En sectores regulados como la banca y los servicios públicos, los reguladores definen ciertos sistemas como esenciales. Un sistema esencial es aquel cuya falla causaría un daño intolerable a los clientes, a los mercados o a la seguridad pública. Una plataforma de pago en un banco clearing o una red SCADA en un distribuidor eléctrico, por ejemplo, conllevan las obligaciones de gobernanza más altas: monitoreo continuo, control de cambios validado y resiliencia demostrable.

El entorno de políticas —las reglas acumuladas a lo largo de firewalls, controles en la nube y segmentación— determina qué sistemas pueden comunicarse entre sí, qué conexiones están bloqueadas y qué excepciones siguen aplicando. En conjunto, estas reglas componen el plano de control de políticas de seguridad: la capa de gobernanza que traduce la intención del negocio en decisiones de acceso a través de puntos de enforcement distribuidos.

Una regla de segmentación mal configurada durante una migración a la nube puede interrumpir un servicio de pago desde su plataforma de liquidación; una regla temporal que concede un acceso amplio desde una subred de desarrollo hacia producción puede permanecer vigente meses después del go-live porque nadie asume la responsabilidad de retirarla.

Cada regla de firewall, cada política de segmentación y cada decisión de acceso afecta directamente al riesgo operativo, y cuando el entorno de políticas falla, los servicios críticos que gobierna también fallan.

Eso convierte al entorno de políticas en una infraestructura crítica por sí misma.

Still governed like housekeeping

A pesar de ello, muchas organizaciones reguladas gestionan sus entornos de políticas como tareas operativas. Las reglas se añaden mediante solicitudes de cambio, y el resultado acumulado rara vez se examina respecto a lo que se pretendía. La propiedad se dispersa a medida que los líderes cambian de rol, y la razón por la que una regla específica existía solo puede encontrarse en un ticket de cambio, si acaso.

Un CISO que no aceptaría que una plataforma de pagos funcione sin monitoreo continuo o dependencias documentadas podría aceptar que también falte en el entorno de políticas que determina si la plataforma es alcanzable. Podemos entenderlo como una consecuencia de infraestructura con gobernanza de tareas de mantenimiento.

En la banca, una falla de política que interrumpe la conectividad entre sistemas de liquidación constituiría la interrupción de un servicio empresarial importante. La FCA prestaría atención a tal fallo, ya que la pérdida de un servicio podría generar daño intolerable.

En atención médica o energía, las consecuencias son distintas pero el mecanismo es el mismo: una configuración incorrecta que permita acceso desde una red corporativa a sistemas clínicos en un NHS trust, o a tecnología operativa en un distribuidor eléctrico, genera exposición a nivel de entrega de servicios esenciales. Estos no son riesgos hipotéticos, sino consecuencias operativas de tratar la gobernanza de infraestructuras críticas como una simple tarea de housekeeping.

Regulatory expectations point the same way

Las expectativas regulatorias del Reino Unido apuntan a la misma conclusión: las políticas de seguridad que rigen el acceso a servicios importantes deben gestionarse con disciplina de infraestructura. El régimen de resiliencia operativa de la FCA exige a las firmas reguladas identificar servicios empresariales importantes y demostrar, de forma continua, que la infraestructura que los sostiene permanece dentro de los umbrales de impacto definidos.

Ofgem evalúa a los operadores de servicios esenciales frente al Cyber Assessment Framework de la NCSC, preguntando si se logran resultados de seguridad definidos de forma sostenida. La Cyber Security and Resilience Bill, que se espera se convierta en ley este año, extenderá obligaciones similares a centros de datos, proveedores de servicios gestionados y proveedores críticos.

Estos marcos no son prescriptivos: ninguno especifica qué reglas de firewall debe tener una organización ni cómo deben configurarse sus políticas de segmentación. Lo que requieren es prueba: que lo que el entorno de políticas permite es lo que se pretendía, y que la organización puede demostrarlo de forma continua en lugar de reconstruir la evidencia para cada evaluación.

Why the estate cannot meet that standard

La mayoría de los entornos de políticas nunca se construyeron para cumplir ese estándar. De hecho, la mayoría tampoco fue concebida de forma consciente. En su lugar, la política tiende a acumularse como efecto secundario de la entrega. Cada proyecto y migración añade reglas, y casi ninguno las retira.

