La lliçó anterior va acabar amb una observació incòmoda: POL-02 diu que l'accés de tercers «ha de ser nominal, amb MFA i just-in-time» i POL-04 diu que els equips «han de mantenir actiu el xifratge de disc», però cap de les dues frases no protegeix res per si mateixa. Algú ha de configurar l'MFA, comprovar que els 40 portàtils estan xifrats de debò, verificar-ho periòdicament i deixar constància que ho va verificar. Aquest «algú fent alguna cosa comprovable» és el control, el tercer vèrtex del triangle que tanques aquí: el risc diu què pot passar, la política diu què exigim, i el control és el que fa que sigui cert. Acabaràs amb les dues classificacions que cal dominar, el catàleg de controls de Nimbus com a artefacte reutilitzable, les mètriques que distingeixen un control implantat d'un d'eficaç, i la matriu de traçabilitat que salva una auditoria.

1. Què és exactament un control i com tanca el triangle
2. Classificació per naturalesa: administratiu, tècnic i físic
3. Classificació per funció: de preventiu a compensatori
4. Per què un risc necessita controls de diverses funcions
5. Catàlegs de referència: CIS v8, ISO 27002 i NIST SP 800-53
6. Com se selecciona un control, i el cost que tothom oblida
7. Controls compensatoris: legítims i excuses
8. El catàleg de controls de Nimbus
9. Implantat no és eficaç: evidències, proves i mètriques
10. La matriu de traçabilitat risc → control → evidència
11. Deriva de controls: per què es degraden sols

Un control de seguretat és una mesura concreta, amb propietari, que redueix la probabilitat o l'impacte d'un risc i el funcionament de la qual es pot comprovar. Els tres elements d'aquesta definició són igualment obligatoris: si no té propietari, no es manté; si no redueix cap risc identificat, és decoració; i si no es pot comprovar, no sabràs mai si continua funcionant.

I un matís de vocabulari que evita confusions: control, mesura i salvaguarda són sinònims a la pràctica. La ISO 27002 diu «control», CIS diu «salvaguarda» (safeguard) i NIST diu «control». El que sí que convé distingir és control d'eina: un antivirus és una eina; «programari maliciós detectat i contingut a l'endpoint, amb alerta atesa en menys de 4 hores» és un control. L'eina sense el procés al seu voltant no és un control, és una llicència pagada.

Tres observacions que valen més que la taula. Els administratius solen ser gratis i són els que més s'obliden: de les 12 mesures de més retorn de 02-04, diverses de cost nul són administratives —el procediment de verificació de pagaments, la revisió trimestral d'accessos de tercers o el pla de resposta escrit—. Un control tècnic sense el seu administratiu no se sosté: instal·lar MFA és tècnic, però decidir en quins comptes és obligatori, qui autoritza les excepcions i qui revisa la cobertura és administratiu, i sense això la cobertura baixa sola amb cada alta nova. I Nimbus té poca superfície física, no zero: amb mitja plantilla en remot, el control físic rellevant no és la porta de l'oficina, sinó que el portàtil de l'Iván estigui xifrat i bloquejat en una cafeteria de València.

Aquesta és la classificació que de debò canvia decisions, perquè descriu en quin moment de l'incident actua el control.

Dues precisions sobre les quals la gent s'equivoca. La primera: dissuasiu i preventiu no són el mateix. Un cartell de «zona videovigilada» dissuadeix; el pany preveu. En sistemes, l'avís que la sessió queda enregistrada dissuadeix el tècnic de la consultora de fer el que no ha de fer, però no l'hi impedeix. La segona: correctiu i recuperatiu tampoc no ho són. El correctiu elimina la causa —rotes la credencial filtrada—; el recuperatiu retorna l'estat —restaures la base de dades—. Recuperar sense corregir et deixa restaurant el mateix sistema una vegada i una altra per al mateix atacant.

