Hardening: qué es, cómo medirlo y qué piden los reguladores en Honduras, El Salvador, Guatemala y Costa Rica

Un servidor recién instalado trae servicios, protocolos y cuentas pensados para que funcione en cualquier empresa. Su red no es cualquier empresa. Endurecer es revisar esa configuración de fábrica contra una referencia publicada, apagar lo que no se usa y dejar registro de cada excepción.

La NRP-23 de El Salvador lo define en su Art. 3, literal m): configuración segura es el "proceso destinado a eliminar un medio de ataque parcheando vulnerabilidades y desactivando servicios no esenciales". La definición sirve para cualquier país. Junta dos cosas que a menudo se manejan por separado: los parches y la configuración.

NIST describe la herramienta de trabajo en su publicación SP 800-70. Una lista de configuración de seguridad es un documento con instrucciones para configurar un producto, para verificar que quedó bien configurado y para detectar cambios no autorizados. Esa última parte se olvida con frecuencia. Un sistema endurecido una vez y nunca revisado vuelve a abrirse con el primer cambio urgente.

Los CIS Benchmarks son guías de configuración del Center for Internet Security. Hay más de 100, para más de 25 familias de productos: Windows y Windows Server, distribuciones Linux, bases de datos, equipos de red, nubes públicas y Microsoft 365, entre otros. Se escriben por consenso entre profesionales de seguridad de distintos países y el PDF se descarga sin costo.

Cada benchmark trae dos perfiles. El Nivel 1 reúne recomendaciones que se pueden aplicar pronto y con poco impacto en el rendimiento. El Nivel 2 es defensa en profundidad para entornos donde la seguridad pesa más que la comodidad, y puede afectar la operación si se aplica sin cuidado. Para la mayoría de los servidores de una institución financiera, el Nivel 1 es el punto de partida razonable. El Nivel 2 se reserva para sistemas críticos y se prueba antes.

Microsoft publica sus propias líneas base de seguridad para Windows, Windows Server, Microsoft 365 Apps y Edge. Se descargan con el Security Compliance Toolkit y se aplican por directiva de grupo o, en equipos administrados en la nube, desde Intune. Microsoft recomienda usar una configuración conocida y probada en lugar de inventar una propia.

Las dos referencias no son idénticas. Microsoft aclara que sus líneas base de Intune no corresponden uno a uno con CIS, aunque consulta a CIS al prepararlas. Escoja una referencia por plataforma, anótela en su política y no mezcle valores de ambas en el mismo grupo de equipos. Mezclar es la forma más rápida de no poder medir nada.

No todo pesa igual. Microsoft señala como blanco preferido del robo de credenciales a los controladores de dominio, las cuentas con privilegios permanentes y los servidores que manejan identidad, la infraestructura de clave pública (PKI) o la administración de otros equipos. Si alguien toma uno de esos, toma todo lo que depende de él. Por eso el orden sigue el control, no el número de equipos.

Medir es comparar lo configurado contra la referencia elegida y contar las diferencias. CIS ofrece CIS-CAT Pro Assessor para evaluar un sistema contra su benchmark. Intune muestra por dispositivo si una línea base se aplicó y qué valores quedaron distintos. Con directivas de grupo, las herramientas del Security Compliance Toolkit permiten comparar la directiva vigente con la de Microsoft.

Tres cifras alcanzan para un comité: el porcentaje de controles que coinciden con la línea base por grupo de sistemas, el número de excepciones aprobadas con dueño y fecha de revisión, y el tiempo que tarda en corregirse una desviación desde que se detecta. La primera muestra el estado. La segunda dice cuánto riesgo se aceptó a conciencia. La tercera dice si el proceso funciona.

Guarde la salida de cada medición con su fecha, la versión del benchmark usada y la lista de excepciones firmada por quien aceptó el riesgo. Ese paquete es lo que auditoría interna pide cada año en los cuatro países. Una captura de pantalla de una consola sin fecha no sirve de mucho.

Medir no reemplaza al pentest. La medición dice si la configuración coincide con la guía. La prueba de penetración dice si, con esa configuración, alguien puede llegar a un sistema crítico. Los hallazgos de una alimentan a la otra.

Úsela como está o adáptela a su política. Cada punto debería dejar un registro que se pueda mostrar.

• Inventario de servidores, estaciones y equipos de red con sistema operativo, versión, dueño y criticidad.
• Sistemas sin soporte del fabricante identificados, con plan de retiro o aislamiento y fecha.
• Una línea base elegida por plataforma y versión (CIS Nivel 1 o la de Microsoft), escrita en la política.
• Servicios, protocolos y puertos que no se usan, desactivados en cada grupo de sistemas.
• Contraseña distinta para el administrador local de cada equipo, por ejemplo con Windows LAPS.
• Cuentas de administrador separadas de las de uso diario, con autenticación de múltiples factores.
• Consolas de administración usadas solo desde equipos destinados a esa tarea.
• Parches de seguridad aplicados en una ventana definida, con los críticos priorizados.
• Antimalware activo en todos los equipos y su configuración revisada, no solo instalada.
• Bitácoras de seguridad encendidas y enviadas fuera del equipo, con la retención que pide su norma.
• Cifrado de discos en portátiles y control de medios extraíbles.
• Medición de desviaciones después de cada cambio importante y al menos una vez al año.

Ninguna de las normas que revisamos obliga a usar CIS ni las líneas base de Microsoft. Todas piden configuración controlada y dejan que la entidad elija su referencia. Esa elección tiene que quedar documentada.

El Salvador es el más explícito. La NRP-23, Art. 11 literal i), pide "controles sobre configuración segura de hardware, software, equipo de comunicación, dispositivos móviles; limitando servicios, protocolos, puertos y usuarios". La NRP-32, que aplica a bancos, sociedades de ahorro y crédito y bancos cooperativos, pide en su Art. 6 procesos ágiles de parches y evitar sistemas sin soporte del fabricante, y en su Art. 11 revisar los ajustes de configuración del antimalware.

En Guatemala, la JM-98-2025 pide en su Art. 27 literal b) la "gestión de cambios en las configuraciones de los activos en el ciberespacio", y en el literal c) la gestión de identidades y credenciales de usuarios, servicios y activos. El Art. 18, literal e), pide revisiones periódicas de los permisos.

En Honduras, el Art. 19 de la Circular CNBS 025/2022 pide gestionar la ciberseguridad con base en mejores prácticas y estándares internacionales, e incluye la función de proteger: implementar los controles para limitar o contener el impacto de un evento. Un benchmark publicado es una forma directa de mostrar qué práctica se adoptó.

En Costa Rica, el Acuerdo CONASSIF 5-24 cita en sus considerandos los Controles CIS entre las referencias de la industria. Su Art. 7 incluye entre los propósitos del marco de TI asegurar la configuración y la seguridad de los activos de información, y sus lineamientos piden que cada control de la declaración de aplicabilidad indique su capacidad operacional, una de las cuales es la configuración segura. El Art. 33 pide programas anuales de análisis de vulnerabilidades y pruebas que incluyan esos controles.