Política de seguridad aprobada por la junta
Un documento breve, firmado por quien tiene autoridad para hacerlo cumplir, que declara qué se protege y quién responde.
- Qué corta
- La ambigüedad. Sin una política aprobada arriba, cada área negocia su propio nivel de seguridad.
- Cómo se audita
- El acta de junta que la aprueba, con fecha, y el registro de su última revisión.
- Dónde falla
- Existe en PDF, sin firmar, y nadie ha enfrentado consecuencia por incumplirla. Una norma que se puede incumplir sin costo no es una norma: es una sugerencia bien redactada.
IG1Esfuerzo bajoISO 5.1
Roles, responsabilidades y autoridades
Nombres propios detrás de cada activo: dueño de negocio, steward, custodio técnico.
- Qué corta
- El activo huérfano: todos lo usan, nadie lo arregla cuando se rompe.
- Cómo se audita
- Una matriz de responsabilidad vigente, y la respuesta a una pregunta: ¿quién pierde algo si este dato está mal?
- Dónde falla
- Se nombra un steward sin autoridad sobre el área que produce el dato. Eso no delega la función: delega la culpa.
IG1Esfuerzo bajoISO 5.2
Apetito de riesgo declarado en pesos
La pérdida anual que la organización acepta, escrita como número y no como color. Es lo que convierte una discusión de seguridad en una decisión de inversión.
- Qué corta
- La matriz de calor: dos analistas con la misma información produciendo colores distintos.
- Cómo se audita
- Un umbral cuantificado y aprobado, y al menos un riesgo modelado contra él con supuestos declarados.
- Dónde falla
- Se declara el apetito y nunca se compara nada contra él. El umbral sin modelo es decorativo; el modelo sin umbral no decide nada.
IG2Esfuerzo alto
Gestión del riesgo de proveedores
Debida diligencia antes de contratar, cláusulas de seguridad en el contrato, y monitoreo mientras dure la relación.
- Qué corta
- Que el perímetro real de la organización sea el de una empresa cuyo nombre nadie recuerda.
- Cómo se audita
- El inventario de terceros con acceso a datos, su nivel de criticidad, y la fecha de la última revisión de cada uno.
- Dónde falla
- La debida diligencia se hace una vez, al firmar, y jamás se repite. El proveedor seguro de 2023 es el incidente de 2026.
48% — Brechas que involucran a un tercero o proveedor (Verizon — Data Breach Investigations Report 2026)
IG1Esfuerzo medioISO 5.19ISO 5.20ISO 5.21ISO 5.22ISO 5.23CIS 15
Supervisión del programa por la dirección
La instancia que revisa si lo dirigido se está cumpliendo, con indicadores y no con anécdotas.
- Qué corta
- El programa que informa avances y nunca resultados.
- Cómo se audita
- Actas del comité con decisiones tomadas, no solo con presentaciones recibidas.
- Dónde falla
- El comité se reúne a revisar tickets. Gobernar es evaluar, dirigir y monitorear; operar es otra cosa.
IG2Esfuerzo bajo
Inventario de activos de la organización
La lista de todo lo que se conecta: servidores, portátiles, dispositivos, servicios en la nube.
- Qué corta
- Defender lo que no se sabe que existe. Es el primer control de CIS por una razón.
- Cómo se audita
- Un inventario con dueño, ubicación y fecha de última verificación. Y la diferencia contra un escaneo de red.
- Dónde falla
- El inventario se llena a mano y envejece en semanas. Si no se reconcilia contra un descubrimiento automático, es ficción.
IG1Esfuerzo medioISO 5.9CIS 1
Inventario de software autorizado
Qué software puede ejecutarse, en qué versión, y qué hace el sistema con lo que no está en la lista.
- Qué corta
- La aplicación sin soporte que nadie recuerda haber instalado y que nadie va a parchear.
- Cómo se audita
- La lista de software permitido y el registro de intentos de ejecución bloqueados.
- Dónde falla
- Se inventaría pero no se restringe. Un inventario sin lista de permitidos es un catálogo de la exposición.
IG1Esfuerzo medioISO 5.9CIS 2
Inventario y clasificación de datos
Qué datos existen, dónde viven, quién los toca, y qué nivel de protección exige cada uno.
- Qué corta
- Proteger por igual las fotos del evento y las cédulas de 240.000 personas.
- Cómo se audita
- El catálogo con el linaje de los datos sensibles. La prueba de fuego: ¿cuánto tarda en responder qué campos salieron en una brecha?