Si només prevens, no te n'assabentes quan la prevenció falla. I la prevenció sempre falla alguna vegada: aquesta és la premissa del principi «assumeix la bretxa» d'01-03. Aplicat a l'incident de ransomware de 02-06, el desglossament per funcions mostra exactament on era el forat de Nimbus:

Nimbus tenia zero controls en cinc de les sis funcions, i aquesta és l'explicació completa de per què un incident evitable es va convertir en catastròfic. Fixa't en el patró: cada funció compra temps o dany diferent. La prevenció evita l'incident; la detecció redueix la seva durada —la variable que més determina el dany segons la conclusió de 02-06—; la recuperació decideix si l'empresa sobreviu. D'aquí la regla pràctica: tot risc de banda Alta o Crítica del registre de 04-01 ha de tenir, com a mínim, un control preventiu, un de detectiu i un de recuperatiu. Si en emplenar el catàleg una d'aquestes tres caselles queda buida per a un risc Crític, has trobat la teva tasca següent sense cap més anàlisi.

Fer servir un catàleg en lloc d'inventar controls té tres avantatges: no se t'obliden categories senceres, el vocabulari coincideix amb el dels teus clients i auditors, i cada control porta la seva justificació escrita. L'inconvenient és que cap no està pensat per a 38 persones, així que cal seleccionar.

Els grups d'implementació de CIS són l'aportació més útil per a una pime:

Que Nimbus es marqui IG1 complet és una decisió defensable, mesurable i assolible, i sona molt millor davant un client que «tenim diverses mesures». Els seus 18 controls, amb els que s'apliquen a Nimbus destacats: inventari d'actius (1) i de programari (2), protecció de dades (3), configuració segura (4), gestió de comptes (5) i d'accessos (6), gestió de vulnerabilitats (7), registres d'auditoria (8), proteccions de correu i navegador (9), defensa contra programari maliciós (10), recuperació de dades (11), gestió d'infraestructura de xarxa (12), monitoratge (13), formació i sensibilització (14), gestió de proveïdors (15), seguretat del programari (16), gestió d'incidents (17) i proves de penetració (18).

I un advertiment: el catàleg no substitueix la teva avaluació de riscos. CIS ordena pel que li passa a la majoria; el teu registre ordena pel que et passa a tu. Parteix del risc i fes servir el catàleg per no oblidar res, no a l'inrevés.

El pas 4 és on s'equivoquen gairebé totes les pimes, perquè només compten la llicència. El cost real d'un control té quatre sumands:

Aquestes 150 hores anuals són un terç de les 440 que la Lucía té disponibles per a seguretat. Aquest és el cost que enfonsa els projectes de seguretat a les pimes: no els diners, sinó que la persona que havia de fer les altres onze mesures es passa l'any llegint alertes. La comparació honesta no és «9.600 € davant 900 € de l'MFA», sinó «9.600 € més un terç de la capacitat de l'equip, davant 900 € més dues hores al mes». D'aquí la regla derivada: prefereix el control que, un cop implantat, no consumeix temps. L'MFA, el tancament d'un grup de seguretat, la immutabilitat d'un bucket o WHERE tenant_id són controls que treballen sols. La revisió manual de registres o l'aprovació cas per cas consumeixen atenció per sempre, i l'atenció és el recurs més escàs de Nimbus.

Un control compensatori substitueix un control exigit que no es pot implantar, proporcionant protecció equivalent per una altra via. És legítim quan la impossibilitat és real i està documentada, la protecció alternativa és comparable en eficàcia, està aprovada al nivell adequat amb caducitat —és una excepció de 04-02— i es verifica com qualsevol altre control. El cas de Nimbus: la separació de funcions és impossible. El principi d'01-03 exigeix que qui desenvolupa no desplegui a producció sense supervisió, i que qui administra els sistemes no sigui la mateixa persona que revisa els seus propis accessos. Amb una única administradora de sistemes, això no es pot complir: la Lucía crea comptes, se'ls assigna, revisa el registre i aprova els seus propis canvis.

