Preventivo, detectivo, correctivo

El preventivo baja la probabilidad: MFA, mínimo privilegio, segmentación de red, revisión de código obligatoria. El detectivo no evita el evento, pero acorta la ventana ciega y con eso baja el impacto: alertas de autenticación anómala, revisión trimestral de accesos, monitoreo de integridad. El correctivo actúa después de detectar: aislar un equipo, rotar credenciales, restaurar desde copia, y la revisión posterior que evita que se repita. Saber qué mueve cada uno es lo que permite ver qué parte del riesgo queda sin cubrir.

Una defensa que solo previene no se entera cuando la prevención falla; una que solo detecta ve el incendio pero no lo apaga.

En Cumbre hay MFA, mínimo privilegio y segmentación —prevención de sobra— pero al revisar la detección aparece un hueco: los registros de las cuentas admin se guardan solo 7 días y no hay ninguna alerta de autenticación anómala. Es decir, si la prevención falla y alguien entra con una cuenta admin, nadie se enteraría, y a los 7 días ni siquiera quedaría rastro. El hallazgo no es «falta un control» a secas: es que un momento entero del riesgo —enterarse a tiempo— está descubierto.

Un adversario que supera la prevención se mueve en la oscuridad exactamente el tiempo que la detección no cubre.

Cumbre sí tiene una alerta de copia de seguridad fallida: salta cuando un respaldo no termina. Pero al preguntar quién la atiende y qué se hace cuando salta, nadie responde: no tiene dueño ni procedimiento asociado. Una alerta que nadie atiende no es un control detectivo, es ruido con luz roja. El control detectivo solo cuenta como control si alguien responde por él y hay un paso escrito de qué hacer cuando dispara.

Un detectivo sin dueño ni procedimiento se audita como inexistente, por mucho que la alerta técnicamente exista.