Un proveedor de software en la nube presentaba ante sus clientes empresariales su postura de seguridad como supervisada de forma continua y conforme con SOC 2. Su plataforma de cumplimiento basada en Drata ejecutaba comprobaciones automatizadas en todos los sistemas conectados, y el panel de cumplimiento mostraba todos los controles como superados. Lo que el proveedor no comunicaba con claridad, y lo que los clientes rara vez preguntaban, era la frecuencia de las comprobaciones que sustentaba el panel en verde. La mayoría de los controles se comprobaban a diario. Varios se comprobaban semanalmente. Un control crítico, la supervisión de la exposición pública de buckets de S3, se comprobaba cada cuarenta y ocho horas debido al costo de ejecutar el análisis con mayor frecuencia. Un desarrollador configuró por error un bucket de almacenamiento con acceso público a las 2 p. m. de un jueves, lo que expuso parte del lago de datos analíticos que incluía registros atribuidos a clientes. La comprobación de Drata se ejecutó el sábado siguiente a las 2 a. m., treinta y seis horas después de la configuración incorrecta. La comprobación señaló el problema. El flujo de corrección automatizado generó un ticket. El ingeniero de guardia no revisó el ticket hasta el lunes por la mañana porque se había clasificado como cumplimiento y no como incidente. La ventana de exposición total fue de sesenta y tres horas, del jueves por la tarde al lunes por la mañana, por una configuración incorrecta en un programa de cumplimiento supervisado de forma continua. El panel estuvo en verde todo el tiempo, porque la comprobación que habría detectado el problema no se había ejecutado durante la ventana entre el viernes y el sábado.
¿Qué es realmente el problema de la realidad del cumplimiento continuo?
El cumplimiento continuo es una filosofía de diseño de programas que sustituye las evaluaciones de cumplimiento puntuales y periódicas por comprobaciones automatizadas y continuas que supervisan la eficacia de los controles entre ciclos de evaluación formal. El término continuo implica una supervisión constante, un programa que detectaría de inmediato cualquier fallo de control. La realidad operativa de los programas de cumplimiento continuo tiene más matices: las comprobaciones se ejecutan según calendarios definidos, los calendarios varían según el tipo y el costo del control, las ventanas de detección entre comprobaciones van de minutos a días y la respuesta a los fallos detectados depende del enrutamiento de las alertas, de la priorización de los tickets y de una cobertura de guardia que puede no tratar las alertas de cumplimiento con la urgencia de los incidentes operativos.
La brecha de la ventana de detección es la limitación operativa central. El cumplimiento continuo no significa detección instantánea. Cada comprobación automatizada tiene una frecuencia (horaria, diaria, semanal) que determina el tiempo máximo entre que se produce un fallo de control y que el sistema de supervisión lo detecta. Una comprobación diaria crea una ventana de detección de hasta veintitrés horas. Una comprobación semanal crea una ventana de detección de hasta seis días. Para los controles de seguridad críticos (almacenamiento expuesto, acceso mal configurado, MFA deshabilitado), ventanas de detección de esta duración representan una exposición significativa que el panel de cumplimiento en verde no refleja durante el periodo sin detección.
El problema de la latencia de respuesta agrava la ventana de detección. Incluso cuando una comprobación de cumplimiento continuo detecta un fallo, la alerta de cumplimiento puede no desencadenar la misma respuesta urgente que un incidente de seguridad operativo. Los tickets de cumplimiento que crean las plataformas automatizadas suelen dirigirse a colas de cumplimiento o de GRC en lugar de a colas de respuesta a incidentes, se revisan en horario laboral en lugar de por ingenieros de guardia y se clasifican con prioridad de cumplimiento en lugar de con prioridad de incidente de seguridad. La brecha entre detección y respuesta, es decir, el tiempo que transcurre entre que la comprobación detecta un fallo y que una persona toma medidas de corrección, puede ampliar significativamente la ventana de exposición efectiva más allá de la propia ventana de detección.