Con el tiempo, la superficie de políticas —el conjunto completo de reglas y decisiones de acceso a través de las capas de enforcement— crece más allá del grupo de personas que la entienden, y el conjunto se vuelve operable pero no explicable.

En industrias reguladas como la banca, la energía y la salud, eso era sostenible bajo regímenes regulatorios anteriores: evaluaciones periódicas, auditoría basada en controles y marcos de cumplimiento que preguntaban si existían controles en lugar de si eran efectivos. Pero ya no es suficiente. El nuevo estándar exige evidencia continua de que el acceso es intencional.

Las conclusiones de la FCA tras un año de autoevaluaciones de resiliencia operativa ilustran qué implica esto en la práctica. Cuando las firmas reguladas reportaron pocos o ningún vulnerability en la infraestructura que sostiene sus servicios empresariales importantes, la FCA a menudo consideró que la evidencia era demasiado débil para determinar si realmente no existían vulnerabilidades, o si las vulnerabilidades simplemente no se habían identificado.

La lección se aplica directamente a la gobernanza de políticas de seguridad: una organización no puede creer creíbles las vulnerabilidades de acceso controladas sin evidencia de qué permiten sus políticas, cómo se probaron y si se remediaron las debilidades.

What infrastructure-grade governance requires

Con demasiada frecuencia, la respuesta es buscar más visibilidad y más documentación. Pero la documentación solo captura un punto en el tiempo; no puede proporcionar la garantía continua que exigen los reguladores.

Un CISO de una firma regulada necesita más que un registro de lo que la política permitía en la configuración. La configuración y el acceso efectivo no son lo mismo. Los equipos de seguridad deben entender cómo interactúan reglas, rutas, objetos y capas de enforcement para determinar qué puede comunicarse realmente.

Cumplir con el estándar significa conciliar ambas cosas: mostrar que lo que el entorno permite en la práctica es todavía lo que se pretendía permitir, y poder demostrarlo sin aviso.

Separación entre intención y enforcement: la intención se mantiene de forma centralizada, mientras el enforcement permanece distribuido entre firewalls, controles en la nube y segmentación en entornos híbridos, multicloud y de múltiples proveedores.

Las validaciones deben ejecutarse continuamente frente a esa intención: las cambios propuestos se prueban contra la política antes de llegar a producción, y se evalúa el acceso efectivo de forma continua para detectar exposiciones innecesarias, inconsistencias entre capas de enforcement y divergencias respecto a la intención de negocio. Lo que se permitió y lo que cambió se conserva como evidencia.

El mismo CISO que no aceptaría que una plataforma de pagos funcione sin monitoreo continuo, control de cambios validado y dependencias documentadas debe aplicar ese mismo estándar al entorno de políticas que determina si la plataforma es alcanzable.

Las respuestas regulatorias señalan hacia la misma pregunta subyacente: ¿puede esta organización demostrar, de forma continua, que la infraestructura que sostiene sus servicios críticos está gobernada al estándar que requieren dichos servicios?

Contestarla implica saber (y saber de verdad, no asumir, no reconstruir en auditoría) qué permite el entorno de políticas en un momento dado, y si lo que permite es lo que se pretendía permitir.

Concluye con una nota de cierre que resalta la relevancia: el cumplimiento no es estático, y la gobernanza de políticas debe igualar la disciplina operativa de las plataformas que sostienen servicios críticos. En este marco, la vigilancia continua, las pruebas de cambio y la evidencia replicable se convierten en la base para una resiliencia real que pueden verificar reguladores y auditores, sin sorpresas.

Este artículo se enmarca en una conversación sobre prácticas avanzadas de gobernanza de políticas y resiliencia operativa, orientadas a organizaciones que gestionan infraestructuras críticas en entornos complejos y regulados. Las ideas presentadas reflejan tendencias actuales en regulación, gestión de accesso y seguridad de la información, y buscan aportar un marco para acercar la gobernanza de políticas a un nivel de disciplina comparable al de la ingeniería de infraestructura.

from Latest from TechRadar https://ift.tt/9sTIJSR
via IFTTT IA