Fundamentos de GRC: El Inspector del Casino

Objetivo de esta Guía

Entender por qué el mundo corporativo gasta billones de dólares en Ciberseguridad. Spoiler: No lo hacen por un sentido heroico de proteger el mundo. Lo hacen para evitar multas, demandas y la quiebra financiera.

Bienvenidos al mundo del GRC (Gobierno, Riesgo y Cumplimiento). Aquí no hay cables de red, ni firewalls, ni virus. Aquí hay abogados, auditores y hojas de cálculo. Es más aburrido de lo que suena, pero esto es lo que realmente mantiene viva a una empresa.

Esta guía desglosa los tres pilares de GRC, los marcos regulatorios y estándares más importantes, y cómo un atacante explota los vacíos de cumplimiento y gobierno.

---

1. Gobierno (Governance): Las Reglas del Casino

Para que una corporación gigante no sea un caos, necesita reglas escritas. Cuando no hay reglas, cada quien hace lo que se le da la gana.

• La Analogía: Imagina que eres el dueño de un Casino. Para que el Casino funcione, escribes un manual de reglas: "Ningún empleado puede tener su celular cerca de la mesa de Blackjack".

• En Informática: Esto se llama Políticas de Seguridad de la Información. Son documentos legales que todos los empleados firman.

• Ejemplo de Política: "Todos los empleados deben usar Autenticación Multi-Factor (MFA) para revisar su correo, y cualquier empleado que inserte un USB personal en su computadora será despedido inmediatamente."

• El Objetivo: El Gobierno corporativo (usualmente liderado por el CISO - Chief Information Security Officer) alinea las reglas técnicas con el objetivo de negocio. La seguridad debe ayudar a la empresa a ganar dinero, no a frenarla.

Pirámide de Documentación de Gobierno

La documentación de gobierno se organiza jerárquicamente:

1. Política (Policy): Documento de alto nivel aprobado por la junta directiva. Define el "qué" y el "por qué". Ej: "Política de Seguridad de la Información" — "Todos los datos deben estar cifrados en reposo y en tránsito."
2. Norma (Standard): Define el "qué específico". Ej: "Estándar de Cifrado" — "Usar AES-256 para datos en reposo y TLS 1.3 para datos en tránsito."
3. Procedimiento (Procedure): Define el "cómo". Ej: "Procedimiento de Configuración de Cifrado en AWS RDS" — pasos técnicos para habilitar cifrado en bases de datos.
4. Guía (Guideline): Recomendaciones no obligatorias. Ej: "Guía de buenas prácticas para contraseñas seguras."

Estructura del Gobierno de Seguridad

• Junta Directiva: Aprueba el presupuesto y las políticas de más alto nivel. Revisa el riesgo corporativo trimestralmente.
• Comité de Seguridad (Security Steering Committee): Reunión mensual con CISO, CIO, CFO, CLO (Legal) y jefes de negocio. Revisa incidentes, proyectos de seguridad y cambios de riesgo.
• CISO (Chief Information Security Officer): Líder del programa de seguridad. Reporta al CEO o al CIO.
• Equipo de GRC: Día a día: gestionar riesgos, preparar auditorías, redactar políticas, gestionar proveedores.

RACI en Ciberseguridad

Matriz de responsabilidades para cada decisión de seguridad:

Decisión	CISO	CIO	CFO	Legal	Negocio
Aprobar política de seguridad	R	A	C	C	I
Aprobar presupuesto de seguridad	C	C	R	I	I
Decidir tolerancia al riesgo	C	I	A	C	R
Implementar control técnico	R	A	I	I	I

Leyenda: R=Responsable, A=Aprobador, C=Consultado, I=Informado

---

2. Cumplimiento (Compliance): El Inspector del Gobierno

Puedes escribir las reglas internas que quieras (Gobierno), pero si tu empresa maneja tarjetas de crédito o información médica de ciudadanos, el Gobierno Federal no confía en ti.

• La Analogía: El Gobierno envía a un Inspector Federal al Casino. El Inspector tiene una lista de 500 casillas que tienes que cumplir obligatoriamente por ley. Si el Inspector descubre que tus cámaras de seguridad no graban en HD, te pone una multa de 5 millones de dólares y te cierra el Casino.

• En Informática: A esto se le llama Compliance (Cumplimiento Regulatorio). Es cumplir con la ley y los estándares de la industria, nos guste o no.

Los Tres Monstruos del Cumplimiento

1. PCI-DSS (Tarjetas de Crédito): Si tu empresa procesa pagos con tarjeta (Ej. Amazon, Netflix), estás obligado por contrato internacional a cumplir con PCI. PCI exige que utilices Cifrado en Reposo y Firewalls.