- Frecuencia de comprobación que crea ventanas de detección: las comprobaciones diarias producen brechas de detección de hasta veintitrés horas
- Respuesta solo en horario laboral: las alertas de cumplimiento no se revisan fuera del horario laboral
- Cola de cumplimiento frente a cola de incidentes: las alertas de cumplimiento no desencadenan una respuesta con la urgencia de un incidente
- Reducción de la frecuencia por motivos de costo: las comprobaciones costosas se ejecutan con menos frecuencia, lo que crea ventanas de detección más largas para determinados controles
- Panel en verde durante la ventana de detección: el panel muestra un estado conforme entre ejecuciones de las comprobaciones, sea cual sea el estado real
Por qué es importante
La realidad del cumplimiento continuo es importante para TPRM porque el término cumplimiento continuo en las descripciones de seguridad de los proveedores crea una impresión de supervisión en tiempo real que la implementación operativa no siempre respalda. Un proveedor que describe su programa de cumplimiento como supervisado de forma continua mediante comprobaciones automatizadas debería poder describir las frecuencias de comprobación de sus controles críticos y el tiempo de respuesta entre la detección y la corrección de los fallos de cumplimiento. Sin esa concreción, la supervisión continua es una descripción de la filosofía de diseño del programa y no una afirmación precisa sobre la capacidad de detección y respuesta.
La dimensión de la ventana de brecha en la cadena de suministro es directamente relevante. Muchos incidentes de seguridad en la cadena de suministro explotan vulnerabilidades o configuraciones incorrectas que existieron durante periodos significativos antes de detectarse. La ventana de exposición entre que se introduce una configuración incorrecta y que se detecta y corrige es la ventana en la que un atacante puede explotarla. Los programas de cumplimiento continuo con frecuencias de comprobación diarias o semanales para los controles críticos crean ventanas de explotación que los atacantes sofisticados, conscientes de que la detección no es instantánea, pueden aprovechar programando específicamente su actividad.
Dónde se equivocan la mayoría de los equipos
El fallo más constante es aceptar la confirmación de una supervisión continua sin preguntar por la frecuencia de las comprobaciones ni por el tiempo de respuesta de los controles críticos. Continuo no es una frecuencia única: describe un espectro que va de casi en tiempo real a semanal, y la frecuencia concreta de cada control determina la capacidad de detección efectiva.
- Aceptar una supervisión continua sin preguntar por la frecuencia de las comprobaciones
- Frecuencias de comprobación de los controles críticos no verificadas
- Enrutamiento de la respuesta no evaluado: cola de cumplimiento frente a cola de incidentes
- Cobertura en fines de semana y días festivos no evaluada
- Tiempo entre detección y respuesta no medido
Cómo se ve una buena práctica
Los programas maduros de cumplimiento continuo ajustan la frecuencia de las comprobaciones a la criticidad de los controles (casi en tiempo real o cada hora para los controles de mayor riesgo, a diario para los controles estándar) y gestionan los fallos de cumplimiento de los controles críticos mediante flujos de respuesta a incidentes en lugar de colas de cumplimiento estándar.
- Frecuencia de comprobación ajustada a la criticidad del control: los controles de mayor riesgo se supervisan con más frecuencia
- Fallos de cumplimiento críticos gestionados como incidentes, no enviados a la cola de cumplimiento
- Cobertura de respuesta veinticuatro horas, siete días a la semana, para los fallos de controles críticos
- Tiempo entre detección y respuesta medido y comunicado
- Transparencia con el cliente sobre las frecuencias de comprobación de los controles relevantes para sus datos
Herramientas
Automatización del cumplimiento: Drata, Vanta, Secureframe con frecuencia de comprobación configurable
Las plataformas de automatización del cumplimiento permiten configurar la frecuencia de comprobación de cada control. Para los profesionales de TPRM, pedir a los proveedores la configuración de la frecuencia de comprobación de sus controles de mayor riesgo (en concreto, la exposición al acceso público, la configuración del cifrado y los ajustes de autenticación) aporta la concreción sobre la ventana de detección que la confirmación de una supervisión continua no ofrece.
CSPM en tiempo real: Wiz, Orca, Prisma Cloud
Las plataformas de gestión de la postura de seguridad en la nube diseñadas para operaciones de seguridad ofrecen una detección casi en tiempo real (minutos en lugar de horas) de las configuraciones incorrectas críticas en la nube. Para los profesionales de TPRM, preguntar si el cumplimiento continuo se complementa con CSPM en tiempo real para los controles críticos de la nube aporta una pregunta sobre la mejora de la latencia de detección.