- Dónde falla
- Se clasifica todo como confidencial. Cuando todo es confidencial, nada lo es: la gente construye rutas alternas y los datos sensibles terminan fuera de todo control.
IG1Esfuerzo medioISO 5.9ISO 8.10CIS 3
Gestión continua de vulnerabilidades
Escanear, priorizar y remediar. Priorizar sobre todo lo que se sabe que está siendo explotado, no lo que tiene el puntaje más alto.
- Qué corta
- La ventana entre que se publica el parche y que alguien lo aplica.
- Cómo se audita
- El tiempo mediano de remediación, y el porcentaje del catálogo de vulnerabilidades explotadas conocidas ya cerrado.
- Dónde falla
- Se persigue el CVSS 10 teórico mientras la vulnerabilidad de 7,5 que sí se está explotando lleva cuarenta días abierta.
43 días — Mediana para remediar una vulnerabilidad (Verizon — Data Breach Investigations Report 2026)
IG1Esfuerzo medioISO 8.8CIS 7
Inventario de sistemas de inteligencia artificial
Qué modelos y qué asistentes usa la organización, con qué datos, y con permiso de quién.
- Qué corta
- La IA en la sombra: el área que pegó la base de clientes en un asistente que nadie aprobó.
- Cómo se audita
- El registro de casos de uso con su nivel de riesgo, el dato que consumen y el responsable de cada uno.
- Dónde falla
- Se inventarían los modelos y no los usos. La obligación regulatoria no viaja con la tecnología: viaja con el contexto de aplicación.
1 de cada 5 — Brechas que involucraron IA en la sombra (shadow AI) (IBM 2025, vía resúmenes secundarios del reporte)
IG2Esfuerzo medioISO 5.23
Pruebas de intrusión y mejora
Atacarse a sí mismo, con alcance definido, y convertir cada hallazgo en un cambio verificable.
- Qué corta
- La confianza injustificada. Un control que nunca fue puesto a prueba es una hipótesis.
- Cómo se audita
- El informe con hallazgos cerrados y verificados, no solo reportados.
- Dónde falla
- Se contrata el pentest para cumplir un requisito, se archiva el informe y al año siguiente se encuentra lo mismo. Es el control más caro de simular.
IG3Esfuerzo altoISO 8.29CIS 18
Autenticación multifactor
Un segundo factor para todo acceso remoto, administrativo y a datos sensibles.
- Qué corta
- La credencial robada, que sigue apareciendo en cerca de cuatro de cada diez brechas en algún punto de la cadena.
- Cómo se audita
- El porcentaje de cuentas con MFA activo, desagregado: el número que importa es el de las cuentas privilegiadas.
- Dónde falla
- No todos los segundos factores son el mismo control. El código por SMS detuvo el 76% de los ataques dirigidos en el estudio de Google; la llave física, el 100%.
99,2% — Reducción del riesgo de compromiso de cuenta con MFA (Microsoft Research — How effective is MFA (2023))
IG1Esfuerzo bajoISO 5.17CIS 5CIS 6
Gestión de cuentas privilegiadas
Cuentas de administrador separadas, con mínimo privilegio, revisión periódica y baja inmediata al salir.
- Qué corta
- El administrador que se fue hace ocho meses y cuya cuenta sigue activa.
- Cómo se audita
- La conciliación entre el listado de cuentas privilegiadas y la nómina. Casi siempre no cuadra.
- Dónde falla
- Se revisa el alta y nunca la baja. La desvinculación es un proceso de recursos humanos que nadie conectó con seguridad.
IG1Esfuerzo medioISO 5.15ISO 5.16ISO 5.18ISO 8.2CIS 5CIS 6
Configuración segura de activos y software
Líneas base endurecidas, sin credenciales por defecto, con gestión de cambios que deje rastro.
- Qué corta
- El servidor recién instalado con la contraseña de fábrica y el puerto de administración abierto.
- Cómo se audita
- La línea base documentada y el informe de desviaciones contra ella.
- Dónde falla
- Se endurece en la instalación y la configuración se degrada con cada excepción urgente que nadie revierte.
IG1Esfuerzo medioISO 8.9ISO 8.32CIS 4
Gestión de parches
Un proceso con plazos definidos por criticidad, y una ruta de excepción que exige aprobación y fecha de cierre.
- Qué corta
- El vector inicial más común de todos, desde 2026: la explotación de una vulnerabilidad conocida.
- Cómo se audita
- El tiempo mediano de aplicación por criticidad, y la lista de excepciones vigentes con su justificación.
