Resumen
Trabajo de diseño orientado a estructurar una capacidad de protección del correo electrónico desde una pregunta distinta a la habitual:
¿Cómo aumentar la capacidad de detectar y contener mensajes capaces de comprometer decisiones y procesos críticos del negocio?
El punto de partida no fue una herramienta específica. Fue entender cómo el correo participa en pagos, relación con proveedores, contratos, atención a clientes, procesos de talento humano, comunicaciones ejecutivas y acceso a información.
A partir de ahí se definió una capacidad que combina prevención, detección, contexto, operación, revisión y mejora continua.
Contexto
El correo sigue siendo un canal esencial para la operación de muchas organizaciones.
A través de él se reciben y procesan:
- facturas y solicitudes de pago;
- cambios de datos de proveedores;
- comunicaciones de gerencia;
- documentos compartidos;
- contratos;
- información de clientes;
- archivos de candidatos y terceros;
- notificaciones relacionadas con plataformas y cuentas;
- información que puede ser confidencial o regulada.
Esto crea una superficie de ataque especialmente atractiva porque combina identidad, confianza y capacidad de acción.
Un mensaje no necesita contener malware para producir daño. Puede buscar que una persona entregue credenciales, apruebe un pago, modifique información bancaria, abra un archivo, comparta datos o continúe una conversación con un actor suplantado.
Problema
La protección de correo suele evaluarse con preguntas técnicas:
- ¿hay antispam?;
- ¿se analizan adjuntos?;
- ¿se bloquean enlaces maliciosos?;
- ¿existen políticas de autenticación de dominio?
Todas son importantes, pero no responden por sí solas si la organización es capaz de reconocer un ataque que utiliza contexto y confianza para alterar un proceso.
El problema se amplía cuando aparecen escenarios como:
- phishing dirigido a usuarios con privilegios o autoridad;
- fraude por correo y suplantación de proveedores;
- solicitudes fraudulentas de cambio de cuenta bancaria;
- robo de credenciales mediante páginas de autenticación falsas;
- adjuntos o enlaces que cambian de riesgo con el tiempo;
- suplantación del dominio corporativo frente a empleados, clientes o terceros;
- fuga accidental o intencional de información;
- mensajes que atraviesan controles y solo se identifican posteriormente.
Por eso el objetivo no debía ser simplemente bloquear más correo, sino construir una capacidad con mejor contexto y capacidad de aprendizaje.
Principio de diseño
El principio rector fue sencillo:
No empezar por la herramienta. Empezar por los escenarios que necesitamos ser capaces de detectar, contener y explicar.
Esto permite separar una conversación de funciones de producto de una conversación sobre resultados de seguridad.
La capacidad se organizó alrededor de siete componentes.
01 — Identidad y confianza
El primer componente busca entender quién parece estar enviando el mensaje y qué nivel de confianza debería asignarse a esa identidad.
Incluye criterios como:
- autenticación del dominio;
- detección de suplantación;
- dominios similares o sospechosos;
- remitentes nuevos o inusuales;
- protección de la identidad corporativa;
- contexto de relación entre remitente y destinatario.
La intención es reducir la posibilidad de que un atacante utilice una identidad aparente para heredar confianza que no le pertenece.
02 — Contenido, intención y contexto
El segundo componente amplía el análisis más allá de firmas y malware.
Busca señales relacionadas con:
- phishing;
- fraude/BEC;
- presión o urgencia inusual;
- solicitudes sensibles;
- lenguaje diseñado para inducir una acción;
- comportamiento inconsistente con la relación habitual entre las partes.
No se trata de asumir que una palabra o una frase es maliciosa. Se trata de combinar señales suficientes para identificar interacciones que merecen una revisión distinta.
03 — Archivos, enlaces y contenido activo
Los archivos adjuntos y las URLs siguen siendo mecanismos relevantes de entrada.
La capacidad debe considerar:
- análisis de adjuntos;
- evaluación de URLs;
- prevención de contenido malicioso;
- aislamiento o revisión cuando el riesgo no es concluyente;
- capacidad de incorporar nueva inteligencia después del análisis inicial.
Una decisión tomada al momento de recepción no debería considerarse necesariamente definitiva.
04 — Protección continua después de la entrega
Uno de los principios más importantes del diseño es que la entrega no marca el final de la detección.
El riesgo puede cambiar cuando aparece nueva información.
Por eso la capacidad debería permitir:
- revisar mensajes entregados;
- identificar campañas o mensajes relacionados;
- reevaluar enlaces o amenazas cuando cambia el contexto;
- localizar usuarios potencialmente expuestos;
- ejecutar acciones correctivas cuando una amenaza es reclasificada.
Esta capa convierte la detección en una actividad continua.
05 — Usuarios y procesos críticos
La capacidad no debería mirar solamente el volumen total de amenazas.