Requisitos clave de PCI-DSS v4.0 (12 requisitos, 323 sub-requisitos):

• Req 1: Instalar y mantener firewalls (tanto de red como a nivel de sistema).
• Req 2: No usar contraseñas de fábrica. Cambiar todas las configuraciones por defecto.
• Req 3: Proteger los datos de titulares de tarjetas almacenados. Cifrado, truncamiento, tokenización.
• Req 4: Cifrar la transmisión de datos de tarjetas a través de redes abiertas (TLS 1.2+).
• Req 5: Usar software antivirus/anti-malware actualizado.
• Req 6: Desarrollar aplicaciones seguras (OWASP Top 10, revisión de código).
• Req 7: Restringir el acceso a los datos por necesidad de conocer (least privilege).
• Req 8: Identificar y autenticar usuarios. MFA para acceso remoto.
• Req 9: Restringir el acceso físico a los datos de tarjetas.
• Req 10: Registrar y monitorear todo acceso a los datos de tarjetas (logs, SIEM).
• Req 11: Probar regularmente los sistemas y procesos de seguridad (pentesting trimestral, escaneo de vulnerabilidades).
• Req 12: Mantener una política de seguridad de la información documentada.

Por qué esto importa: Si te hackean y el auditor descubre que no tenías Cifrado en Reposo, Visa y Mastercard te cobrarán una multa tan monstruosa que tu empresa irá a la quiebra. Es como si el dueño del casino te revisa las cuentas y descubre que le robaste — te saca a patadas.

2. GDPR (Protección de Datos Europeos): La ley más agresiva del planeta. Si una empresa pierde los datos (nombres, correos) de ciudadanos europeos por culpa de un hackeo, la multa legal puede ser del 4% de los ingresos anuales globales de la empresa. Para Google, eso significa miles de millones de dólares.

Artículos clave del GDPR:

• Art. 5: Principios (licitud, lealtad, transparencia, minimización, exactitud, limitación del plazo, integridad y confidencialidad).
• Art. 7: Condiciones para el consentimiento explícito.
• Art. 17: Derecho al olvido (supresión de datos).
• Art. 20: Portabilidad de datos.
• Art. 32: Seguridad del tratamiento (medidas técnicas y organizativas).
• Art. 33: Notificación de violaciones de datos a la autoridad en 72 horas.

Sanciones recientes: Meta (Facebook) multada con 1,200 millones de euros (2023), Amazon multada con 746 millones de euros (2021), WhatsApp multada con 225 millones de euros (2021).

3. ISO 27001 (El Sello de Calidad): No es una ley del gobierno, es un estándar internacional. Es como decir: "Mi empresa es tan segura que pagué para que una firma auditora mundial me revisara y me diera un diploma de confianza". Sin el certificado ISO 27001, muchos bancos se rehusarán a hacer negocios contigo. Es como querer entrar a una discoteca sin el sello en la mano.

Estructura de ISO 27001:2022:

• Anexo A con 93 controles agrupados en 4 dominios:
  • Controles organizacionales (37): Políticas, roles, evaluación de riesgos, debido diligencia, gestión de proveedores.
  • Controles de personas (8): Selección de personal, concientización, respuesta a incidentes disciplinarios.
  • Controles físicos (14): Perímetro de seguridad, acceso físico, equipos, cableado.
  • Controles tecnológicos (34): Control de acceso, cifrado, seguridad en redes, gestión de vulnerabilidades, logging, backup.

Otros Marcos Normativos Relevantes

SOX (Sarbanes-Oxley Act — EE.UU.):

• Aplica a empresas que cotizan en bolsa en EE.UU.
• Requiere controles internos sobre los informes financieros (ITGC — IT General Controls).
• Las fallas en ITGC (controles de acceso, gestión de cambios, operaciones de TI) pueden resultar en multas y penas de prisión para los ejecutivos.

HIPAA (Health Insurance Portability and Accountability Act — EE.UU.):

• Protege datos médicos (PHI — Protected Health Information).
• Requiere análisis de riesgos, políticas de privacidad, controles de acceso, cifrado, y notificación de brechas.
• Las sanciones dependen de la categoría, el año, la conducta y los ajustes regulatorios; deben consultarse en las fuentes vigentes de HHS.

NIST CSF 2.0 (Cybersecurity Framework):

• Marco de gestión de riesgo de ciberseguridad aplicable a organizaciones de cualquier tamaño y sector.
• 6 funciones: Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar.
• La función Gobernar conecta estrategia, roles, políticas, cadena de suministro y supervisión con las otras cinco funciones.

NIST SP 800-53:

• Catálogo de controles de seguridad para sistemas federales de EE.UU. y contratistas del gobierno.
• Organiza controles y mejoras de control en familias para adaptar una línea base al riesgo y contexto del sistema.
• Adoptado por muchas empresas como guía de mejores prácticas.