- Dónde falla
- Durante una década el presupuesto fue a capacitar al usuario. Si el vector dominante ya no es la persona sino el parche que nadie aplicó, se estaba resolviendo el problema del año pasado.
31% — Brechas que empiezan por explotación de una vulnerabilidad (Verizon — Data Breach Investigations Report 2026)
IG1Esfuerzo medioISO 8.8CIS 7
Cifrado en reposo y en tránsito
Datos sensibles cifrados donde se guardan y por donde viajan, con gestión de llaves separada de los datos.
- Qué corta
- Que la copia robada de la base de datos sea legible.
- Cómo se audita
- El inventario de repositorios con datos sensibles y su estado de cifrado. Y quién custodia las llaves.
- Dónde falla
- Se cifra el disco y la llave vive en el mismo servidor. Es un candado con la copia pegada a la puerta.
IG1Esfuerzo medioISO 8.24CIS 3
Enmascaramiento y minimización de datos
Que los ambientes de prueba no tengan datos reales, y que cada sistema reciba solo los campos que necesita para funcionar.
- Qué corta
- La brecha en el ambiente de desarrollo que expone la base productiva de clientes.
- Cómo se audita
- La prueba directa: consultar el ambiente de pruebas y ver si aparece una cédula real.
- Dónde falla
- El enmascaramiento reversible no es minimización. Y minimizar es el único control que reduce el impacto en lugar de la probabilidad: si el dato no está, no se filtra.
IG2Esfuerzo medioISO 8.11ISO 8.31CIS 3
Retención con fecha de vencimiento y borrado verificable
Cada conjunto de datos nace con una fecha de caducidad escrita, y existe un procedimiento que efectivamente lo borra —también en los respaldos y también en el proveedor.
- Qué corta
- La base histórica que ya no sirve para operar, que nadie mira, que nadie clasificó y que sigue completa.
- Cómo se audita
- La matriz de retención por tipo de dato con su fundamento legal, y el registro de las últimas disposiciones ejecutadas, con quién las autorizó y quién las verificó.
- Dónde falla
- Guardar es barato y decidir qué borrar es caro, así que se guarda todo «por si acaso». Es el único control que reduce el impacto en vez de la probabilidad: el dato que ya no existe no se filtra, y el que existe hace diez años sin dueño es exactamente el que se filtra.
IG1Esfuerzo medioISO 5.33ISO 8.10CIS 3
Uso seguro de servicios en la nube
Un proceso para adquirir, configurar, supervisar y salir de un servicio en la nube, con el reparto de responsabilidades escrito y con las configuraciones de almacenamiento y acceso revisadas de forma continua.
- Qué corta
- El repositorio de archivos en la nube que quedó accesible de más y del que alguien descarga carpetas enteras.
- Cómo se audita
- El inventario de servicios en la nube en uso —incluidos los que contrató un área sin pasar por TI—, el modelo de responsabilidad compartida por cada uno y el informe de desviaciones de configuración.
- Dónde falla
- Se asume que el proveedor responde por todo. El proveedor responde por la seguridad *de* la nube; la configuración, los permisos y qué se sube son de la organización. Ese malentendido es el origen de la mayoría de las exposiciones de almacenamiento.
48% — Brechas que involucran a un tercero o proveedor (Verizon — Data Breach Investigations Report 2026)
IG2Esfuerzo medioISO 5.23ISO 8.9CIS 3CIS 4
Prevención de fuga de datos
Reglas que detectan y bloquean la salida de información sensible por correo, nube o dispositivo.
- Qué corta
- La exfiltración lenta, y el error honesto de adjuntar el archivo equivocado.
- Cómo se audita
- Los bloqueos efectivos por período, y —más revelador— la tasa de falsos positivos.
- Dónde falla
- Se despliega en modo de solo monitoreo por miedo a romper la operación, y ahí se queda tres años. Un control que no bloquea es un registro con presupuesto de control.
IG3Esfuerzo altoISO 8.12CIS 3
Respaldos que se restauran
Copias aisladas de la red productiva, cifradas, y probadas restaurando de verdad.
- Qué corta
- El ransomware. Es la diferencia entre negociar y no tener que hacerlo.
- Cómo se audita
- La fecha y el resultado del último ejercicio de restauración completa. No el registro del último respaldo.
- Dónde falla
- El respaldo corre todas las noches y jamás se ha restaurado. Nadie tiene respaldos: tienen la esperanza de tenerlos.
