La brecha arquitectónica: por qué tu puerta de enlace de seguridad y tu programa de formación nunca han compartido ni un solo dato

Resumen

La mayoría de las infraestructuras de seguridad empresarial utilizan dos sistemas diseñados para abordar el riesgo humano: una puerta de enlace que detecta las amenazas dirigidas a los empleados y una plataforma de formación que intenta cambiar el comportamiento de los mismos. Estos sistemas se construyeron por separado, se compraron por separado y se miden con métricas completamente diferentes. Como resultado, nunca han compartido un solo punto de datos, y esa brecha produce fallos específicos y predecibles cada semana. Esta publicación identifica la brecha, explica por qué existe y le ofrece cuatro preguntas para comprobar si su infraestructura actual la padece.

La brecha de arquitectura: por qué su puerta de enlace de seguridad y su programa de formación nunca han compartido un solo punto de datos

Una campaña de phishing dirigida ataca a su organización. Durante tres semanas, el mismo empleado recibe catorce intentos de ingeniería social, cada uno más personalizado que el anterior. Su puerta de enlace detecta y bloquea doce de ellos. Las señales de comportamiento son claras: este usuario es un objetivo activo, probablemente de un actor de amenazas persistente que ya ha realizado labores de reconocimiento.

Su plataforma de formación no sabe nada de esto.

Ese empleado está inscrito en el mismo módulo anual de concienciación sobre seguridad que todos los demás. Su registro de formación muestra un 100% de finalización. No se generó ninguna alerta. No se activó ninguna intervención. La señal de la puerta de enlace —alta frecuencia de ataques, vector de ingeniería social específico— nunca llegó al sistema de formación.

Cuando el decimoquinto intento tiene éxito y se compromete una credencial, el informe de incidentes mostrará que la formación estaba al día y cumplía con la normativa. Pero el programa de formación nunca falló. Nunca se le informó de que existía un riesgo.

Esta es la brecha de arquitectura. Existe en la gran mayoría de las infraestructuras de seguridad empresarial en este momento. Y no es un problema de configuración. Es una consecuencia estructural de cómo llegaron a existir estas dos categorías de software.

Dos sistemas creados para dos organizaciones diferentes

Las puertas de enlace de correo electrónico seguro y los proxies web se crearon para el centro de operaciones de seguridad. Los compradores eran ingenieros de seguridad y CISO. La métrica de éxito era el número de amenazas bloqueadas.

Las plataformas de formación en concienciación sobre seguridad surgieron del área de cumplimiento y recursos humanos de la organización. Los compradores eran directores de cumplimiento y equipos legales. La métrica de éxito era, como mínimo, la finalización de la formación y, en el mejor de los casos, los informes de simulaciones.

En la mayoría de las organizaciones, estas eran líneas presupuestarias separadas, relaciones con proveedores distintas y ciclos de renovación diferentes. El CISO que gestionaba la puerta de enlace a menudo no tenía visibilidad del sistema de gestión del aprendizaje. El equipo de cumplimiento que gestionaba la formación no tenía acceso a los registros de la puerta de enlace. No existía un modelo de datos compartido ni ninguna razón organizativa para que un sistema solicitara lo que el otro sabía.

Observe lo que registra cada sistema y la incompatibilidad se vuelve estructural. Una puerta de enlace registra eventos de amenaza vinculados a identificadores de mensaje, dominios de envío, direcciones IP y veredictos. Una plataforma de formación registra registros de finalización, tasas de clics en simulaciones y puntuaciones de cuestionarios posteriores al curso vinculados a identificadores de empleados. Estos dos esquemas no tienen una clave de unión común nativa. Conectarlos requiere acordar una capa de identidad de usuario compartida y una definición coherente de lo que constituye una señal de riesgo; un trabajo que la mayoría de las organizaciones nunca ha realizado.

Según un informe de Blink Ops, el 72% de las organizaciones afirma que los datos operativos y de seguridad permanecen aislados, y la mayoría declara que los datos aislados ralentizan directamente la respuesta ante incidentes y degradan la postura de seguridad. (Blink Ops, 2024)

La brecha no es un error. Es el resultado predecible de dos categorías de productos que nunca fueron diseñadas en torno a una definición compartida de lo que intentan lograr colectivamente.

Lo que se pierde en la brecha

La brecha produce tres fallos específicos que aparecen regularmente en cualquier organización que utilice una infraestructura convencional de dos sistemas.

