Cuando, en cambio, va a la peluquería, no está comprando las tijeras. Las tijeras forman parte del servicio, por supuesto, pero sobre todo hay veinte años de oficio: la mano que sabe dónde cortar, el ojo que entiende qué corte le favorece. Usted paga el resultado, no la herramienta.

En ciberseguridad ocurre algo parecido, y casi nadie lo dice en voz alta: cuando compra un producto de seguridad no está comprando las competencias para usarlo. Esas se quedan del lado de quien se lo ha vendido.

Por eso en Orizon no desarrollamos productos, sino servicios. Y un servicio, a diferencia de un producto, no se describe con una ficha técnica: se cuenta como un recorrido. El que sigue es el nuestro, en cuatro preguntas.

Para concretarlo usaremos una empresa ficticia —la llamaremos Acme Enterprise & Co.—: ciento ochenta empleados, tres plantas de producción, un portal para proveedores, un ERP en la nube y un departamento de TI de cuatro personas que, como casi en todas partes, se ocupa de todo. No es un caso real, pero cada paso es verosímil y probablemente reconocerá alguno.

Y no es el chico con capucha en un sótano: esa imagen nos ha hecho daño, porque nos ha acostumbrado a pensar en un fenómeno casual y artesanal. Quien le ataca hoy es una organización, con un modelo de negocio, roles y objetivos de rentabilidad. Antes de invertir estudia el mercado: cuánto factura usted, cuánto le cuesta un día de parada, cuán expuesto está, quiénes son sus proveedores. Hace exactamente lo que haría usted antes de abrir una negociación.

La primera pregunta, por tanto, es la del atacante: ¿qué ve quien me está mirando desde fuera?

RECON Essentials responde a esa. Es un servicio de External Attack Surface Management: analiza lo que su empresa expone en Internet mirándola desde fuera, exactamente como lo haría un atacante, de forma completamente pasiva. Sin agente que instalar, sin credenciales que entregar, sin impacto en los sistemas. Bastan el dominio principal y el número de IVA; para los grupos se añaden los dominios de las distintas sociedades y se obtiene una vista consolidada.

En pocos minutos el motor enumera dominios y subdominios, resuelve las direcciones IP, identifica puertos y servicios expuestos, reconoce las tecnologías en uso y las correlaciona con las vulnerabilidades conocidas —las CVE— con su puntuación CVSS, y señala las que figuran en el catálogo CISA KEV, es decir, aquellas cuya explotación real está documentada. El resultado es una puntuación de riesgo agregada y un informe legible también por quien no es técnico, con la clasificación respecto a NIS 2.

Acme Enterprise & Co. descubre así sesenta y tres subdominios, no los doce que creía tener. Entre ellos está el portal de proveedores de un proyecto cerrado hace dos años, todavía en línea, todavía accesible. Y hay un concentrador VPN con una versión de firmware que aparece en el catálogo de las vulnerabilidades explotadas.

Nadie había escondido nada. Sencillamente, nadie estaba mirando por ese lado.

No es una hipótesis meramente teórica. Un atacante que compromete un solo ordenador —una credencial robada, un adjunto abierto, una sesión secuestrada— no se detiene ahí: se mueve lateralmente hacia todo lo demás. Y desde dentro el panorama es distinto: configuraciones erróneas, software nunca actualizado, hosts olvidados, servicios que nadie está monitorizando.

RECON Internal mira la red desde ese punto de vista. Es el equivalente interno de Essentials: una máquina virtual dedicada se inicia en la red corporativa y, a partir de ese momento, trabaja sola. Mapea hosts y dispositivos en direcciones IP privadas, puertos y servicios internos, reconoce el stack tecnológico de cada activo, correlaciona las vulnerabilidades a partir de varias fuentes y detecta las configuraciones erróneas. Un paso de Evidence Gating descarta automáticamente los falsos positivos, porque una lista llena de ruido no ayuda a nadie. La máquina virtual analiza en modo de solo lectura, sin modificar los sistemas.

