Un código de seis dígitos enviado por SMS detiene a la mayoría de los ladrones de contraseñas, pero no a una página de phishing bien hecha, que pide el código y lo reenvía al instante. Por eso CISA, la agencia de ciberseguridad de Estados Unidos, considera a FIDO y WebAuthn la única forma ampliamente disponible de verificación resistente al phishing.
Esa diferencia entre dos tipos de verificación resume bien la seguridad activa informática: medidas que actúan antes del incidente y que no valen todas lo mismo. Esta guía explica qué es, cuáles son sus medidas principales, qué significa activo en seguridad de la información y en qué orden conviene aplicar cada cosa, tanto en casa como en una empresa.
Qué es la seguridad activa informática
La seguridad activa informática es el conjunto de medidas que buscan impedir o dificultar un incidente antes de que ocurra. Incluye la autenticación, el cifrado, el software antimalware, los firewalls, las actualizaciones, el control de accesos y la monitorización. Su pregunta guía es sencilla: qué hay que hacer hoy para que el ataque o el error de mañana no prospere.
Se opone a la seguridad pasiva, que actúa cuando el daño ya ocurrió: copias de seguridad, SAI, redundancia y planes de recuperación, explicados en la guía de seguridad pasiva en informática. La comparación directa, con los casos que cambian de categoría según el autor, está en el análisis de seguridad activa y pasiva.
En el marco NIST CSF 2.0, la mayoría de las medidas activas caen en la función Proteger, y la monitorización en Detectar. La definición general de la disciplina, con sus objetivos de confidencialidad, integridad y disponibilidad, está en la guía de qué es la seguridad informática, que conviene leer primero si el tema es nuevo para usted.
Qué son los activos en seguridad de la información
Ninguna medida activa tiene sentido sin saber qué protege. Aquí, un activo es cualquier elemento con valor para la persona o la organización: bases de datos, documentos, equipos, programas, cuentas de usuario, servicios en la nube y hasta el conocimiento de un empleado clave. A menudo, el activo más valioso de una pyme es una hoja de cálculo.
La norma ISO/IEC 27001:2022 dedica su control 5.9 al inventario de información y otros activos asociados, y el 5.12 a su clasificación. En la práctica, cada activo debe tener un propietario, una ubicación conocida y un nivel de sensibilidad. Sin esos tres datos, nadie puede decidir si un archivo necesita cifrado, copias diarias o simplemente un borrado.
Un detalle sobre el vocabulario: en contabilidad, activos y pasivos son conceptos financieros que no tienen relación con la seguridad activa y pasiva. La coincidencia de palabras confunde a más de un estudiante. En este contexto, activo significa algo que se protege, y seguridad activa significa protección que actúa antes del incidente.
Cómo hacer un inventario de activos
Para una empresa pequeña, el inventario cabe en una hoja con cinco columnas: activo, propietario, dónde está, qué datos contiene y qué pasaría si se pierde o se filtra. Conviene empezar por los datos personales de clientes y empleados, porque son los que activan obligaciones legales y los que más daño causan cuando se exponen.
En Ecuador, el artículo 37 de la LOPDP pide tener en cuenta las categorías y el volumen de datos personales al decidir las medidas de seguridad. Eso es imposible sin inventario. El orden lógico es inventariar, clasificar por sensibilidad y luego asignar medidas activas proporcionales: cifrado y accesos restringidos para lo sensible, controles básicos para lo demás.
Medidas de seguridad activa informática
Las medidas activas se pueden ordenar por la cantidad de incidentes que evitan en relación con su costo. Las tres primeras de la lista, autenticación fuerte, actualizaciones y control de accesos, cuestan poco y cierran las vías de entrada más usadas. El resto añade capas para cuando las primeras fallan, siguiendo la lógica de defensa en profundidad.
Autenticación y verificación en dos pasos
La autenticación confirma que quien entra es quien dice ser. Una contraseña sola ya no basta: se filtra, se reutiliza o se adivina. La verificación en dos pasos añade un segundo factor: algo que se tiene, como el celular o una llave física, o algo que se es, como la huella. Activarla en el correo protege el resto de cuentas.
CISA ordena las opciones de más a menos fuertes. Las llaves FIDO y las llaves de acceso resisten el phishing porque no funcionan en un sitio falso. Si no están disponibles, la agencia recomienda apps de autenticación con coincidencia de números para frenar el bombardeo de notificaciones. Los códigos por SMS quedan al final, aunque siguen siendo mejores que nada.
Contraseñas únicas y gestores
La regla que más incidentes evita es no repetir contraseñas. Cuando un servicio sufre una filtración, los atacantes prueban esas mismas credenciales en bancos, correos y redes sociales. Recordar cincuenta contraseñas distintas es imposible, así que la solución práctica es un gestor, cuyo funcionamiento y criterios de elección se explican en la guía del gestor de contraseñas.
Cifrado
El cifrado hace ilegible la información para quien no tiene la clave. En reposo, protege el disco de una laptop robada: BitLocker en Windows y FileVault en macOS vienen incluidos en el sistema. En tránsito, protege lo que viaja por la red, como hace HTTPS en la web. La LOPDP menciona el cifrado de forma expresa entre las medidas posibles.