48% — Brechas que involucran ransomware (Verizon — Data Breach Investigations Report 2026)
IG1Esfuerzo medioISO 8.13CIS 11
Formación y concientización
Entrenamiento dirigido a los roles y a las personas que concentran la exposición, no una charla anual para todos.
- Qué corta
- El elemento humano, presente en cerca de dos de cada tres brechas.
- Cómo se audita
- La tasa de reporte de correos sospechosos. Sube cuando el programa funciona; la tasa de clic es una métrica peor.
- Dónde falla
- Se mide el porcentaje de empleados que hicieron el curso, que no correlaciona con nada. Y se castiga al que cae en la simulación, garantizando que la próxima vez no reporte.
62% — Brechas con elemento humano (Verizon — Data Breach Investigations Report 2026)
IG1Esfuerzo bajoISO 6.3CIS 14
Defensa contra código malicioso
Protección en el punto final, con actualización automática y bloqueo de ejecución no autorizada.
- Qué corta
- La carga útil que llega por correo, memoria USB o descarga.
- Cómo se audita
- La cobertura real sobre el inventario de activos. El servidor que nadie inventarió tampoco tiene agente.
- Dónde falla
- La cobertura se mide sobre los equipos conocidos. El control hereda todos los huecos del inventario.
IG1Esfuerzo bajoISO 8.7CIS 10
Protección de correo y navegación
Filtrado de correo, autenticación del remitente y filtrado web para cortar el vector más antiguo.
- Qué corta
- El phishing, todavía responsable de alrededor del 16% de las brechas como vector inicial.
- Cómo se audita
- Los registros de autenticación de correo configurados y aplicados en el dominio propio.
- Dónde falla
- Se protege el correo entrante y se deja el dominio propio sin políticas, regalándole a cualquiera la capacidad de suplantarlo.
IG1Esfuerzo bajoISO 8.23CIS 9
Segmentación de la red
Separar los ambientes y limitar el movimiento lateral: que entrar a un equipo no sea entrar a todos.
- Qué corta
- La propagación. Casi ningún atacante entra por donde causa el daño.
- Cómo se audita
- El diagrama de segmentos vigente y la prueba de que un equipo comprometido no alcanza la base de datos.
- Dónde falla
- La segmentación existe en el diagrama y no en las reglas del firewall, que acumularon excepciones durante años.
IG2Esfuerzo altoISO 8.20ISO 8.21ISO 8.22CIS 12
Desarrollo seguro
Codificación segura, revisión de dependencias y pruebas de seguridad antes de publicar.
- Qué corta
- La vulnerabilidad que la organización se construye a sí misma, y la que hereda de una librería de terceros.
- Cómo se audita
- Las pruebas de seguridad integradas al despliegue, y el inventario de dependencias con sus versiones.
- Dónde falla
- Se revisa el código propio y se confía ciegamente en las dependencias, que son la mayor parte de lo que se despliega.
IG2Esfuerzo altoISO 8.28ISO 8.29CIS 16
Registro y retención de eventos
Bitácoras centralizadas, sincronizadas en tiempo, con retención suficiente para investigar hacia atrás.
- Qué corta
- La imposibilidad de responder qué pasó. Sin registros no hay peritaje, no hay alcance y no hay defensa.
- Cómo se audita
- La retención efectiva en días y la lista de fuentes que efectivamente están enviando registros.
- Dónde falla
- La retención es de treinta días y la brecha promedio tarda ciento ochenta y un días en detectarse. Cuando se va a investigar, la evidencia ya se rotó.
241 días — Ciclo de vida de una brecha: identificar y contener (IBM — Cost of a Data Breach Report 2025)
IG1Esfuerzo medioISO 8.15CIS 8
Monitoreo continuo de red y puntos finales
Vigilancia activa del tráfico y del comportamiento de los equipos, con alertas que alguien atiende.
- Qué corta
- Los ciento ochenta y un días de permanencia del atacante dentro de la red.
- Cómo se audita
- El tiempo medio de detección propio, medido, y no el del reporte de la industria.
- Dónde falla
- Se compra la herramienta y no el equipo que responde a las alertas. Un tablero que nadie mira a las tres de la mañana no detecta nada.
IG2Esfuerzo altoISO 8.16CIS 13
Análisis y correlación de eventos adversos
Convertir miles de alertas en un puñado de incidentes reales, con contexto suficiente para decidir.
- Qué corta
- La fatiga de alertas, que es la forma más común de ceguera bien financiada.
