Agradecimientos: Un agradecimiento especial a Ben Berenstein por sus contribuciones a este artículo.
La resiliencia operativa es la capacidad de un equipo para mantener el negocio en marcha cuando algo falla, ya sea un atacante, una interrupción o alguien que se reporta enfermo. Ben Bernstein, gerente de asesoría en ciberseguridad en Huntress, ayuda a las organizaciones a desarrollar esa capacidad antes de necesitarla. En este blog, explica qué diferencia a un plan que suena bien de uno que ha demostrado evitar que un incidente se vuelva más dañino de lo necesario.
Los cinco pasos de la resiliencia operativa
La definición más clara de resiliencia operativa se alinea directamente con el marco de NIST:
Identificar. No puedes defender un activo cuya existencia desconoces, y cada paso posterior depende de un inventario preciso.
Proteger. Asegura la capa de controles, permisos, firewalls y antivirus que mantiene a los atacantes fuera desde el principio.
Detectar. Asume que los atacantes van a entrar, así que vigila los comportamientos que no se vean normales para el negocio.
Responder. Contén la amenaza antes de que se propague a otros sistemas.
Recuperar. Restaura las copias de seguridad, revisa qué más pudo haber tocado un atacante, y cierra el ciclo antes de que el negocio confirme que el incidente terminó.
La resiliencia operativa se manifiesta tanto en los días comunes como durante un ataque. Si alguien se reporta enfermo y nadie más sabe cómo ejecutar un proceso ligado a su usuario, esa es la misma clase de brecha que una filtración podría exponer potencialmente.
La brecha de resiliencia más común
La brecha de resiliencia más común es como un retroceso a los años 90: instalar un firewall con algo de software antivirus, y luego asumir que el perímetro está seguro.
Pero a medida que la barrera de entrada al cibercrimen sigue bajando, la apuesta más segura ahora es asumir cuándo, no si, un atacante entrará en tu entorno. Los equipos que se preparan bajo esa suposición invierten en caza de amenazas continua y monitoreo 24/7 en endpoints, identidades, red y nube. Los equipos que se quedan cortos tienen tiempos de permanencia más largos, es decir, la brecha entre el momento en que un atacante entra y el momento en que alguien lo nota es más larga de lo necesario.
La resiliencia operativa es un plan de negocio
La respuesta a incidentes es, en esencia, un plan de negocio: a quién se le notifica dentro de la empresa, quién habla con los clientes, y si hay que involucrar al equipo legal o a la aseguradora cibernética, y en qué orden. Las empresas que planean esto con anticipación tienen una respuesta lista para usar. La alternativa es correr en medio del caos, dividiendo la atención entre cada decisión urgente a la vez, justo en el momento en que menos te puedes dar el lujo de averiguar quién debe llamar a quién.
Sin embargo, tener el plan es solo la mitad del trabajo. La verdadera diferencia aparece en los equipos que además lo someten a pruebas de presión hasta que se vuelve un hábito: saben dónde está el entorno de respaldo, qué se necesita para activarlo, quién tiene acceso, y cómo decirles a los clientes y empleados qué esperar durante una interrupción. Encontrar una brecha durante una prueba programada no cuesta nada, pero encontrarla en vivo, en medio de un incidente, le puede costar todo al negocio.
La resiliencia operativa tiene fecha de caducidad
Los planes caducan en silencio si nadie les presta atención. Un plan escrito hace varios años normalmente ya no refleja la realidad: los servidores se migran, las aseguradoras cambian y traen consigo diferentes firmas forenses aprobadas, los jefes de departamento rotan, y los números celulares registrados para una llamada a las 2 a. m. podrían ni siquiera funcionar. Los planes también pueden ser anteriores al uso de IA en la mayoría de las organizaciones, y eso por sí solo ha transformado cómo se ve una superficie de ataque. La solución no es glamorosa, pero sí concreta: asigna a alguien para auditar el plan en un cronograma fijo.
Todo esto nos lleva de vuelta al tiempo medio de detección (MTTD) y al tiempo medio de respuesta (MTTR). Dar seguimiento a estas métricas con el tiempo convierte la resiliencia operativa en algo medible que puedes informar a las partes interesadas, una forma de ver si el negocio realmente se está volviendo más rápido para detectar y neutralizar amenazas, o si va en la dirección equivocada.
Comprar una herramienta no compra resiliencia
En la práctica, la preparación se manifiesta primero como una comunicación clara. Los equipos mejor preparados tienen un flujo definido de información. Esto lo lidera un comandante de incidentes claro, mientras el equipo de seguridad sabe exactamente qué le corresponde, y traduce lo que ocurre en los registros en actualizaciones claras que otros líderes del negocio, y eventualmente los clientes, puedan usar para actuar.