Antivirus, EDR y firewall
El antivirus compara archivos con firmas de malware conocido y vigila comportamientos sospechosos. Un EDR va más allá: registra lo que hace cada proceso, alerta ante patrones de ataque y puede aislar un equipo de la red. Para un hogar, Microsoft Defender, incluido en Windows, cubre lo esencial; para una empresa con datos sensibles, un EDR gestionado tiene sentido.
El firewall filtra el tráfico según reglas: qué puertos se abren y hacia dónde. Cada router doméstico trae uno, igual que Windows y macOS. En una empresa, lo que más rinde junto al firewall es la segmentación: separar la red de invitados, las cámaras y los equipos de contabilidad para que un intruso no salte de uno a otro.
Actualizaciones y gestión de vulnerabilidades
Muchos ataques aprovechan fallos que ya tienen parche. CISA mantiene el catálogo de vulnerabilidades explotadas conocidas, o KEV, que indica cuáles se están usando en ataques reales y si se asocian a campañas de ransomware. Para una empresa, ese catálogo es una lista de prioridades lista para usar: lo que aparece ahí se parchea primero.
Origen del software
Una medida que casi nunca aparece en las listas es comprobar de dónde viene cada programa antes de instalarlo. Muchas infecciones empiezan con un instalador descargado desde un anuncio o desde una página que imita a la del fabricante. La regla para la seguridad activa informática en casa es descargar solo desde la tienda oficial o el sitio del fabricante.
En la empresa, la versión madura de esa regla es una lista de aplicaciones permitidas: solo se ejecuta lo que el área de tecnología aprobó. Windows y macOS verifican la firma digital del desarrollador y advierten cuando falta. Ignorar esa advertencia por costumbre, para ahorrar un minuto, anula la protección que el propio sistema ofrece.
Control de accesos y monitorización
El principio de mínimo privilegio significa que cada persona tiene solo los permisos que su trabajo exige. Quitar los derechos de administrador a usuarios comunes impide que un adjunto malicioso instale programas, y revisar los accesos cuando alguien cambia de puesto o se va de la empresa cierra puertas que nadie recuerda haber abierto.
La monitorización observa los registros para detectar lo que las demás medidas dejaron pasar: un inicio de sesión desde otro país, una cuenta que descarga miles de archivos, un servicio nuevo instalado de madrugada. Algunos textos la clasifican como pasiva porque no impide nada por sí misma; actúa antes del daño mayor, y por eso aquí cuenta como activa.
Ejemplos de medidas activas en casa y en una pyme
Los ejemplos concretos ayudan a ver el orden de prioridades. La tabla muestra medidas activas, la amenaza que frenan y un caso práctico. En casa, las tres primeras filas resuelven la mayor parte del riesgo. En una pyme, la tabla completa es un mínimo razonable que cabe en el presupuesto de casi cualquier negocio con más de cinco computadoras.
| Medida activa | Qué amenaza frena | Ejemplo práctico |
|---|---|---|
| Verificación en dos pasos | Robo de contraseñas y phishing | Llave FIDO en la cuenta de administrador del correo |
| Contraseñas únicas en un gestor | Reutilización tras filtraciones | Gestor compartido para el equipo de ventas |
| Actualizaciones automáticas | Explotación de fallos conocidos | Parches del sistema instalados cada mes |
| Cifrado de disco | Robo o pérdida de equipos | BitLocker o FileVault activado en cada laptop |
| Mínimo privilegio | Instalación de malware, abusos internos | Usuarios sin permisos de administrador |
| Firewall y segmentación | Movimiento del atacante dentro de la red | Wi-Fi de invitados separado de la red interna |
| EDR y monitorización | Malware nuevo y accesos anómalos | Alerta por inicio de sesión desde otro país |
Llevar la seguridad activa informática a la computadora concreta, con las opciones exactas de Windows y macOS que conviene activar una por una, está en la guía práctica de medidas de seguridad activa en el ordenador. Aquí el foco es el concepto y el orden; allí, los menús y los clics.
Lo que la seguridad activa no puede hacer
Ninguna medida activa bloquea el cien por ciento de los ataques, ni evita un disco que muere o un corte de luz. Esto no es un fallo de las herramientas, sino un límite de la prevención. Quien vende un producto que promete protección total está vendiendo una idea, no una medida; esa promesa debería bastar para descartarlo.
Una observación sobre la enseñanza en España: el módulo 0226 del título de Técnico en Sistemas Microinformáticos y Redes, del Real Decreto 1691/2007, incluye en su bloque de seguridad activa los planes de contingencia y las técnicas de recuperación de datos, que muchos manuales llaman pasivos. Las fronteras entre categorías son más borrosas en los temarios que en la práctica.
El primer paso concreto es abrir hoy la configuración de seguridad de su cuenta de correo principal, activar la verificación en dos pasos y revisar qué dispositivos tienen sesión abierta. Esa cuenta recupera las contraseñas de casi todas las demás, de modo que protegerla vale más que cualquier otra medida de esta lista.