Glosario
Postura de seguridad
Estado medible de los controles de una organización en un momento dado, en contraste con lo que sus políticas declaran.
- Security posture
El término se usa con frecuencia como sinónimo elegante de «nivel de seguridad», lo que no significa gran cosa. Es más útil entenderlo como la distancia entre lo declarado y lo observado: qué dicen tus políticas que ocurre, y qué se puede comprobar que ocurre realmente.
Para que sea medible necesita tres elementos: un conjunto de indicadores definidos con su denominador —porcentaje de activos con parches críticos al día, sobre un inventario identificado—, una frecuencia de medición estable, y una serie temporal. Un único dato no es una postura, es una foto.
La serie es lo que más valor aporta y lo que más se descuida. Un 82 % que venía del 61 % cuenta una historia completamente distinta de un 82 % que venía del 94 %, y ninguna herramienta lo va a interpretar por ti. También es, en la práctica, la forma más directa de responder a la obligación de evaluar la eficacia de las medidas que impone el artículo 21.2.f de la NIS2.