El informe tiene el mismo formato que el de Essentials, con el añadido de la comparación entre la vista externa y la interna: y es precisamente esa comparación el elemento más útil, porque muestra la distancia entre lo que se expone y lo que se arriesga.

En Acme Enterprise & Co. la vista interna cuenta otra historia. El servidor que gestiona los pedidos tiene un servicio de compartición de ficheros con una configuración que quedó abierta durante una migración de 2023. Dos máquinas de planta tienen un sistema operativo fuera de soporte: se mantienen en servicio porque controlan un equipo industrial que el fabricante ya no actualiza. Ninguna de ellas aparece en la vista externa. Ninguna es un error clamoroso. Juntas, forman un corredor.

Durante años medimos el riesgo en bits —vulnerabilidades, puntuaciones de gravedad, informes de trescientas páginas con miles de líneas rojas—. Pero saber que se tiene una vulnerabilidad cuenta la mitad de la historia. La otra mitad es saber si esa vulnerabilidad, en su contexto concreto, es realmente explotable, y qué ocurriría si lo fuera.

El riesgo no es un atributo técnico: es un traje hecho a su medida. La misma vulnerabilidad tiene consecuencias completamente distintas para un banco, para un despacho profesional de tres personas o para una empresa manufacturera que fabrica bajo pedido.

Fireline responde a esta tercera pregunta. Es el test de penetración potenciado por la inteligencia artificial: toma la superficie y las vulnerabilidades candidatas y las pone a prueba como lo haría un atacante —con autorización por escrito, en un entorno aislado, sin instalar nada y sin interrumpir el trabajo de la empresa—.

El motor trabaja por fases: reconocimiento, validación de las CVE a partir de varias fuentes, filtrado de los falsos positivos, construcción del grafo de ataque con las cadenas completas mapeadas en MITRE ATT&CK y, por último, validación activa sobre los objetivos reales. La prioridad no la marca solo la gravedad teórica, sino también la probabilidad de que esa vulnerabilidad sea efectivamente explotada, medida con el índice EPSS.

El principio que sostiene todo el servicio es la disciplina con la que se declara un resultado: nada se infla más allá de lo que se ha demostrado. En un análisis típico el motor parte de cientos de posibles hallazgos y descarta la gran mayoría por irrelevantes o no explotables. Lo que queda en el informe es lo que cuenta, verificado uno a uno.

Para Acme Enterprise & Co. el resultado no es una lista, sino una frase: desde el portal de proveedores olvidado se llega, en tres pasos, a las credenciales del ERP. Contra lo que se temía, el concentrador VPN no es explotable, porque una regla de acceso lo protege. Las dos máquinas fuera de soporte no son accesibles desde el exterior, pero sí desde la red de las oficinas.

El plan que resulta está ordenado por plazos: qué hacer ahora, qué a lo largo de esta semana, qué en el próximo ciclo de mantenimiento. No es una lista teórica: es una lista de cosas que hacer.

Un ataque no es un instante. Es un evento que se desarrolla en el tiempo, a menudo de noche, a menudo con credenciales válidas y herramientas legítimas, a menudo sin dejar rastros evidentes en un único sistema. Para detectarlo hace falta alguien que vigile de forma continua.

Oversight es nuestro SOC as a Service: un Security Operations Center gestionado, activo 24 horas al día, 7 días a la semana. Recoge los logs de las fuentes ya presentes en la empresa —endpoints y EDR, firewalls, servidores, proveedores de identidad, entornos cloud y aplicaciones—, los normaliza según un esquema común, los correlaciona y los conserva en un Security Data Lake. Cuando algo emerge, las alertas correlacionadas se recomponen en una attack story: la reconstrucción coherente de un ataque, desde la primera señal hasta el último paso observado.