I el contrast, perquè la meitat dels controls compensatoris que es veuen a la pràctica són excuses:

La diferència és que el legítim anomena la impossibilitat concreta, descriu una protecció específica i té data; l'excusa invoca una molèstia i ofereix un control genèric que ja existia de totes maneres.

Segon artefacte reutilitzable del mòdul. Plantilla de camps:

Quatre controls desenvolupats, un de cada funció principal:

La resta del catàleg, en forma resumida:

Tres lectures del catàleg en conjunt, que és on hi ha el seu valor. Primera: comptant estats, només 7 dels 22 controls estan implantats, així que qualsevol risc residual del registre de 04-01 que assumeixi els altres 15 està mal calculat —recorda la regla de 04-01: el residual es puntua sobre l'estat verificat—. Segona: hi ha 8 controls amb funció detectiva i només 2 implantats (C-07 i C-21), que és exactament la ceguesa que va produir els 20 dies de 02-06. Tercera: els controls administratius són gairebé tots gratuïts i estan gairebé tots «planificats», cosa que confirma la conclusió de 02-04 que a Nimbus no li falta pressupost, li falta temps assignat.

La diferència no és acadèmica: l'MFA activat en 9 de 14 comptes privilegiats no redueix el risc un 64 %, el redueix gairebé gens, perquè l'atacant anirà a un dels 5 restants. Els controls es mesuren per cobertura, no per existència.

Una evidència és una cosa que es pot mostrar i que té data: l'exportació de la llista de comptes amb MFA, l'informe de la prova de restauració, l'acta de la revisió mensual. Una prova és l'exercici deliberat de comprovar que el control actua: injectar una transferència gran per veure si salta C-08, o restaurar de debò la base de dades per veure si C-14 funciona i quant triga. D'aquí la regla que resumeix l'apartat: un control que mai no ha estat provat està en estat «planificat», diguin el que diguin els seus responsables, i per això C-08 figura amb ultima_verificacio: null.

Un KPI mesura si el control funciona; un KRI avisa que el risc està creixent. Els quatre indicadors mínims de Nimbus:

Tres detalls del codi que són decisions de mesura, no de programació. El denominador del xifratge exclou els equips donats de baixa, perquè incloure'ls maquilla l'indicador —i triar el denominador és on es falsegen gairebé totes les mètriques de seguretat—. L'MFA es mesura incloent-hi comptes de servei i de tercers: són precisament ci-deploy, consultora-01 i backup-svc els que hi falten, o sigui, exactament el vector de 02-06. I l'aplicació de pedaços fa servir la mitjana, que amaga el cas de 14 dies; en un quadre real convé acompanyar-la del percentil 90 o del pitjor cas, perquè l'atacant explota el pitjor cas, no la mitjana.

La taula d'auditoria append-only dels mòduls anteriors permet comprovar que C-07 continua registrant el que ha de registrar:

La primera consulta és la més important i la que gairebé ningú no escriu: vigila el vigilant. Un control detectiu que deixa d'emetre esdeveniments falla en silenci, i el silenci s'interpreta com a calma. La tercera mesura la cobertura del control, que és la diferència entre implantat i eficaç aplicada al registre.

Aquesta taula és el que es mostra en una auditoria, i és el que la salva (06-04). No perquè impressioni, sinó perquè respon en un full a les tres preguntes que fa qualsevol auditor o client: quins riscos has identificat, què fas sobre cadascun i com ho demostres. Llegeix-la també com a eina de diagnòstic. La columna «Buit» s'omple sola aplicant la regla de l'apartat 4 —preventiu, detectiu i recuperatiu per a tot risc Alt o Crític— i produeix la llista de treball del trimestre sense cap discussió addicional: R-02 no té manera d'assabentar-se que estan esborrant les còpies, R-05 no té manera de saber que algú ha caigut en un frau, i R-06 té un control que ningú no ha provat mai.