El evento de amenaza que no generó ninguna respuesta de capacitación. Su puerta de enlace bloqueó seis intentos de phishing dirigidos a un usuario específico esta semana. Su plataforma de capacitación asignó a ese usuario el mismo módulo que al resto del departamento. La señal de la puerta de enlace —alta frecuencia de ataques, vector de ataque específico— nunca activó una respuesta de capacitación. El usuario está siendo presionado activamente por un atacante. Su programa de capacitación se ejecuta bajo un calendario trimestral.

El usuario de alto riesgo que su plataforma de capacitación nunca ha identificado. Los equipos de operaciones de seguridad desarrollan un conocimiento práctico de los valores atípicos de comportamiento: usuarios que activan alertas repetidamente, interactúan con remitentes sospechosos o muestran patrones que sugieren una susceptibilidad elevada. Ese conocimiento reside en el SIEM y en los registros de la puerta de enlace. No fluye automáticamente hacia la plataforma de capacitación. Ese usuario tiene un historial de capacitación impecable. Según el modelo de la plataforma de capacitación, no es de alto riesgo. Según el modelo de señales de la puerta de enlace, es una de las personas más expuestas de la organización. Estas dos evaluaciones nunca se han reconciliado.

La puntuación de riesgo individual que no puede completar. Una puntuación de riesgo por usuario significativa requiere información de dos fuentes: datos de detección y datos de capacitación. Los datos de detección capturan qué amenazas se dirigieron a un usuario y en qué hicieron clic. Los datos de capacitación capturan cómo responden a las intervenciones y qué comportamientos cambian. Sin ambos, cualquier puntuación está incompleta. La mayoría de las organizaciones informan una puntuación de capacitación y la llaman puntuación de riesgo. Ambas no son lo mismo.

Lo que significa realmente "bucle cerrado"

El término se utiliza con la frecuencia suficiente en el marketing de gestión de riesgos humanos como para haber empezado a perder precisión. La mayoría de las plataformas que lo utilizan describen algo más limitado: el intercambio de datos dentro de su propia suite de productos. Si compra módulos de capacitación y una herramienta de simulación del mismo proveedor, esos productos comparten datos. Eso es útil. No es un bucle cerrado en el sentido arquitectónico.

Una plataforma genuina de gestión de riesgos humanos de bucle cerrado trata las señales de detección y los resultados de la capacitación como dos entradas para un único modelo de comportamiento. Un evento de amenaza actualiza el perfil de comportamiento de un usuario. Ese perfil activa una respuesta de capacitación calibrada según el patrón de amenaza real. El resultado de la capacitación retroalimenta la puntuación de riesgo. El ciclo se ejecuta continuamente, sin transferencias manuales entre sistemas.

Ese es el estándar arquitectónico que cualquier plataforma que pretenda gestionar el riesgo humano debería cumplir.

Cuatro preguntas para comprobar si su stack tiene la brecha

Estas cuatro preguntas son suficientes para un diagnóstico inicial.

¿Puede su puerta de enlace activar automáticamente un evento de capacitación para un usuario que fue atacado o hizo clic? Si esto requiere la intervención manual del SOC, la brecha está presente.

¿Recibe su plataforma de capacitación señales de amenazas externas de sus herramientas de detección, y no solo resultados de simulaciones? Si los datos de la plataforma sobre un usuario consisten únicamente en la finalización de módulos y el rendimiento en simulaciones de phishing, no tiene visibilidad de la exposición a amenazas del mundo real.

¿Un clic en un intento de phishing real actualiza el mismo perfil de empleado que un clic en una simulación? Si producir esa vista combinada requiere exportar y unir datos manualmente desde dos sistemas, la brecha está presente.

¿Puede generar una única puntuación de riesgo por usuario que utilice tanto los datos de la puerta de enlace como los de capacitación, casi en tiempo real? Si la respuesta es que esto requiere un ejercicio de informes trimestrales, no es una puntuación de riesgo. Es un análisis retrospectivo.

La mayoría de las organizaciones que analizan estas cuestiones con honestidad detectan una brecha en al menos dos de ellas. Esto no es un fallo de ninguno de los sistemas por separado. Es un problema de diseño anterior a la categoría de gestión de riesgos humanos, que requiere una plataforma construida desde cero en torno a un modelo de comportamiento compartido, y no dos sistemas heredados conectados superficialmente.

Para profundizar en lo que requiere una arquitectura de bucle cerrado a nivel de capa de datos —incluidos los cuatro tipos de señales que deben cruzar la frontera entre la detección y la formación—, estamos preparando una guía más detallada. Contáctanos si deseas una consulta personalizada al respecto.

Sobre lo que las normativas exigen actualmente a los programas de formación más allá de las tasas de finalización, consulta nuestro requisitos de cumplimiento de la formación en ciberseguridad artículo.