El Modelo de las Tres Líneas

El modelo actualizado del Institute of Internal Auditors describe cómo se coordinan órgano de gobierno, gestión y auditoría interna:

1. Primera Línea (Gestión Operativa): Los equipos técnicos y de negocio que implementan los controles día a día. Ej: El administrador de sistemas que configura firewalls y aplica parches.
2. Segunda Línea (Gestión de Riesgos y Cumplimiento): El equipo de GRC que define políticas, evalúa riesgos, monitorea el cumplimiento y asesora a la primera línea. No ejecutan controles, verifican que se ejecuten correctamente.
3. Tercera Línea (Auditoría Interna): Auditores independientes que evalúan objetivamente la efectividad del gobierno, la gestión de riesgos y los controles. Reportan directamente al comité de auditoría de la junta directiva.

---

3. Gestión de Riesgos (Risk): La Ruleta del Casino

El tercer pilar de GRC es la gestión de riesgos, que se trata en detalle en la guía RIESGO-CONTROLES. Aquí cubrimos la integración de riesgo con gobierno y cumplimiento.

El Ciclo de Gestión de Riesgos

1. Identificación: ¿Qué podría salir mal? (Amenazas, vulnerabilidades, activos).
2. Análisis: ¿Cuál es la probabilidad y el impacto? (Análisis cuantitativo y cualitativo).
3. Evaluación: ¿El riesgo está dentro de la tolerancia de la empresa?
4. Tratamiento: ¿Mitigamos, transferimos, evitamos o aceptamos?
5. Monitoreo: ¿El riesgo ha cambiado? ¿Los controles siguen funcionando?

TPRM (Third-Party Risk Management)

Las empresas modernas dependen de docenas de proveedores externos (cloud, SaaS, soporte técnico). Cada proveedor es un riesgo potencial. Un atacante puede comprometer a un proveedor para llegar a la empresa (ataque a la cadena de suministro — SolarWinds 2020, Kaseya 2021).

Proceso TPRM:

1. Due Diligence: Evaluar la seguridad del proveedor antes de contratarlo (cuestionario de seguridad, revisión de certificaciones ISO/SOC2).
2. Clasificación: Categorizar proveedores por criticidad (acceso a datos, integración con sistemas críticos).
3. Monitoreo Continuo: Escanear vulnerabilidades del proveedor, revisar su postura de seguridad periódicamente.
4. Plan de Salida: ¿Qué pasa si el proveedor quiebra o es comprometido? ¿Cómo recuperamos nuestros datos?

Auditoría: El Ciclo de Evaluación

El ciclo de auditoría de cumplimiento sigue estas fases:

1. Planificación:

• Definir el alcance: ¿Qué sistemas, procesos y ubicaciones se auditan?
• Seleccionar el marco: ¿ISO 27001, PCI-DSS, SOC 2?
• Revisar hallazgos de auditorías anteriores (si las hay).
• Estimar duración: Una auditoría ISO 27001 para una empresa mediana toma 3-5 días in situ, más semanas de preparación.

2. Recolección de Evidencia: El auditor solicita evidencia objetiva de que los controles existen y funcionan. Ejemplos:

Control	Evidencia Requerida
Política de seguridad documentada	Documento firmado por el CISO o CEO, con fecha de aprobación y revisión
Control de acceso lógico	Capturas de pantalla del sistema de gestión de accesos (IAM), lista de usuarios con accesos privilegiados
Gestión de parches	Reporte de escaneo de vulnerabilidades, registro de parches aplicados en los últimos 90 días
Backup y recuperación	Logs de ejecución de backups, prueba de restauración documentada
Concientización en seguridad	Registro de empleados que completaron el training anual, contenido del training

3. Pruebas de Controles:

• Inspección: Revisar documentos, políticas, contratos.
• Observación: Ver que los empleados siguen los procedimientos (ej: observar si realmente usan MFA).
• Re-ejecución: El auditor ejecuta un control para verificar que funciona (ej: intenta acceder a un sistema sin autorización).
• Entrevistas: Preguntar a empleados sobre sus responsabilidades de seguridad.

4. Reporte de Hallazgos:

• Conformidad (Conformance): El control cumple con el requisito. Sin acciones.
• Observación (Observation): Área de mejora, no crítica pero recomendable.
• No conformidad menor (Minor NC): El control existe pero tiene alguna deficiencia que no compromete gravemente la seguridad.
• No conformidad mayor (Major NC): El control no existe o no funciona. Requiere acción correctiva inmediata. Una Major NC puede suspender la certificación.

