Suponer el compromiso: qué cambia en el diseño

El diseño clásico pregunta cómo impedir que el adversario entre. Es una pregunta necesaria, pero deja un hueco: todo lo que viene después depende de que la prevención y la detección funcionen siempre. NIST SP 800-160 vol. 2 rev. 1 (diciembre de 2021) define la resiliencia cibernética como la capacidad de anticipar, resistir, recuperarse y adaptarse ante condiciones adversas, ataques o compromisos, e incluye explícitamente al adversario sigiloso y persistente que ya tiene un punto de apoyo dentro de la organización.

De ahí sale uno de sus principios estratégicos de diseño: suponer que hay recursos comprometidos. El arquitecto no diseña para el día en que todo está limpio, sino para el día en que un componente, una cuenta o un puesto ya está en manos de otro. La publicación insiste en algo incómodo: para seguir cumpliendo la misión no hace falta haber detectado al intruso. Un diseño que solo resiste si alguien da la alarma a tiempo no es resiliente; es optimista.

Otro principio estratégico ayuda a no diseñarlo todo a la vez: concentrarse en los activos críticos y comunes, los que sostienen varias funciones esenciales a la vez, porque son el blanco que más rinde al adversario.

Todo documento de arquitectura descansa en supuestos. Algunos son hechos del entorno (el proveedor atiende en cuatro horas) y no cambian porque haya un intruso. Otros solo se sostienen si no hay nadie dentro, y esos son los que el arquitecto tiene que encontrar primero, porque sobre ellos se apoyan decisiones que nadie volvió a mirar.

Abre el laboratorio y lee mision.txt y supuestos-de-diseno.txt. Para cada supuesto, pregúntate qué pasa si el intruso ya está en producción y nadie lo sabe.

Suponer el compromiso no es suponerlo todo comprometido a la vez: se eligen puntos de apoyo plausibles y se mide hasta dónde llega cada uno con las reglas vigentes. Lo que importa no es cuánto alcanza, sino si alcanza un componente de una función esencial sin que el destino le pida identidad. Ahí el diseño está confiando en la posición de red, y la posición ya la tiene el intruso.

Lee apoyos-supuestos.txt y crúzalo con la columna de componentes de mision.txt.

Encontrado el hueco, la tentación es reforzar la muralla. Pero si el punto de apoyo ya está dentro del segmento, otra muralla alrededor del segmento no cambia nada para él. El cambio que asume el compromiso actúa en el destino y en lo que comparte segmento con él: que el componente crítico exija identidad a quien le habla y que lo que no es crítico no viva a su lado.

En el vocabulario de la publicación, esto aplica dos principios estructurales: limitar la necesidad de confiar (menos elementos en los que hay que confiar, y por menos tiempo) y escalonar defensas y repartir recursos en compartimentos.