Las 42 medidas de higiene de la ANSSI, base de diagnóstico

Frente a un administrador de pyme, el peor ángulo de ataque es el referencial exhaustivo. Sacar 93 controles ISO o las diez obligaciones del artículo 21 de NIS2 en una primera reunión produce invariablemente el mismo resultado: estupor, y después aplazamiento.

La guía de higiene informática de la ANSSI resuelve ese problema. Cuarenta y dos medidas, formuladas en un lenguaje comprensible, que cubren lo esencial de lo que realmente frena un ataque corriente. Es lo bastante breve como para recorrerla en una reunión, y lo bastante seria como para servir de base a todo lo demás.

¿Por qué partir de las 42 medidas de higiene de la ANSSI y no de otro referencial?#

Por tres razones, en este orden: lo entiende el administrador, es gratuito y tiene autoridad, y cubre lo esencial del riesgo real.

Lo entiende el administrador. «Establecer un nivel de actualización periódica de los componentes del sistema de información» se discute con un administrador. «A.8.8 — Gestión de las vulnerabilidades técnicas» no se discute: se soporta.

El vocabulario cuenta más de lo que se cree en una venta de gobernanza. El referencial de la ANSSI se escribió para que lo leyeran no especialistas, lo que lo convierte en un soporte de conversación y no solo en una herramienta de auditoría.

Es gratuito y tiene autoridad. La ANSSI es la autoridad nacional francesa. Apoyarse en su publicación evita dos escollos: el referencial de cosecha propia, que el cliente sospecha hecho a medida para vender sus servicios; y el referencial propietario de pago, que añade un coste antes incluso de empezar el encargo.

Cubre lo esencial del riesgo real. Los compromisos más frecuentes en una pyme no explotan técnicas avanzadas. Pasan por una contraseña débil o reutilizada, una máquina sin actualizar, una copia de seguridad ausente o sin probar, una cuenta de administración usada a diario, una ausencia de segmentación de la red.

Las 42 medidas tratan esos casos de frente. Un cliente que las aplica con honestidad ha eliminado la mayor parte de su exposición — antes de comprar ninguna herramienta.

¿Qué ámbitos cubren las 42 medidas?#

La guía ordena sus 42 medidas en diez capítulos: concienciar y formar (medidas 1 a 3), conocer el sistema de información (4 a 7), autenticar y controlar los accesos (8 a 13), asegurar los puestos (14 a 18), asegurar la red (19 a 26), asegurar la administración (27 a 29), gestionar la movilidad (30 a 33), mantener el sistema de información al día (34 y 35), supervisar, auditar y reaccionar (36 a 40), y para ir más lejos (41 y 42). En un informe de cliente, esos diez capítulos se agrupan bien en cinco bloques:

Concienciar y formar. Formar a los equipos de explotación, concienciar a los usuarios, encuadrar los riesgos de la externalización. Es el capítulo más barato y el que se descuida con más regularidad.

Conocer el sistema de información. Inventario de los equipos, de las aplicaciones, de los accesos, de las interconexiones. Sin ese inventario, todas las medidas siguientes descansan sobre suposiciones — y es muy a menudo ahí donde el primer diagnóstico depara sorpresas.

Autenticar y controlar los accesos. Cuentas nominativas, política de contraseñas, separación de privilegios, revocación en las salidas. El tema en el que la distancia entre el discurso y la realidad es mayor.

Asegurar los puestos, la red y la movilidad. Refuerzo, segmentación, filtrado, wifi, cifrado de los puestos móviles, actualizaciones y fin de soporte.

Asegurar la administración y supervisar. Puestos de administración dedicados, registro de eventos, copias de seguridad probadas, auditorías, procedimiento de incidente — y después, para ir más lejos, análisis de riesgos y productos cualificados.

¿Cómo convertir un diagnóstico en un presupuesto?#

Un diagnóstico que termina en una puntuación no tiene ningún valor comercial. La puntuación es una constatación; lo que se vende es el camino.

Medir una brecha, no una nota. Lo útil no es «47/100». Lo útil es: estas son las once medidas no cubiertas, estas son las tres que más exponen, esto cuesta tratarlas.

Priorizar por la exposición, no por la facilidad. La tentación es empezar por las medidas rápidas para hacer subir la puntuación. Es cómodo y deshonesto. Un cliente cuya puntuación avanza quince puntos sin que su copia de seguridad se haya probado no está más protegido — simplemente está mejor puntuado.

Priorice por lo que frena un ataque real: copias fuera de línea probadas, autenticación multifactor en los accesos externos, cuentas de administración separadas, actualizaciones.

Presupuestar cada brecha. Es el paso que convierte un informe en un pedido. Cada medida no cubierta se convierte en una línea: qué hay que hacer, cuánto tiempo lleva, cuánto cuesta, en licencia y en servicio.

Un administrador no aprueba «mejorar la gestión de los accesos». Aprueba «desplegar el MFA en los 34 accesos externos — 2 jornadas de servicio, 4 €/usuario/mes».

Repetir el diagnóstico. Un diagnóstico anual que muestra una progresión es el mejor argumento para renovar un contrato recurrente. Hace visible un trabajo que, por naturaleza, no se ve cuando funciona.

¿En qué se convierte ese diagnóstico para NIS2, la ISO 27001 y el seguro cibernético?#

Es el argumento decisivo a favor de este referencial como punto de entrada: después no se pierde nada.

• Hacia NIS2: las 42 medidas cubren buena parte de las expectativas del artículo 21 — higiene, control de accesos, continuidad, gestión de incidentes. El diagnóstico se convierte en el primer ladrillo del expediente de conformidad. Véase la guía NIS2 para prestadores.
• Hacia el ReCyF: el Référentiel Cyber France de la ANSSI (v2.5, versión de trabajo) fija 20 objetivos para las entidades afectadas por NIS 2; los objetivos 16 a 20 solo se dirigen a las entidades esenciales. Muchas de sus exigencias se solapan con esta base de higiene.
• Hacia la ISO 27001: las respuestas se trasladan directamente a buena parte del Anexo A. Un cliente diagnosticado no tiene que responder dos veces. Véanse los 93 controles del Anexo A.
• Hacia el seguro cibernético: las aseguradoras piden exactamente estos elementos — MFA, copias de seguridad, actualizaciones, concienciación.

Un cuestionario, tres salidas. Eso es lo que hace que el planteamiento sea rentable para un prestador: el esfuerzo de recogida se amortiza en varios entregables facturables.

¿Qué errores hacen fracasar un diagnóstico de higiene?#

El cuestionario declarativo sin verificar. «¿Tienen copias de seguridad? — Sí.» Esa respuesta no vale nada sin la pregunta siguiente: ¿cuándo se probó la última restauración? El valor de un diagnóstico está en la calidad de las repreguntas.

El informe de 60 páginas. Nadie lo lee. Una síntesis de una página para el administrador, el detalle en anexo para el responsable de informática.

La ausencia de fecha. Una prueba sin fecha no es una prueba. Es lo primero que comprueba un auditor, y lo primero que falta.

El diagnóstico sin continuación. Un diagnóstico entregado sin plan de acción presupuestado ni plazo no produce nada — ni seguridad para el cliente, ni facturación para usted.