- Cómo se audita
- La proporción de alertas que se cierran como falso positivo, y cuánto tarda una en escalarse.
- Dónde falla
- La automatización se compra para ahorrar personal. Su valor medido está en otra parte: acorta el ciclo de vida de la brecha unos ochenta días, y eso es lo que ahorra dinero.
USD 1,9 M — Ahorro con uso extensivo de IA y automatización en seguridad (IBM — Cost of a Data Breach Report 2025)
IG2Esfuerzo altoISO 5.7ISO 8.16CIS 8CIS 13
Plan de respuesta a incidentes, ensayado
Roles, umbrales de escalamiento y una lista de a quién se llama. Ensayado al menos una vez, en frío.
- Qué corta
- La improvisación de la primera hora, que es donde se pierden las brechas.
- Cómo se audita
- La fecha del último simulacro y las decisiones que cambió. Un plan que nunca se ensayó no existe.
- Dónde falla
- El plan asume que quien decide está disponible. Nadie sostiene solo, a las tres de la mañana, si esto se le cuenta o no a 240.000 personas.
IG1Esfuerzo medioISO 5.24ISO 5.26CIS 17
Reporte al regulador y comunicación
Saber, antes del incidente, a quién hay que reportar, en qué plazo y por qué canal. En Colombia y en cada jurisdicción donde se opere.
- Qué corta
- Descubrir el deber legal mientras corre el reloj, con el abogado externo improvisando.
- Cómo se audita
- El procedimiento con los plazos escritos y el canal identificado. Y quién tiene la autoridad para apretar el botón.
- Dónde falla
- En Colombia el plazo no está en la Ley 1581 sino en la Circular Única de la SIC, y notificar a los titulares no es obligatorio. En la Unión Europea son 72 horas corridas y sí hay que avisarle a la persona. Se necesitan dos protocolos, no uno.
IG1Esfuerzo bajoISO 5.25ISO 5.26CIS 17
Preservación de evidencia y análisis forense
Aislar sin apagar, conservar el estado, y saber a quién se llama para el peritaje.
- Qué corta
- La destrucción de la evidencia por celo de contención.
- Cómo se audita
- El procedimiento de cadena de custodia y el contrato de retención con un perito, firmado antes de necesitarlo.
- Dónde falla
- Se apaga el servidor y se borran los registros para detener la fuga. Ante el regulador, "no sabemos" y "no quisimos saber" se leen igual.
IG2Esfuerzo altoISO 5.27ISO 5.28CIS 17
Contención y erradicación
Aislar los sistemas afectados, cortar el acceso del atacante y cerrar la puerta por la que entró.
- Qué corta
- La reinfección: volver a producción con la vulnerabilidad original intacta.
- Cómo se audita
- El registro de acciones de contención con su hora, y la causa raíz cerrada antes de restaurar.
- Dónde falla
- Se restaura el servicio antes de erradicar. El atacante nunca se fue, y ahora además hay respaldos comprometidos.
IG2Esfuerzo medioISO 5.26CIS 17
Plan de recuperación con tiempos objetivo
Cuánto puede estar caído cada servicio y cuántos datos se aceptan perder. Declarado antes, no negociado durante.
- Qué corta
- Descubrir en medio de la crisis que restaurar el sistema misional toma nueve días.
- Cómo se audita
- Los objetivos de tiempo y de punto de recuperación por servicio, contrastados con el último ejercicio real.
- Dónde falla
- Los objetivos los fija el área técnica según lo que puede cumplir, no el negocio según lo que puede soportar.
IG1Esfuerzo medioISO 5.29ISO 5.30CIS 11
Comunicación durante la recuperación
Qué se le dice al titular, al regulador, al cliente y a la prensa, y en qué orden.
- Qué corta
- Que la narración del incidente la escriba alguien más.
- Cómo se audita
- Las plantillas aprobadas por legal antes del incidente, y el vocero designado.
- Dónde falla
- Se empieza por lo que no pasó —"no se comprometieron datos financieros"— cuando el público pregunta por lo que sí pasó. Se lee como evasión, porque lo es.
IG2Esfuerzo bajoISO 5.26CIS 17
Ningún control de esta lista sirve por sí solo, y el catálogo no es una lista de compras: es el insumo del modelo de riesgo cuantitativo. Un control se justifica cuando la reducción de pérdida esperada que produce supera lo que cuesta, y esa comparación exige nombrar el riesgo antes que la herramienta. Las cifras de arriba sostienen esa conversación; no la reemplazan.