro de auditoría en detalle.
Umbrales, responsables y alertas
Una prueba que falla en silencio no es mejor que no tener prueba. Una monitorización de controles útil define qué cuenta como fallo, quién es responsable de cada control y qué ocurre cuando una prueba falla. Un fallo de cifrado en un portátil debería abrir una tarea para el responsable de sistemas con un plazo. Un contenedor público con datos de clientes debería escalarse de inmediato.
El responsable importa más que la herramienta. En muchas empresas la plataforma detecta la deriva con precisión y el hallazgo se queda semanas en un panel porque no es trabajo de nadie actuar sobre él. Asignar cada control a una persona concreta, con un plazo objetivo para corregir los fallos, convierte la monitorización en mantenimiento.
Lo que no se puede automatizar
Algunos controles no se pueden comprobar leyendo una configuración. Necesitan personas, entrevistas, registros y criterio:
- si el análisis de riesgos refleja de verdad el negocio;
- si una revisión de proveedores tuvo sentido;
- si la plantilla entendió la formación;
- si el acceso físico a la oficina está controlado;
- si el plan de respuesta a incidentes funcionaría bajo presión.
La automatización debería cubrir lo que puede comprobar con fiabilidad y liberar a las personas para lo que no. Un programa que solo mide lo fácil de automatizar acaba con paneles en verde y huecos en los controles que más importan.
Qué exigen las normas
Ninguno de los marcos principales usa la expresión “monitorización continua del cumplimiento”. Todos exigen comprobar que los controles funcionan, y todos hacen difícil defender la revisión manual periódica como único método.
ISO 27001
ISO 27001 tiene tres requisitos que se aplican directamente:
- La cláusula 9.1 exige determinar qué hay que seguir y medir, los métodos, cuándo se hace el seguimiento, quién lo hace y cuándo se analizan y evalúan los resultados.
- La cláusula 10.2 exige reaccionar ante las no conformidades, corregirlas y tratar sus causas.
- El control 5.36 del anexo A exige revisar con regularidad el cumplimiento de las políticas y normas de seguridad de la organización.
Las comprobaciones automáticas de controles son una forma directa de cumplir la cláusula 9.1 en los controles técnicos, siempre que la organización haya decidido qué medir y alguien revise los resultados. Una comprobación fallida que se corrige, se registra y se analiza para encontrar su causa es además evidencia para la cláusula 10.2.
El ENS
El ENS, regulado por el Real Decreto 311/2022, lo dice de forma explícita. El artículo 10.2 establece que la evaluación permanente del estado de la seguridad de los activos permite medir su evolución, detectar vulnerabilidades e identificar deficiencias de configuración. El artículo 21.2 exige una evaluación y monitorización permanentes para adecuar el estado de seguridad de los sistemas a las deficiencias de configuración, las vulnerabilidades identificadas y las actualizaciones que les afecten.
El anexo II convierte después el principio en medidas:
- op.mon.2 exige un sistema de métricas de seguridad, con refuerzos en las categorías superiores.
- op.exp.3 exige gestionar la configuración de seguridad para que los sistemas se mantengan en su configuración aprobada.
En un sistema ENS, la deriva de configuración no es solo una molestia operativa: es una desviación de las medidas en las que se apoya el certificado.
NIS2
El artículo 21.2.f) de la Directiva (UE) 2022/2555 exige a las entidades esenciales e importantes políticas y procedimientos para evaluar la eficacia de sus medidas de gestión de riesgos de ciberseguridad. Evaluar la eficacia una vez al año con una lista estática es una respuesta débil a ese requisito. Las comprobaciones continuas con resultados registrados son una respuesta mucho más sólida, y son el tipo de evidencia que pide una autoridad de supervisión.
El artículo 21.4 añade la otra mitad: una entidad que detecta que no cumple las medidas debe adoptar sin demora indebida las medidas correctoras necesarias. El artículo 21.5 enumera a los proveedores de DNS, nube, centros de datos y servicios gestionados, entre otros proveedores digitales. Para ellos, el Reglamento de Ejecución (UE) 2024/2690 detalla los requisitos técnicos. En ambos casos la expectativa es la misma que en el ENS: encontrar la desviación y corregirla, no descubrirla en la siguiente revisión.
SOC 2
Los Trust Services Criteria en los que se basa SOC 2 incluyen el criterio CC4.1. Exige seleccionar, desarrollar y realizar evaluaciones continuas o separadas para comprobar que los componentes del control interno existen y funcionan. En un informe Tipo II, el auditor comprueba si los controles funcionaron durante todo el periodo de observación. Un control que estuvo desviado dos meses y se corrigió antes de la auditoría sigue apareciendo como excepción.
El criterio CC4.2 exige después evaluar las deficiencias y comunicarlas a tiempo a las personas responsables de corregirlas. Las comprobaciones continuas de controles dan a los dos criterios algo concreto que mostrar: la evaluación se ejecuta según un calendario, y una comprobación fallida llega a su responsable el mismo día en lugar de esperar a una revisión trimestral.
Por qué la mayoría de los hallazgos empiezan como deriva
Las auditorías de certificación rara vez descubren que una empresa nunca implantó un control. Lo habitual es descubrir que el control se implantó y dejó de funcionar en algún momento entre auditorías. El patrón se repite en todos los marcos.