Desafíos de gobernanza
El desafío de gobernanza del cumplimiento continuo es el equilibrio entre costo y frecuencia. Las frecuencias de comprobación más altas consumen más llamadas de API, más tiempo de procesamiento y más costo de plataforma. Los proveedores que ejecutan todas las comprobaciones con la máxima frecuencia afrontan aumentos de costo significativos. La solución de gobernanza es la escalonación de frecuencias: la máxima frecuencia para los controles en los que las ventanas de detección generan más exposición y una frecuencia estándar para los controles de menor riesgo.
- Pregunte por la frecuencia de comprobación de los controles críticos, no solo por la confirmación de una supervisión continua
- Pregunte cómo se dirigen los fallos de cumplimiento: a la cola de cumplimiento o a la respuesta a incidentes
- Pregunte por la cobertura de respuesta en fines de semana y días festivos
- Pregunte por el tiempo entre detección y respuesta para los fallos críticos
- Solicite un complemento de CSPM para la supervisión casi en tiempo real de los controles críticos de la nube
Si usted forma parte de un equipo pequeño
Formule a sus proveedores de mayor riesgo tres preguntas sobre su programa de cumplimiento continuo. Primera: ¿cuál es la frecuencia de comprobación del control que supervisa la exposición al acceso público de su almacenamiento en la nube? Segunda: cuando una comprobación detecta un fallo de cumplimiento, ¿la alerta se dirige a su equipo de respuesta a incidentes o a su cola de cumplimiento? Tercera: ¿cuál fue el mayor tiempo entre detección y corrección de un fallo de cumplimiento crítico en los últimos doce meses? Esas tres preguntas revelan si continuo significa en tiempo real, diario o semanal, y si la detección desencadena una respuesta urgente o una revisión en horario laboral.
- Pregunte por la frecuencia de comprobación de la supervisión de la exposición al acceso público
- Pregunte si los fallos de cumplimiento se dirigen a la cola de incidentes o a la de cumplimiento
- Pregunte por el mayor tiempo entre detección y corrección de los últimos doce meses
- Solicite un complemento de CSPM para una cobertura casi en tiempo real de los controles críticos
Qué exigir
Pregunte directamente:
"En su programa de cumplimiento continuo, ¿cuál es la frecuencia de comprobación de sus controles de mayor riesgo, en concreto el acceso público al almacenamiento en la nube y la configuración de la autenticación? Y cuando una comprobación detecta un fallo en esos controles, ¿cómo se dirige la alerta y cuál es el tiempo de respuesta objetivo?"
Evidencia que debe esperar
- Frecuencia de comprobación de los controles críticos
- Configuración del enrutamiento de las alertas: cola de incidentes frente a cola de cumplimiento
- Tiempo de respuesta objetivo y real para los fallos de cumplimiento críticos
- Confirmación de la cobertura en fines de semana y días festivos
A un proveedor que describe su programa como supervisado de forma continua se le debe preguntar cuál es la frecuencia de comprobación de los controles más relevantes para los datos del cliente. Continuo abarca un espectro que va de minutos a semanas. La frecuencia define la ventana de detección.
Cómo demostrarlo
- Verificación de la frecuencia de comprobación de los controles críticos
- Documentación del enrutamiento de las alertas
- Registros del tiempo entre detección y respuesta
- Complemento de CSPM para una cobertura en tiempo real
Conclusión clave
El cumplimiento continuo describe el diseño del programa. Las ventanas de detección, las frecuencias de comprobación, el enrutamiento de las alertas y la cobertura de respuesta describen la realidad operativa. Una comprobación diaria crea una ventana de detección de veintitrés horas. Una comprobación semanal crea una de seis días. Una alerta de cumplimiento dirigida a una cola de tickets que se revisa el lunes por la mañana convierte una configuración incorrecta del jueves por la tarde en una exposición de sesenta y tres horas. El panel estuvo en verde todo el tiempo, porque la comprobación no se había ejecutado. Continuo no es instantáneo. Pregunte por la frecuencia. Pregunte por el enrutamiento. La brecha entre el panel en verde y el estado real de seguridad es la ventana de detección.