5. Acciones Correctivas: La empresa tiene un plazo (típicamente 30-90 días) para corregir las no conformidades. El auditor verifica la remediación y emite la certificación.

Evidencia Digital y Forense de Cumplimiento

La automatización del cumplimiento está reemplazando los checklists manuales. Herramientas como Scytale, Drata, Vanta y Secureframe automatizan la recolección de evidencia conectándose directamente a las APIs de los sistemas:

• AWS/Azure/GCP: Recolectan evidencia de configuración de seguridad (S3 Block Public Access, CloudTrail habilitado, MFA en cuentas root).
• Okta/Microsoft Entra ID: Evidencia de MFA, políticas de contraseñas, revisión de accesos.
• GitHub/GitLab: Evidencia de revisión de código, SAST/DAST configurado, branch protection.
• EDR (CrowdStrike, SentinelOne): Evidencia de que los endpoints tienen el agente instalado y actualizado.

• Por qué esto importa: La automatización reduce el tiempo de preparación de auditorías de meses a semanas. También elimina el error humano en la recolección de evidencia.

---

4. El Ángulo del Hacker

Un atacante no ataca firewalls y antivirus directamente. Ataca los vacíos que deja un GRC deficiente:

• Políticas que nadie lee: Los empleados firman políticas de seguridad sin leerlas. Un atacante usa ingeniería social para que un empleado viole la política (conectarse a Wi-Fi público sin VPN, descargar software no autorizado).
• Cumplimiento superficial (Checkbox compliance): La empresa pasa la auditoría ISO 27001, pero los controles existen solo en papel. El firewall está configurado correctamente (según el checklist) pero nadie revisa los logs. El atacante entra y no hay detección porque "cumplimos con ISO, eso es suficiente".
• Proveedores no evaluados: El atacante compromete a un proveedor pequeño (con peor seguridad) que tiene acceso a la red del objetivo. Ataque a Target (2013): Hackearon al proveedor de HVAC que tenía credenciales de acceso remoto a la red de Target.
• Falta de gobierno sobre cuentas privilegiadas: Un administrador de sistemas tiene una cuenta con acceso total a todos los sistemas. El atacante compromete esa cuenta (phishing) y tiene acceso irrestricto. No existe el principio de mínimo privilegio ni revisión de accesos.
• Ausencia de respuesta a incidentes: La empresa cumple con PCI-DSS (firewalls, cifrado) pero no tiene un plan de respuesta a incidentes probado. Cuando ocurre el ataque, el equipo no sabe qué hacer, el RTO se extiende y la pérdida financiera se multiplica.

---

5. Criterio de Dominio (Autoevaluación)

Revisa si puedes pensar como un Director de Seguridad (CISO):

1. Un equipo de ingenieros propone implementar un sistema de encriptación complejo que costará un millón de dólares y hará que la página web sea un 20% más lenta. Si la empresa se dedica exclusivamente a publicar blogs de recetas de cocina gratuitas (sin cuentas de usuario ni pagos), ¿Por qué el CISO, desde una perspectiva de "Gobierno Corporativo", rechazaría esta propuesta técnica?

2. Explica la diferencia fundamental entre una "Política Interna" (Gobierno) y una "Ley de Cumplimiento Regulador" (Compliance) como PCI-DSS, enfocándote en quién impone el castigo.

3. El CEO de una empresa startup dice: "No necesitamos gastar dinero en seguridad, somos una empresa pequeña y los hackers no nos conocen". Si la startup quiere empezar a vender sus productos a clientes en Francia e Inglaterra, ¿Qué monstruo de cumplimiento internacional destruye inmediatamente el argumento del CEO, sin importar si los hackers los atacan o no?

4. Durante una auditoría de ISO 27001, el auditor descubre que el Administrador de Sistemas de la empresa guarda todas las contraseñas corporativas en un archivo de texto llamado passwords.txt en su escritorio. ¿Por qué este simple hallazgo administrativo, que no involucra ningún virus ni hackeo, es suficiente para que la empresa pierda su certificado internacional?

5. Un CISO implementa controles técnicos perfectos (firewalls NGFW, EDR, MFA, cifrado) pero nunca revisa la seguridad de sus 20 proveedores SaaS. Un atacante compromete a uno de los proveedores (un CRM pequeño) y accede a los datos de clientes. Explica qué proceso de GRC (TPRM) falló y cómo debería implementarse para prevenir este ataque.

6. El equipo de auditoría descubre que la empresa tiene una política escrita de "revisión trimestral de accesos privilegiados", pero el registro de revisiones muestra que la última revisión ocurrió hace 18 meses. Explica por qué esta discrepancia entre "Gobierno" (política escrita) y "Operaciones" (lo que realmente se hace) es un hallazgo crítico en cualquier auditoría de cumplimiento.