Inicio › Ciberseguridad › Defensa en profundidad

Read this reference sheet in English

Resumen ejecutivo

La defensa en profundidad es la estrategia de usar varios controles de seguridad que se traslapan, de modo que si uno falla los demás siguen protegiendo el activo. Parte del supuesto de que ningún control es perfecto y construye redundancia en el diseño. El objetivo es que un ataque exitoso tenga que vencer muchas barreras independientes en lugar de una sola.

Qué es

La defensa en profundidad es un principio de diseño tomado de la estrategia militar y aplicado a la seguridad de la información. En lugar de confiar en un solo muro fuerte, apila muchas capas de protección alrededor de lo que importa, abarcando personas, procesos y tecnología. Un correo de phishing puede burlar el filtro de correo, pero un usuario capacitado, la autenticación multifactor, la detección en el endpoint, la segmentación de la red y el acceso con mínimo privilegio ofrecen cada uno otra oportunidad de detener o limitar el ataque. Cada capa es independiente, así que una debilidad en una de ellas no implica de forma automática un compromiso total.

Por qué importa

Todo control falla o se burla en algún momento. Los parches se retrasan, los usuarios hacen clic, las herramientas se configuran mal y los atacantes se adaptan. La defensa en profundidad acepta esa realidad y planifica para ella. Para una empresa, convierte un error aislado de catástrofe en un evento contenido. Para los profesionales, es uno de los temas de entrevista más frecuentes y una lente que auditores y arquitectos usan todo el tiempo. También sostiene ideas actuales como la de suponer la brecha, donde los equipos diseñan como si el atacante ya estuviera dentro y confían en las capas interiores para limitar el daño.

Cómo funciona

Las capas suelen agruparse por dónde y cómo actúan. Las capas físicas controlan el acceso a edificios y equipos. Las capas de perímetro y de red filtran y segmentan el tráfico. Las capas de endpoint protegen cada dispositivo. Las capas de aplicación e identidad controlan quién puede hacer qué dentro de los sistemas. Las capas de datos protegen la información misma con cifrado y control de accesos. Envolviendo a todas están las capas administrativas, como las políticas, la capacitación y la monitorización. Un buen diseño también mezcla controles preventivos, de detección y de respuesta en cada capa, para que los ataques no solo se bloqueen, sino que además se vean y se respondan.

Diagrama de arquitectura

Flujo de trabajo

Ataques frecuentes

• Phishing que burla un filtro pero queda detenido por la MFA o por el reporte del usuario
• Malware que evade el antivirus pero queda detectado en el endpoint
• Movimiento lateral que la segmentación de red vuelve lento
• Credenciales robadas cuyo alcance limita el mínimo privilegio
• Brechas en el perímetro que se contienen antes de llegar a los datos sensibles

Errores frecuentes

• Invertir mucho en el perímetro y dejar el interior plano y abierto
• Apilar controles que fallan todos de la misma forma, lo que da una profundidad falsa
• Añadir solo capas preventivas, sin detección ni respuesta
• Suponer que más productos equivale a más profundidad sin verificar la cobertura
• Descuidar las capas humanas y de proceso mientras se compra tecnología en exceso

Buenas prácticas

• Combinar controles preventivos, de detección y de respuesta en cada capa
• Segmentar las redes para que una brecha en un área no se extienda a todas
• Exigir el mínimo privilegio para que una sola cuenta no alcance todo
• Usar controles diversos, de modo que no compartan la misma debilidad
• Incluir a las personas y los procesos como capas de primer orden, no como añadidos
• Comprobar con regularidad que las capas interiores resisten cuando se burla una exterior

Lista de verificación

• Segmentación de red que separe los sistemas críticos del acceso general
• MFA y mínimo privilegio aplicados en las cuentas importantes
• Detección en el endpoint además del antivirus básico
• Registro y monitorización en varias capas, no solo en el perímetro
• Datos cifrados, para que una brecha de red no los exponga de forma automática
• Un ejercicio de mesa o técnico que suponga que una capa ya falló

Herramientas recomendadas

Normas del sector

Relevancia profesional

La defensa en profundidad es central en el trabajo de ingenieros de seguridad, arquitectos, analistas de SOC y especialistas en pruebas de penetración, y es una pregunta de entrevista frecuente en todos los niveles. Los analistas de GRC y los auditores la usan para juzgar si un conjunto de controles tiene profundidad real o solo una coraza dura. También es la idea de fondo de la confianza cero, que muchos puestos de gobernanza y seguridad hoy deben entender.

Preguntas de entrevista

• ¿Qué es la defensa en profundidad y por qué un solo control nunca basta?
• Dé un ejemplo de controles por capas deteniendo un ataque de phishing.
• ¿Cómo aporta la segmentación de red a la defensa en profundidad?
• ¿Cuál es la diferencia entre profundidad y simplemente comprar más herramientas?
• ¿Cómo se relaciona la defensa en profundidad con la idea de suponer la brecha?

Certificaciones relacionadas

Para profundizar

• CISA: seguridad de red por capas, orientación (en inglés)
• Catálogo de controles NIST SP 800-53 (en inglés)
• Controles Críticos de Seguridad del CIS (en inglés)

Preguntas frecuentes