Un control implantat i verificat avui no continuarà funcionant d'aquí a un any si ningú no el mira. No cal cap atacant: n'hi ha prou amb l'activitat normal de l'empresa.

La conclusió número 2 dels casos d'estudi de 02-06 deia que en gairebé tots els incidents el control existia i no va funcionar: Target tenia alertes, Equifax tenia inspecció de trànsit, Colonial tenia VPN. La deriva és el mecanisme pel qual això passa, i l'antídot és el camp frequencia del catàleg. Un control sense freqüència de verificació no és un control: és un record d'haver fet alguna cosa.

• Confondre eina amb control. Comprar un EDR no és tenir defensa contra programari maliciós; és tenir una llicència. Consell: defineix cada control pel resultat observable, no pel producte.
• Implantar sense propietari. Els controls orfes són els primers a derivar. Consell: el camp propietari és una persona, i si no hi ha candidat, el control no està a punt per implantar-se.
• Puntuar el risc residual amb controls no verificats. És l'enllaç directe amb l'error equivalent de 04-01. Consell: estat: Implantat exigeix ultima_verificacio amb data.
• Acumular només controls preventius. És la desproporció de Nimbus, amb 8 controls detectius dels quals només 2 estan implantats, i la causa dels 20 dies de ceguesa de 02-06. Consell: revisa el catàleg per funció, no per risc.
• Oblidar la càrrega operativa. Un control que consumeix 150 hores l'any s'abandona al quart mes i queda al catàleg com a implantat. Consell: inclou el cost recurrent en la decisió i prefereix el que treballa sol.
• Mètriques amb denominador convenient. Mesurar el xifratge sobre «els portàtils que gestionem» en lloc de sobre tots és maquillatge. Consell: defineix el denominador abans de calcular el numerador, i deixa'l escrit.
• Confondre complir el catàleg amb estar segur. Cobrir IG1 complet és excel·lent i no vol dir que el teu risc principal estigui tractat. Consell: el catàleg evita oblits; el registre de riscos ordena prioritats.
• Controls compensatoris sense caducitat. Un compensatori permanent és una excepció permanent. Consell: aplica les mateixes regles del registre d'excepcions de 04-02.

Per a cada control, indica la seva naturalesa i la seva funció principal, i digues quin risc del registre de 04-01 tracta:

1. Bàner que marca els correus procedents de l'exterior.
2. Restauració de la base de dades des de la còpia immutable.
3. Revisió semestral en què cada responsable confirma els accessos del seu equip.
4. Bloqueig automàtic de la fusió de codi si l'escàner troba un secret.
5. Rotació immediata d'una clau API publicada per error al repositori.
6. Alerta quan un compte administratiu accedeix fora de la finestra 08:00-20:00.

Després, pren el risc R-05 (frau BEC) i proposa el control detectiu i el recuperatiu que li falten segons la matriu de l'apartat 10.

Nimbus dubta entre dues inversions per tractar R-04 (fuita d'adjunts):

Calcula el cost total anual de cada opció valorant l'hora interna en 35 €, calcula el ROSI de cadascuna amb el mètode de 04-01 i recomana'n una. Indica a més quina funció cobreix cada opció i si amb ella R-04 compliria la regla de l'apartat 4.

Revises el catàleg de controls d'una altra empresa i hi trobes: 34 controls, tots amb estat: Implantat; cap no té ultima_verificacio; 28 són preventius, 6 detectius, 0 recuperatius; el propietari de 30 d'ells és «IT»; i hi ha 4 controls compensatoris sense caducitat, un dels quals justificat amb «el fabricant no admet MFA». Indica què revela cada símptoma, què preguntaries per confirmar-ho i en quin ordre ho corregiries.

Exercici 1

Fixa't en el 3: és l'exemple típic de control amb dues funcions, i per això el camp funcio del catàleg és una llista. I en l'1: molta gent el classificaria com a preventiu, però el bàner no impedeix res —l'usuari pot fer clic igualment—; el seu efecte és canviar el comportament, que és la definició de dissuasiu.