Llegar a ese punto requiere más que un plan guardado en una unidad compartida. Requiere pruebas que realmente demuestren que el plan funciona, ya sea un ejercicio de simulación de mesa que lleva al lado no técnico del negocio a través de un escenario en una sala de conferencias, o un equipo púrpura o rojo que simula un ataque real contra el lado técnico.
Comprar un producto de seguridad te da una herramienta. La resiliencia viene de las personas que saben cómo leer los resultados y ponerlos en práctica.
Dónde empieza la resiliencia operativa
Identificar, el primero de los cinco pilares, es donde realmente comienza a construirse la preparación operativa: un inventario completo de cada activo. Ya sea un activo físico, como una oficina o una sede satélite, o uno digital que está en la nube, primero tienes que saber que existe antes de poder decidir si vale la pena protegerlo.
A partir de ahí, es un ejercicio centrado en el negocio para identificar y priorizar las joyas de la corona. Estas son las funciones y procesos específicos sin los que el negocio no puede operar. Por ejemplo, un hospital depende de la disponibilidad para mantener los sistemas activos y que la atención a pacientes no se detenga. Una firma de gestión patrimonial depende de la confidencialidad y la integridad para proteger los algoritmos propietarios que usa para hacer operaciones, evitando que sean leídos o alterados.
Determina qué es lo que el negocio no puede sobrevivir perder, y luego construye la tecnología y los procesos alrededor de eso. Esa jerarquía es la base sobre la que se construyen los otros cuatro pilares, ya que proteger, detectar, responder y recuperar funcionan a partir de lo que hayas decidido que no se puede perder en primer lugar.
Haz tu seguridad más resiliente esta semana
El consejo de Bernstein: no intentes abarcarlo todo. Elige un ejercicio pequeño y específico, y ponlo en práctica.
Confirma que un backup realmente puede restaurar tus archivos, y no solo que existe. Elige un archivo o sistema y reserva tiempo esta semana para probar su restauración.
Busca el problema del "atropellado por un autobús" en el plan de respuesta a incidentes: cualquier paso que solo funciona si una persona específica está disponible para tomar la decisión o sabe a qué proveedor llamar.
Ejecuta un ejercicio gratuito de Atomic Red Team. Es un marco de código abierto alineado con MITRE ATT&CK que simula un libro de jugadas de ataque real, como ransomware o robo de credenciales, para que el equipo pueda ver si sus herramientas lo detectan y si saben qué hacer después.
Cualquiera de estas opciones puede ser tan pequeña o grande como tu negocio esté listo para asumir.
Tu lista de verificación de resiliencia operativa
Convertir un plan en memoria muscular empieza por ponerlo a prueba.
Por aquí puedes empezar:
Sabe qué estás protegiendo
Inventaría cada activo, físico y digital. No puedes defender lo que no has contado.
Identifica tus joyas de la corona: los datos, sistemas o procesos específicos que el negocio no puede permitirse perder.
Clasifica esas joyas de la corona según lo que realmente más dañaría al negocio, no según lo más fácil de proteger.
Construye hacia afuera desde las joyas de la corona, en lugar de intentar proteger todo por igual.
Demuestra que el plan funciona
Restaura un backup de verdad, con cronómetro en mano. Un backup sin probar es solo una promesa.
Lee el plan de respuesta a incidentes y marca cada paso que depende de que una persona específica esté disponible, desde dar la autorización hasta saber a qué proveedor llamar.
Designa a un comandante de incidentes y confirma que el equipo conoce la cadena: quién habla con legal, quién habla con el seguro, quién habla con los clientes, y en qué orden.
Realiza un ejercicio de simulación de mesa para que el lado no técnico del negocio encuentre sus vacíos en una sala de juntas, no durante un incidente real.
Programa un ejercicio de red team o equipo púrpura que simule el libro de jugadas de un atacante real.
Mantén el plan actualizado
Asigna a alguien para auditar el plan en un horario fijo.
Actualiza cada número de teléfono, contacto de escalamiento y proveedor aprobado.
Confirma la firma forense y los contactos legales actuales de tu aseguradora de ciberseguros.
Ten en cuenta cómo la IA ha cambiado tu superficie de ataque desde la última vez que se escribió el plan.
Mídelo
Haz seguimiento del tiempo medio de detección (MTTD) y el tiempo medio de respuesta (MTTR) a lo largo del tiempo.
Informa el MTTD y el MTTR a las partes interesadas para mostrar si el negocio realmente está mejorando en detectar y detener amenazas más rápido.
¿Listo para poner esto en práctica? Empieza una prueba gratuita de Huntress hoy y obtén seguridad de nivel empresarial respaldada por nuestro SOC impulsado por IA, liderado por humanos, disponible las 24/7.