Y es aquí donde el servicio se distingue de lo que muchos clientes han conocido. Un SOC tradicional detecta, clasifica y notifica: «actividad sospechosa en el servidor X, se recomienda aislar la máquina». A partir de ahí, la empresa está sola. Oversight entrega en cambio una investigación ya instruida: la cronología de los hechos, las evidencias, los sistemas y las cuentas implicados, y las indicaciones para la remediación —qué corregir, en qué sistemas, en qué orden y cómo verificar que la intervención ha funcionado—.

El servicio puede ampliarse con tres add-ons: DX Data Explorer, que permite al cliente consultar de forma autónoma los mismos datos sobre los que trabajan los analistas; Cold Storage, que conserva los logs en un archivo cifrado con controles de integridad mucho más allá de la ventana breve de los SIEM tradicionales, para las auditorías y las investigaciones que llegan meses o años después; y Dark Web Intelligence, que detecta credenciales y sesiones corporativas expuestas antes de que sean utilizadas.

En Acme Enterprise & Co., unos meses más tarde, un acceso VPN nocturno desde una dirección nunca vista abre una secuencia que en el pasado habría pasado inadvertida. Esta vez no: se ve mientras ocurre, se reconstruye, y la empresa no recibe una alarma, sino un plan.

Saber qué expone plantea la pregunta de qué ocurre si alguien entra. Saber qué hay dentro plantea la pregunta de qué es realmente explotable. Saber qué es explotable plantea la última, la más incómoda: y mientras arreglamos todo esto, ¿quién se da cuenta si ocurre algo?

RECON Essentials le muestra cómo le ven desde fuera. RECON Internal le muestra qué arriesga desde dentro. Fireline le dice qué puede golpearle de verdad y en qué orden intervenir. Oversight vigila, cada día, lo que ocurre realmente.

No es obligatorio recorrerlo entero, ni recorrerlo en este orden: cada servicio tiene sentido por sí solo. Pero el hilo existe, y es la razón por la que estos servicios se han construido sobre la misma plataforma y el mismo ecosistema, en lugar de ser cuatro productos a los que hay que hacer hablar entre sí.

La IA no es ni la solución ni el problema: es un multiplicador. Multiplica la capacidad de quien le ataca —y se ve en la calidad creciente de las campañas de phishing y en la velocidad de los ataques—. Y multiplica nuestra capacidad de defenderle, con una condición: que esté gobernada.

Nosotros la usamos para hacer lo que una máquina hace mejor y más deprisa que una persona: correlacionar grandes volúmenes de datos, descartar el ruido, reconstruir secuencias, realizar el trabajo repetitivo de investigación. Pero detrás siempre hay alguien. Los especialistas de nuestro SOC guían la IA, leen sus resultados y deciden, porque un modelo puede equivocarse, y en seguridad un error nunca tiene el mismo peso en ambas direcciones.

El mismo nivel de servicio que prestamos a una gran organización es accesible para la mediana empresa, la pequeña empresa y el despacho profesional. No porque exista una versión reducida, sino porque hemos cambiado la forma en que estos servicios se prestan y se compran.

Es una cuestión práctica, no ideológica. Hoy, en Italia, las competencias de seguridad son difíciles de encontrar y aún más difíciles de retener: se contrata, se forma y, al cabo de dos años, esa persona se va llevándose todo lo que sabía de los sistemas de su empresa. El servicio, en este escenario, no es un recurso de segunda frente a hacerlo internamente. A menudo es el único camino viable.

Venimos a decirle otra cosa: cuando ocurra —y tarde o temprano le ocurre a todo el mundo—, la diferencia no será si sale indemne, sino hasta qué punto consigue mantenerse en pie. Los sistemas se restauran desde la copia de seguridad, con un buen plan, en unos días; la confianza de los clientes, de los socios y de los bancos se reconstruye en años. Suponiendo que se reconstruya.

Nuestro oficio es reducir la probabilidad de que ese momento llegue y, si llega, gestionarlo para que cueste lo menos posible.