Edition 18

Me lo tomo como algo personal, porque he usado ese vocabulario. Escribí sobre enjambres en julio, en agosto y de nuevo el mes pasado, y la palabra construía un relato que permitía a todos mirar a la máquina en lugar del perímetro que la rodea. Los hechos no cambian. El encuadre sí. Un agente con acceso a internet que no debería haber tenido, un registro de paquetes que nadie vigilaba, credenciales sin fecha de expiración: cada uno de esos elementos lo configuró una persona. Abandono la palabra.

La parte útil es la arquitectura. Jacob Krell, de Suzu Labs, lo expresa bien: los controles tradicionales son atómicos e inspeccionan una sola solicitud o un solo permiso, mientras que un agente encadena varios fallos individualmente tolerables hasta construir un camino funcional. Así que diseña para que la intención no importe. Aislamiento robusto, red denegada por defecto, listas de acceso inmutables, credenciales de alcance reducido, una comprobación independiente en cada llamada a herramienta y un interruptor de corte que opere fuera del control del agente. Un agente no necesita intención maliciosa. Solo necesita suficiente acceso y una mala decisión.

Hay un humano en el bucle, y ese humano no es un control de seguridad. Es un evaluador de calidad sin mandato para escalar nada, lo que significa que el material más grave pasa ante una persona a quien se le ha dicho que su trabajo consiste en juzgar si los píxeles tienen buen aspecto. Todo el mundo asume lo contrario. Es el mismo patrón que el punto anterior: el control existe, funciona exactamente como fue diseñado y nunca apuntó a lo que se creía que apuntaba.

Dos aspectos para tu organización. La cuestión de protección de datos es obvia en cuanto la ves: las personas cuyos rostros aparecen no son a menudo el usuario, no han sido informadas de nada, y difuminarlas sería trivial. Puedes optar por no participar en el entrenamiento, pero no en que un desconocido te vea. Y el aspecto práctico: cuando el personal introduce un documento o una foto en una herramienta de IA de consumo, la pregunta ya no es solo si entrena un modelo. Es si un contratista en un país que nunca has evaluado lo leerá.

La comprobación era real y se ejecutaba. Validaba que un mensaje estuviera bien formado y nunca preguntaba de dónde procedía, que es el mismo patrón de fallo sobre el que escribí la semana pasada en un proceso de firma de pagos y un token MFA. Y reflexiona sobre el resto: validación RSA artesanal, dentro del componente cuyo único propósito es comunicarse con tokens de seguridad por hardware, en banca corporativa. Protegimos la clave en hardware y luego la expusimos a través de una extensión de navegador.

Dos apuntes prácticos. Las extensiones de navegador siguen siendo el punto ciego en casi todos los registros de activos, y este es el peor caso posible, porque la extensión es precisamente el elemento que aplica la autenticación robusta. Bajo DORA, SConnect es un componente crítico de terceros que se encuentra dentro de tu cadena de autenticación, y no figura en el registro de nadie. Verifica qué extensiones de firma o token utiliza tu equipo financiero y en qué versión.

Todo en el lado del cumplimiento normativo lleva una fecha. La brecha, la sanción, los plazos de la medida cautelar, la resolución del recurso por llegar. El lado del abonado no lleva ninguna. Tras una brecha de contraseña, cambias la contraseña y la exposición se colapsa en minutos. Aquí el fichero contiene nombres, fechas y lugares de nacimiento, direcciones e IBANs. Un nombre no cambia. Un IBAN técnicamente sí puede cambiarse, solicitándolo a tu banco, pero luego hay que actualizar cada domiciliación bancaria, así que casi nadie lo hace. La vida media de ese fichero se mide en años. Ese es el horizonte temporal que hay que presentar al consejo, no la multa.

Y observa qué fallo volvió a aparecer. El regulador sancionó a Free Mobile por conservar registros de exabonados que no podía justificar, y los abogados que leyeron la resolución encontraron cerca de tres millones de contratos rescindidos hacía más de diez años que seguían en la base de datos. La cobertura mediática lo archivó como una nota administrativa al margen del tema real: la seguridad. Es el tema de seguridad. Los datos eliminados no pueden ser exfiltrados, revendidos ni utilizados para dar credibilidad a una factura falsa. He publicado el análisis completo, enlace arriba.

Los fundamentos son correctos. Los he repasado durante todo el año y lo seguiré haciendo. Pero mira lo que este número acaba de mostrar y la pregunta ha cambiado. No es «¿tienes autenticación multifactor?». El mes pasado estaba habilitada y no aplicada. La semana pasada se daba por satisfecha sin haberse ejecutado nunca. Tener un control es ahora la mitad fácil. Saber que sigue funcionando cuando alguien lo prueba es la mitad para la que nadie presupuesta.

Así que esto es lo que haría con la atención que recibes este mes. En lugar de un póster, prueba un control. Planta un honeytoken en un recurso compartido y comprueba si una alerta llega a una persona. Ejecuta una política de seguridad de contenido en modo solo informe durante una semana y lee qué se está ejecutando realmente en los navegadores de tus clientes. Ensaya un desalojo y verifica que el atacante ha desaparecido de verdad. Y dale a Recover una prueba real, porque es la R que casi nadie puede demostrar, y bajo NIS2 y DORA ha dejado de ser opcional.