Defensa en profundidad (defense in depth)

La defensa en profundidad es una estrategia que aprovecha múltiples medidas de seguridad para proteger los activos de una organización. El pensamiento es que si una línea de defensa se ve comprometida, existen capas adicionales como respaldo para garantizar que las amenazas se detengan en el camino. La defensa en profundidad aborda las vulnerabilidades de seguridad inherentes no solo con el hardware y el software, sino también con las personas, ya que la negligencia o el error humano suelen ser la causa de una violación de seguridad.

Representación de la protección frente a amenazas informáticas. Fuente: La ciberseguridad en las entidades: riesgos, herramientas de prevención y buenas prácticas, por O. Loro, 2025

Las ciberamenazas actuales están creciendo rápidamente en escala y sofisticación. La defensa en profundidad es un enfoque integral que emplea una combinación de herramientas de seguridad avanzadas para proteger los endpoints, los datos, las aplicaciones y las redes de una organización. El objetivo es detener las amenazas cibernéticas antes de que ocurran, pero una sólida estrategia de defensa en profundidad también frustra un ataque que ya está en curso, y evita que se produzcan daños adicionales. El software antivirus, los firewall, las puertas de enlace seguras y las redes privadas virtuales (VPN) sirven como defensas de redes corporativas tradicionales y ciertamente siguen siendo fundamentales en una estrategia de defensa en profundidad. Sin embargo, ahora se utilizan medidas más sofisticadas, como el uso de aprendizaje automático (machine learning, ML) para detectar anomalías en el comportamiento de los empleados y en los endpoints, para construir la defensa más sólida y completa posible.

Un entorno de trabajo cambiante y un panorama de amenazas

La defensa en profundidad se necesita ahora más que nunca, ya que más empleados trabajan desde casa y las organizaciones dependen cada vez más de los servicios basados en la nube. Con los empleados que trabajan desde casa, las organizaciones deben abordar los riesgos de seguridad asociados con el uso de sus propios dispositivos para trabajar y su conexión Wi-Fi doméstica para ingresar a la red corporativa.

Incluso con los recursos de TI implementados, las vulnerabilidades son inherentes a los dispositivos utilizados tanto para uso laboral como personal, vulnerabilidades explotadas por ciberdelincuentes. Además, con más empresas que utilizan aplicaciones de software como servicio (Software-as-a-Service, SaaS) alojadas en la nube, muchas de las cuales son críticas para la misión, la privacidad y la seguridad de una cantidad creciente de datos ingresados a través de sitios web siguen siendo difíciles de gestionar.

La defensa en profundidad es similar a la seguridad física

El concepto de defensa en profundidad no es diferente de la seguridad física, como la utilizada para un edificio o para comenzar a trabajar en un entorno de oficina. La seguridad de edificios tiene muchas capas, algunas de las cuales pueden considerarse redundantes:

1. Un empleado utiliza una tarjeta de acceso para ingresar al edificio.
2. Un guardia de seguridad vigila el vestíbulo.
3. Las cámaras de seguridad graban todos los movimientos en el vestíbulo, en cada piso y en el ascensor.
4. Una vez que llega al piso, el empleado debe usar su tarjeta de llave para abrir la puerta de la oficina.
5. Una vez en su escritorio, el empleado enciende su computadora e ingresa su contraseña y código temporal de cuatro dígitos (autenticación de dos factores) para iniciar sesión en la red de la empresa.

Estos son, por supuesto, solo algunos de los pasos de seguridad que el empleado debe tomar para comenzar a trabajar cada día. Algunas de estas medidas pueden parecer innecesarias y algunas medidas pueden parecer más fuertes que otras, pero en conjunto, son análogas a una estrategia de defensa en profundidad implementada dentro de las organizaciones.

Los diferentes elementos de un sistema de defensa en profundidad

El enfoque de múltiples niveles para la seguridad en un sistema de defensa en profundidad incorpora elementos de las siguientes áreas:

1. Controles físicos: Algunos ejemplos incluyen tarjetas con clave de acceso para ingresar a un edificio o escáneres para leer huellas digitales.
2. Controles de seguridad de red: Este es un software que autentica a un empleado para que ingrese a la red y utilice un dispositivo o aplicación.
3. Controles administrativos: Esto autoriza a los empleados, una vez autenticados, a acceder solo a ciertas aplicaciones o partes de la red.
4. Antivirus: Esta es la herramienta que impide que el software malicioso ingrese a la red y se propague.
5. Análisis del comportamiento: Los algoritmos y el ML pueden detectar anomalías en el comportamiento de los empleados, y en las aplicaciones y los dispositivos en sí.

