Línea base de configuración y verificación continua

Una línea base de configuración es la lista de valores que un recurso debe tener siempre: claves apagadas, acceso público cerrado, llave propia, registro activo, filtros mínimos, región permitida. Escribirla convierte una revisión en algo repetible: cualquiera puede comprobar lo mismo y llegar al mismo resultado. La idea es la de las guías de configuración segura de organismos públicos como NIST o CISA, aplicada a un servicio concreto.

Comprobarla una vez al año no sirve en la nube, donde una plantilla, una persona con prisa o un cambio del propio servicio mueve la configuración cualquier día. A ese movimiento se le llama deriva. La verificación continua compara cada día el estado real con la línea base y, para que sirva, alguien recibe el aviso cuando algo cambia.

Comparar dos corridas seguidas es la forma más rápida de ver la deriva: un control que ayer cumplía y hoy no cumple es un cambio reciente, con fecha y responsable que todavía se pueden encontrar. Es justo lo que hay que mirar primero.

Las excepciones son necesarias: a veces un control no se puede cumplir todavía y se acepta el riesgo por un tiempo, con alguien que lo aprueba. Pero una excepción sin fecha que se haga respetar es un control apagado para siempre. Si la herramienta acepta la excepción sin mirar si venció o quién la aprobó, el resultado «exceptuado» esconde un incumplimiento.

El informe de la herramienta y el estado real no coinciden cuando hay excepciones mal aplicadas. Para dar a la dirección el número correcto hay que recontar con la regla de Coipo: una excepción solo vale si está vigente y la aprobó seguridad de la información.

El control que derivó es el mismo que se apagó el 3 de octubre, y por la misma vía. Volver a encenderlo a mano lo arregla hasta el siguiente despliegue. La verificación continua madura hace tres cosas: corrige la fuente del cambio, impide desplegar lo que incumple la línea base y avisa cuando algo deriva.