Gestión de configuraciones: el control que ENS e ISO 27001 no perdonan

La gestión de configuraciones de seguridad es uno de los controles más frecuentemente fallidos en las auditorías de ENS e ISO 27001. La razón es sencilla: es un control que requiere esfuerzo continuo. No basta con configurar correctamente un sistema en el momento de su despliegue; hay que asegurarse de que esa configuración se mantiene a lo largo del tiempo, frente a actualizaciones, cambios operativos y la inevitable entropía de los entornos de producción.

El ENS exige en su control op.exp.2 (configuración de seguridad) que los sistemas sean configurados según principios de mínima funcionalidad y mínimo privilegio, eliminando o desactivando los servicios y funcionalidades que no sean estrictamente necesarios. La ISO 27001 aborda este requisito en el control A.8.9 (gestión de la configuración), añadiendo la necesidad de mantener un inventario de configuraciones y un proceso de gestión de cambios.

Por qué los atacantes aman las malas configuraciones

Los errores de configuración son la segunda causa más frecuente de incidentes de seguridad, solo superados por las credenciales comprometidas. Un servicio de escritorio remoto expuesto sin autenticación adicional, un bucket de almacenamiento cloud accesible públicamente, un sistema con contraseñas por defecto sin cambiar: estos errores son el camino de entrada preferido de los atacantes porque son fáciles de explotar y frecuentes.

Monitorizar las configuraciones de forma continua —detectando desviaciones respecto a la línea base de seguridad establecida— es la única manera de mantener el control en entornos que cambian constantemente. Esta capacidad de detección de deriva de configuración es parte del servicio que ofrece un SOC gestionado con cobertura sobre la infraestructura del cliente.