Necesita responder:
- ¿qué usuarios reciben más ataques?;
- ¿qué áreas concentran phishing o fraude?;
- ¿hay intentos dirigidos contra gerencia?;
- ¿finanzas y compras reciben solicitudes sensibles por correo?;
- ¿qué cuentas pueden modificar, aprobar o acceder a procesos críticos?;
Finanzas, compras, gerencia, talento humano, legal y administradores pueden requerir criterios diferenciados porque el impacto potencial de un engaño exitoso es distinto.
06 — Gobierno de dominio y protección de información
El diseño también considera dos superficies relacionadas con el correo que a veces se revisan por separado.
La primera es la identidad del dominio: definir quién puede enviar en nombre de la organización, validar la integridad de los mensajes y establecer políticas frente a fallos de autenticación.
La segunda es la información que sale por correo: contratos, estados financieros, datos personales, documentos legales o información de clientes pueden requerir monitoreo y controles graduales para reducir fugas accidentales o intencionales.
El principio aquí es evitar controles bruscos que rompan la operación. Monitorear, aprender, ajustar y luego aplicar controles más estrictos suele ser más sostenible.
07 — Operación, métricas y aprendizaje
Una capa tecnológica no se mantiene útil por sí sola.
El modelo de capacidad incorpora actividades operativas como:
- revisión de eventos relevantes;
- gestión de cuarentena;
- análisis de falsos positivos y falsos negativos;
- ajuste de políticas;
- revisión de usuarios o áreas más expuestas;
- documentación de cambios;
- recomendaciones priorizadas;
- reporte periódico con contexto para la toma de decisiones.
Esto permite aprender de lo que realmente está ocurriendo en lugar de mantener una configuración estática.
Qué observar para saber si la capacidad está funcionando
No considero suficiente utilizar una sola métrica.
Un conjunto de señales más útil puede incluir:
- volumen de mensajes y eventos analizados;
- phishing identificado;
- intentos de fraude/BEC;
- suplantación de personas, proveedores o dominio;
- enlaces y adjuntos maliciosos o sospechosos;
- usuarios y áreas más atacadas;
- falsos positivos relevantes;
- falsos negativos detectados;
- políticas que debieron ajustarse;
- amenazas identificadas después de la entrega;
- decisiones o recomendaciones surgidas del análisis.
El propósito no es producir un tablero con muchos números. Es responder si la capacidad está reduciendo exposición, mejorando detección y generando información útil para decidir.
Controles de negocio que complementan la detección
La tecnología no debería ser el único punto de control.
En procesos especialmente sensibles, una segunda validación puede reducir mucho el impacto de un mensaje convincente.
Por ejemplo:
- confirmar por otro canal un cambio de cuenta bancaria;
- requerir doble aprobación para ciertos pagos;
- verificar solicitudes excepcionales de gerencia;
- definir procedimientos para recuperar o bloquear cuentas comprometidas;
- facilitar el reporte de mensajes sospechosos por parte del usuario.
La seguridad mejora cuando controles técnicos y controles de proceso se complementan.
Rol
Mi trabajo en esta pieza estuvo centrado en:
- estructurar el problema desde riesgo de negocio;
- identificar escenarios de ataque relevantes;
- organizar la capacidad en componentes de detección, protección y operación;
- definir señales y métricas útiles;
- conectar usuarios críticos con procesos de negocio;
- separar capacidades necesarias de funciones específicas de un fabricante;
- diseñar un enfoque de mejora progresiva.
Resultado
El resultado fue un modelo de capacidad que permite discutir seguridad del correo sin comenzar por marcas o características de producto.
La conversación pasa de:
“¿qué funciones tiene la herramienta?”
hacia preguntas como:
“¿qué escenarios somos capaces de detectar?”
“¿qué usuarios y procesos tienen mayor impacto potencial?”
“¿qué ocurre cuando una amenaza cambia después de la entrega?”
“¿cómo aprendemos de falsos positivos, falsos negativos y ataques reales?”
“¿qué necesita saber la dirección para decidir?”
Aprendizajes
- proteger correo es proteger decisiones y procesos, no solamente buzones;
- los ataques de mayor impacto pueden depender más de identidad y contexto que de malware;
- la entrega de un mensaje no debería cerrar el ciclo de detección;
- una capacidad sostenible necesita operación, métricas y ajustes continuos;
- usuarios con autoridad o acceso a procesos sensibles requieren una lectura de riesgo diferente;
- la mejor tecnología pierde valor si no existe un proceso para revisar, aprender y actuar;
- los controles del negocio pueden contener ataques que atraviesen controles técnicos.
Una conclusión práctica
Una capacidad de protección del correo genera valor cuando aumenta la probabilidad de detectar una interacción peligrosa antes de que se transforme en una credencial comprometida, un pago fraudulento, una fuga de información o una alteración de un proceso crítico.
Ese es el resultado que me interesa medir.