¿Cómo ayuda la defensa en profundidad?

Al estratificar e incluso duplicar los procesos de seguridad, se minimiza la probabilidad de una violación. La mayoría de las organizaciones reconocen que una sola capa de seguridad o un producto de un solo punto (p. ej., un firewall) no llega lo suficientemente lejos como para proteger a la empresa de la creciente sofisticación de los ciberdelincuentes actuales.

Por ejemplo, si un pirata informático se infiltra con éxito en la red de una organización, la defensa en profundidad les da a los administradores tiempo para lanzar contramedidas. Se debe implementar software antivirus y firewalls para bloquear un acceso adicional y proteger las aplicaciones y los datos de la organización contra el riesgo.

La redundancia en la seguridad puede, a primera vista, parecer un desperdicio. Sin embargo, una estrategia de defensa en profundidad previene las amenazas porque cuando un producto de seguridad falla, hay otro producto de seguridad para tomar el control.

¿Qué es la seguridad en capas y cómo se relaciona con la defensa en profundidad?

Aunque se utiliza indistintamente (e incorrectamente), el término “seguridad estratificada” no es lo mismo que defensa en profundidad. La seguridad en capas consiste en contar con varios productos para abordar un solo aspecto de la seguridad. Los productos pueden ser muy similares y apuntar a hacer el mismo trabajo, pero en una estrategia de seguridad por capas, ambos son necesarios. El uso de productos aparentemente redundantes fortalece la defensa de la empresa contra las amenazas.

Por ejemplo, tanto una puerta de enlace como un firewall determinan qué datos deben permitirse ingresar a la red. Ciertamente hay diferencias entre los dos, una puerta de enlace es hardware mientras que un firewall es tanto hardware como software, pero ambos tienen como objetivo restringir el acceso a ciertos sitios web y aplicaciones. Una vez que la puerta de enlace y el firewall hayan realizado su trabajo (por ejemplo, un empleado puede visitar un sitio web en particular) otro producto o servicio de seguridad tendrá que hacerse cargo si el empleado desea ingresar una contraseña para iniciar sesión en ese sitio web.

El siguiente producto de seguridad puede ser la autenticación multifactor (MFA), que impide el acceso a un sitio web a menos que se proporcionen varias credenciales. En otras palabras, la seguridad en capas solo aborda una dimensión de seguridad o un vector de ataque, mientras que la defensa en profundidad es más amplia, multifacética y de alcance más estratégico. También se puede decir que la seguridad en capas es un subconjunto de defensa en profundidad.

Una estrategia de seguridad en capas se evalúa en tres áreas diferentes: administrativa, física y técnica. Los controles administrativos incluyen las políticas y los procedimientos necesarios para restringir el acceso no autorizado, como el control de acceso basado en roles (role-based access control, RBAC) o la capacitación de empleados para proteger contra estafas de suplantación de identidad. Los controles físicos incorporan un acceso físicamente seguro al sistema de TI, como el bloqueo de salas de servidores, mientras que los controles técnicos incluyen la combinación de productos y servicios que la organización selecciona para abordar la seguridad.

¿Cuáles son las capas esenciales en un mecanismo de defensa en profundidad?

Capas de defensa en profundidad. Fuente: ¿Qué es la defensa en profundidad? Estrategia para la ciberseguridad, por M. Beschokov, 2025

Las capas principales para llevar a cabo una estrategia de defensa en profundidad deben incluir:

1. Contraseñas seguras y complejas.
2. Software antivirus.
3. Puerta de enlace segura.
4. Firewall.
5. Gestión de parches.
6. Copia de seguridad y recuperación.
7. Principio de privilegio mínimo, o dar a un usuario el nivel de acceso mínimo o los permisos necesarios para hacer su trabajo.

A medida que las empresas crecen y aumenta la cantidad de dispositivos, aplicaciones y servicios utilizados en toda la organización, estos sirven como capas de seguridad importantes en una estrategia de defensa en profundidad:

1. Autenticación de dos factores (2FA) frente a autenticación multifactor (MFA).
2. Sistemas de detección y prevención de intrusiones.
3. Detección y respuesta de endpoint (EDR).
4. Segmentación de red.
5. Cifrado.
6. Prevención de pérdida de datos.
7. VPN.