Per a R-05 falten: un control detectiu —alerta automàtica davant qualsevol modificació de dades bancàries d'un proveïdor o client al sistema de facturació, més la revisió mensual per la Sara dels canvis de compte bancari— i un de recuperatiu: procediment documentat de recuperació d'una transferència fraudulenta, amb el contacte directe del banc, el termini real de reclamació i la denúncia, tot això escrit abans de necessitar-ho. Aquest darrer és de cost nul i és exactament el tipus de control que ningú no té fins al dia que li fa falta.

Exercici 2

Cost total anual:

• Opció A: 7.200 € + (15 h × 35 €) = 7.725 € el primer any; recurrent = 7.200 € + (3 h/setmana × 48 setmanes × 35 €) = 7.200 + 5.040 = 12.240 €/any.
• Opció B: (40 h × 35 €) = 1.400 € el primer any; recurrent = (12 h × 35 €) = 420 €/any.

ROSI sobre l'ALE de 19.200 €, fent servir el cost recurrent:

• A: estalvi = 19.200 × 0,45 = 8.640 €. ROSI = (8.640 − 12.240) / 12.240 × 100 = −29 %. El control costa més del que estalvia.
• B: estalvi = 19.200 × 0,60 = 11.520 €. ROSI = (11.520 − 420) / 420 × 100 = +2.643 %.

Recomanació: opció B, i el marge és tan gran que cap correcció raonable de les estimacions no el canvia. Observa on és la diferència: no a la llicència, sinó a les 3 hores setmanals de l'opció A, que sumen 5.040 € anuals de temps de la Lucía —i, el que és pitjor, 144 hores de les seves 440 disponibles—. És exactament l'error de l'apartat 6.

Funcions: l'opció A és principalment detectiva (veu la sortida de dades i avisa); l'opció B és mixta, perquè les proves d'autorització al CI són preventives i l'alerta SQL sobre la taula d'auditoria és detectiva. Amb B, R-04 tindria preventiu (C-05, C-06 i les noves proves) i detectiu (C-07 més l'alerta), però continuaria sense control recuperatiu, i en una fuita de dades el recuperatiu no és restaurar res: és el pla de resposta i notificació de 04-05. Així que la resposta completa és «B, i a més cal escriure el procediment de notificació».

Exercici 3

Ordre de correcció: 1 → 2 → 3 → 4 → 5. Primer verifica una mostra, perquè fins que no sàpigues què és cert tota la resta és especulació —i probablement descobreixis que diversos «implantats» no existeixen—. Després cobreix la recuperació, que és el que decideix si l'empresa sobreviu a un incident. Després la detecció, que en redueix la durada. Després assigna propietaris, sense els quals l'anterior derivarà en un any. I finalment, formalitza els compensatoris amb caducitat. Sobre el que diu «el fabricant no admet MFA»: pot ser legítim, però només si va acompanyat de credencials de curta durada amb àmbit mínim, alerta davant ús anòmal i data de substitució del sistema; sense això, és l'excusa de l'apartat 7.

Has tancat el triangle. Saps que un control és una mesura concreta, amb propietari, que redueix probabilitat o impacte i el funcionament de la qual es pot comprovar, i que sense aquests tres elements alhora el que tens és decoració. Saps també distingir control d'eina: un antivirus és una llicència; «programari maliciós contingut amb alerta atesa en menys de 4 hores» és un control.

Domines les dues classificacions. Per naturalesa —administratiu, tècnic i físic—, amb l'observació que els administratius solen ser gratis, són els que més s'obliden i són els que sostenen els tècnics. I per funció —dissuasiu, preventiu, detectiu, correctiu, recuperatiu i compensatori—, amb les dues distincions que gairebé tothom confon: dissuadir no és impedir, i corregir la causa no és recuperar l'estat. D'aquí la regla que reorganitza la feina de Nimbus: tot risc Alt o Crític necessita almenys un preventiu, un detectiu i un recuperatiu, perquè cada funció compra una cosa diferent —evitar l'incident, escurçar-ne la durada o sobreviure-hi— i perquè el desglossament del ransomware de 02-06 va mostrar zero controls en cinc de les sis funcions.