En los meses que siguen a una auditoría de certificación, la atención se va a otra parte. El equipo del proyecto vuelve a su trabajo habitual. Llegan nuevas incorporaciones, nuevos proveedores, nuevos sistemas y nuevas funcionalidades al ritmo normal del negocio. Cada cambio tiene una pequeña probabilidad de saltarse un control. A lo largo de un año, esas pequeñas probabilidades suman un conjunto de hallazgos:
- equipos sin cifrar;
- accesos caducados;
- revisiones pendientes;
- sistemas sin parchear;
- proveedores nunca evaluados.
La auditoría de seguimiento se convierte entonces en una carrera para reconstruir evidencias y corregir lo que se desvió, muchas veces descubierto solo cuando llega la petición de muestras del auditor. La monitorización continua de controles cambia el momento: la deriva se detecta cuando ocurre, mientras es pequeña y barata de corregir, y no meses después. Para los certificados ENS, nuestra guía sobre cómo mantener la certificación ENS entre auditorías enumera las medidas que tienen que funcionar cada día.
Dónde toma el relevo la monitorización de amenazas
Una empresa puede superar todas las comprobaciones de controles y estar siendo atacada. La monitorización de controles confirma que la autenticación multifactor está activa; no detecta que un atacante consiguió que un empleado cansado aprobara una notificación a medianoche. Confirma que la protección de endpoint está instalada; no investiga la alerta que esa protección generó.
Ese segundo trabajo corresponde a la monitorización de amenazas: recoger eventos de seguridad, correlacionarlos y que unos analistas investiguen y respondan. Funciona con otras herramientas, normalmente EDR, un SIEM o una plataforma XDR, y con personas. Nuestro artículo sobre EDR, XDR y MDR explica qué hace cada capa y por qué una alerta sin nadie que actúe no protege a nadie.
Las dos monitorizaciones se alimentan entre sí. La monitorización de amenazas depende de que los controles estén implantados: un portátil sin protección de endpoint es invisible para el SOC. La monitorización de controles depende de la de amenazas para saber si los controles frenan de verdad los ataques. Una plataforma de cumplimiento sin seguridad operada deja sin hacer la segunda mitad, que es lo que explicamos en qué no hace una plataforma de cumplimiento.
Por dónde empezar
Monitorizar todo a la vez no es realista ni necesario. Empieza por los controles que más se desvían y cuyo fallo más importa. En la mayoría de las empresas son:
- la identidad (autenticación multifactor, cuentas privilegiadas, bajas);
- los equipos (cifrado, protección de endpoint, actualizaciones);
- la configuración en la nube (almacenamiento público, registros, servicios expuestos);
- las revisiones de accesos;
- las copias de seguridad.
El primer paso no es una herramienta, sino un inventario. Una comprobación de controles solo vale lo que vale la lista de cosas que comprueba: si un portátil, una cuenta en la nube o una aplicación SaaS no está en el inventario, ninguna prueba automática lo mirará nunca. Conectar el proveedor de identidad, la gestión de dispositivos y las cuentas en la nube suele sacar a la luz activos que nadie había registrado, lo que ya es un hallazgo.
Después, decide la frecuencia de cada control. Algunas comprobaciones tienen sentido cada día o cada hora, como el almacenamiento público o la autenticación multifactor desactivada. Otras son periódicas por naturaleza, como la revisión trimestral de accesos, en la que la comprobación automática útil es si la revisión se hizo a tiempo. Dejar esas decisiones por escrito es justo lo que pide la cláusula 9.1 de ISO 27001.
Gestionar las dos como un único programa
El objetivo práctico es un único programa en el que la monitorización de controles y la de amenazas compartan inventario, responsables y línea de reporte, en lugar de dos herramientas compradas por separado y revisadas por personas distintas.
Empieza por los responsables. Cada control tiene un responsable que recibe sus comprobaciones fallidas. Cada alerta tiene un analista responsable de clasificarla. Los dos tipos de resultado alimentan los mismos registros de incidentes y no conformidades. Así, un control ausente detectado por una comprobación y un incidente real detectado por el SOC se gestionan con el mismo proceso, y los dos cuentan como evidencia.
Sigue con la revisión. Un repaso mensual breve de las comprobaciones fallidas, el tiempo de corrección, las alertas abiertas y los incidentes da a la dirección la información que ISO 27001 espera en la revisión por la dirección (cláusula 9.3). También da a la medida de métricas del ENS algo real que reportar. Con el tiempo, esas cifras muestran si el programa mejora o se va desviando sin hacer ruido.
Así está construida Qalea. La plataforma de Qalea ejecuta comprobaciones automáticas sobre los sistemas donde viven los controles y asocia cada resultado a los marcos que cubre, mientras el EDR, un SIEM y un SOC aportan debajo la capa de monitorización de amenazas. El equipo de Qalea guía el seguimiento de lo que encuentran las dos capas, para que la deriva se corrija mientras es pequeña y la evidencia esté lista cuando la pida el auditor. La página temática de operaciones de cumplimiento reúne nuestros otros artículos sobre cómo gestionar el cumplimiento en el día a día.
