Covert Testing

Las pruebas encubiertas son un ejercicio de seguridad en el que se simula un ataque o una infracción de políticas sin avisar a la mayoría de las personas que se toparán con él. Un grupo pequeño, normalmente el patrocinador y el responsable de la prueba, conoce el plan. Todos los demás, incluidos el equipo de seguridad y los empleados comunes, reaccionan como lo harían ante un hecho real.

El objetivo es medir lo que la organización realmente hace, no lo que dice que hace. Las políticas, los registros de capacitación y los paneles de herramientas describen el comportamiento previsto, mientras que una prueba encubierta muestra la distancia entre la intención y un martes de mucho trabajo. En un programa de amenazas internas, es la comprobación práctica de que los controles y las personas que los rodean funcionan.

El blanco es toda la cadena: si un empleado reporta un mensaje sospechoso, si un control bloquea una transferencia, si la detección de amenazas internas genera una alerta y si alguien la atiende y actúa en un tiempo razonable.

Una prueba encubierta es encubierta solo frente a las personas evaluadas. Frente a la dirección de la organización ocurre lo contrario: está planificada, autorizada y documentada. El orden habitual:

1. 1

   Autorización por escrito

   La dirección y el área legal aprueban el alcance, los límites y las condiciones de detención antes de empezar.

2. 2

   Diseño del escenario

   Elija una historia realista, como una campaña de phishing simulado o el envío de datos ficticios, y procure que sea inofensiva.

3. 3

   Ejecución sin aviso

   El evaluador actúa mientras el resto de la organización trabaja como siempre, y una persona de confianza puede detener la prueba de inmediato.

4. 4

   Registro de la respuesta

   Anote qué se bloqueó, qué se detectó, quién lo notó y cuánto tardó cada etapa.

5. 5

   Revisión y corrección

   Comparta los resultados con todos los involucrados, cierre las brechas encontradas y repita el escenario más adelante.

La prueba encubierta es un método, no una técnica única. El escenario depende del control que se verifica, y la misma idea va desde la bandeja de entrada hasta la puerta de entrada. El phishing simulado es la forma más conocida y puede imitar variantes dirigidas, como el phishing de clonación.

Cuando el escenario es una transferencia de datos, la prueba está en la capa de detección. Un archivo ficticio que coincide con una regla de contenido en un sistema DLP debería aparecer como un incidente con un nivel de riesgo, y quien dirige la prueba puede abrirlo en la investigación de incidentes para seguir lo ocurrido después. En Anexet, la pestaña Rules enumera cada regla de seguridad con su cantidad de incidentes y su nivel de riesgo, así que el contador de la regla que la prueba debía activar indica si fue detectada.

La parte más difícil de una prueba encubierta no es técnica. Decidir a quién se informa y a quién no define si el ejercicio es seguro y justo. Cuanta menos gente lo sabe, más honesto es el resultado y más importante es el rastro documental.

Es fácil confundir ambos, porque en los dos hay alguien a quien no se le dice algo. Pero son distintos en esencia. La prueba encubierta es un ejercicio planificado y de duración limitada que verifica las defensas, aprobado antes por la dirección y cerrado con una revisión. El monitoreo encubierto consiste en vigilar en secreto a los empleados a lo largo del tiempo, y muchos países solo lo permiten en excepciones acotadas.

El monitoreo habitual de empleados conviene hacerlo a la vista, con una política escrita y un aviso claro, por ejemplo un banner de consentimiento al iniciar sesión. Una prueba encubierta no cambia eso. Los evaluadores no deben leer mensajes personales ni recopilar datos reales de los empleados, y la revisión final debe decir con claridad qué se hizo.

La mayoría de las pruebas encubiertas fracasan por motivos de organización, no técnicos:

• Tomar un fallo como veredicto sobre una persona: un clic en un enlace de phishing simulado es una señal sobre el proceso, y la culpa enseña a esconder los errores.
• No tener condición de detención: un escenario que no se puede parar puede interrumpir el trabajo real o disparar una respuesta de emergencia verdadera.
• Datos reales en el escenario: use archivos ficticios y cuentas de prueba, nunca datos de clientes ni de empleados.
• Dispositivos dejados en el sitio sin registro: una prueba con medios extraíbles exige llevar un control de cada dispositivo colocado y recogido.
• Hacerla una sola vez: un resultado aislado envejece rápido porque cambian las personas, las herramientas y las reglas.

Empiece pequeño y sencillo: un escenario, un control, una medida clara. Elija el escenario que más le preocupe, acuerde la medida de antemano, como el tiempo hasta que la primera persona lo note, y repita la prueba después de las correcciones. Una serie de pruebas pequeñas dice con el tiempo más que un solo ejercicio espectacular.

Presente los resultados como una propiedad del sistema: tiempo de detección, tiempo de respuesta y el punto donde se rompió la cadena, nunca una lista de nombres.