Coneixes els catàlegs de referència i per a què serveix fer-ne servir un: CIS v8 amb els seus grups d'implementació i IG1 com a objectiu realista i suficient per a Nimbus aquest any; ISO 27002 amb els seus quatre temes quan apareix la certificació; NIST SP 800-53 com a opció desproporcionada per a una pime. I l'advertiment que els acompanya: el catàleg evita oblits, però és el teu registre de riscos el que ordena prioritats. Saps seleccionar un control valorant eficàcia, impacte en l'usuari, dependències i sobretot cost total, inclosa la càrrega operativa recurrent que és el que de debò enfonsa els projectes de seguretat en una pime: 150 hores anuals d'alertes són un terç de la capacitat de la Lucía. D'aquí la preferència pels controls que, un cop posats, treballen sols. I saps quan un compensatori és legítim —impossibilitat real, protecció comparable, aprovació amb caducitat i verificació— i quan és una excusa, amb el cas honest de Nimbus: la separació de funcions és impossible amb una sola administradora, i es compensa amb revisió mensual de la Marta, aprovació d'altes privilegiades, desplegament exclusiu pel CI i auditoria externa anual.

T'endús el catàleg de controls de Nimbus amb les seves 22 entrades mapades a CIS IG1, les tres lectures de conjunt del qual valen més que qualsevol entrada solta: només 7 estan implantats, dels 8 detectius només 2 ho estan, i els administratius són gratis i estan gairebé tots pendents. I t'endús la distinció decisiva entre control implantat i control eficaç, amb les seves mètriques calculades —57 % d'MFA, 92 % de xifratge, 7,3 dies d'aplicació de pedaços, 23 dies des de la darrera restauració—, amb les tres decisions de mesura que amaga el codi (el denominador honest, incloure els comptes de servei que són justament el vector de 02-06, i que la mitjana d'aplicació de pedaços amaga el pitjor cas que és el que explota l'atacant), i amb la consulta SQL que vigila el vigilant, perquè un control detectiu que deixa d'emetre esdeveniments falla en silenci i el silenci es llegeix com a calma. Tanquen la lliçó la matriu de traçabilitat risc → control → evidència, que és el que es mostra i el que salva una auditoria perquè respon en un full a les tres preguntes de qualsevol auditor, i la deriva: un control implantat es degrada sol per creixement, canvi tècnic, excepcions oblidades, rotació, fatiga o fallada silenciosa, i l'únic antídot és la freqüència de verificació.

Però repassa el catàleg una vegada més i veuràs que hi ha controls l'eficàcia dels quals no depèn de Nimbus. C-03 exigeix accés just-in-time a una consultora que té els seus propis processos i la seva pròpia seguretat. C-19 replica còpies a una regió d'un proveïdor les decisions del qual ningú de Nimbus no controla. El codi que desplega el CI arrossega centenars de dependències escrites per desconeguts. I el vector de l'incident de 02-06 no va ser una fallada de Nimbus: va ser una bretxa a la consultora que Nimbus ni tan sols va arribar a conèixer.

A la lliçó següent, Risc de Tercers i Cadena de Subministrament (04-04), veuràs per què el perímetre inclou empreses que no controles i per què es pot externalitzar l'execució però mai la responsabilitat: el mapa de tercers de Nimbus, el retorn de la consultora de 02-06 amb l'anàlisi completa del que hauria d'haver existit i el seu cost real, el cicle de vida del proveïdor inclosa la fase de sortida que tothom oblida, un qüestionari de diligència deguda proporcionat a la mida del proveïdor, les clàusules contractuals imprescindibles, el model de responsabilitat compartida al núvol i la cadena de subministrament de programari amb SBOM i fixació de dependències.