Por qué no existe la seguridad perfecta

Lo perfecto no existe

En esta área hemos visto muchas defensas. Cerramos el contenido con cifrado, comprobamos con hashes que nada cambiara y demostramos quiénes somos con contraseñas y un segundo paso. Entonces, si lo juntamos todo, ¿llegamos a ser perfectos?
Por desgracia, no. Cualquier cerradura puede ceder con suficiente tiempo y esfuerzo, y puede haber fallos ocultos que nadie conoce todavía. La barra que intenta subir la seguridad hasta 100 nunca llega justo a 100, por mucho que empujes.

Sube más la seguridad. La barra se acerca a 100 pero nunca llega. Solo te acercas cada vez más a lo perfecto.

Por más que empujaste, el extremo de la barra nunca llegó a 100. Esa es la primera verdad de la seguridad: lo perfecto no es un lugar al que se pueda llegar.
No hay motivo para desanimarse. En el momento en que aceptas que lo perfecto no existe, tus preguntas se vuelven más inteligentes. En lugar de preguntar cómo ser perfecto, preguntas qué grado de seguridad es suficiente, y ese suficiente siempre tiene un precio. A continuación veremos cuál es ese precio.

Más seguro significa menos cómodo

La razón por la que no empujamos la barra hasta el final, aunque podríamos, es sencilla: el precio sube demasiado. Cuanto más larga y compleja es una contraseña, más segura es, pero más pesado resulta escribirla cada vez y más a menudo se olvida. Cuantas más capas de verificación añades, más seguro es, pero más pasos lleva cada inicio de sesión.
Sube la seguridad un punto y la comodidad baja un punto mientras el coste sube un punto. Las tres van atadas en una misma línea y se intercambian entre sí. Demasiada incomodidad puede incluso volver las cosas menos seguras, porque la gente empieza a escribir contraseñas difíciles de recordar en notas pegadas al monitor, o a saltarse a escondidas los procedimientos pesados.

Sube el nivel de seguridad paso a paso. Cuanto más sube, más se llena la seguridad, mientras la comodidad se reduce y el coste crece.

Cada vez que subía el nivel, las tres barras se movían juntas. Cuando un lado mejoraba, otro empeoraba. A esto se le llama compensación, un intercambio.
No hay un camino gratis hacia más seguridad. La seguridad siempre se paga en comodidad o en coste. Por eso subirla al máximo sin más no es la respuesta. Demasiado baja es peligrosa, y demasiado alta hace que nadie pueda usarla. Entonces, ¿dónde debe quedar la barra? La respuesta depende de cómo manejes el riesgo.

No eliminar el riesgo, sino gestionarlo

Si lo perfecto no existe, el riesgo tampoco puede llegar a 0. ¿Es la seguridad, entonces, una batalla perdida? En absoluto. Basta con cambiar la forma de pensar: en lugar de intentar eliminar el riesgo, lo gestionas. Al cruzar la calle el riesgo no es 0, y aun así miramos a ambos lados y cruzamos.
El tamaño de un riesgo se mide mirando dos cosas a la vez: qué probabilidad hay de que ocurra y cuánto daño hace si ocurre. Primero frenas los riesgos grandes en ambos sentidos hasta que sean lo bastante pequeños, y convives con el riesgo pequeño que queda. Ese es el objetivo realista de la seguridad.

Frena los riesgos uno a uno, empezando por el más grande. El riesgo nunca llega a 0, pero se reduce a un tamaño pequeño que puedes aceptar.

Frenar primero los riesgos grandes hizo que la barra bajara de golpe, pero nunca llegó del todo a 0. Y no pasa nada; esa es la clave. Cuando el riesgo que queda es lo bastante pequeño, decides aceptarlo.
Hay otras formas de manejar el riesgo. Puedes evitarlo: si nunca recoges información que no necesitas, nunca podrá filtrarse. Puedes pasárselo a otro: un seguro es una manera de hacerlo. Elegir entre reducir, evitar, transferir y aceptar se llama gestión del riesgo. Entonces, ¿el tamaño aceptable es el mismo para todos?

El equilibrio adecuado para cada situación

Lo que cuenta como riesgo aceptable cambia según la situación. Si se filtra una libreta con el almuerzo de hoy, es un poco vergonzoso pero nada grave, así que una cerradura pesada sería excesiva. En cambio, si se filtra la cámara acorazada de un banco, es un desastre, así que aceptas la incomodidad y haces la cerradura gruesa.
El peso de lo que proteges fija el punto de equilibrio. Por eso, al decidir la seguridad, primero te preguntas: ¿qué protegemos, de quién y cuánto dolería perderlo? Cuanto más valioso, más se mueve la barra hacia la seguridad; cuanto más ligero, más se mueve hacia la comodidad. No hay una sola respuesta correcta: cambia con cada situación.

Elige cada una de las dos situaciones. El punto de equilibrio se desplaza hacia la comodidad con la libreta ligera y hacia la seguridad con la pesada cámara acorazada.

La misma cerradura no servía para las dos situaciones. A la libreta le iba una cerradura ligera, y a la cámara acorazada, una gruesa. La buena seguridad no es la más fuerte, sino la que se ajusta a la situación.
Y ese punto de equilibrio no se fija una vez para siempre. A medida que aparecen ataques nuevos y crece lo que proteges, el tamaño de los riesgos también cambia, así que hay que volver a sopesarlos de vez en cuando y estar al día con las actualizaciones. Una mirada que elige el equilibrio, y lo vuelve a elegir, en lugar de perseguir lo perfecto: esa es la forma de ver la seguridad que enseña esta lección.

El camino recorrido

Todo junto, esta lección queda así. La seguridad perfecta no existe. Subir la seguridad baja la comodidad y sube el coste. Por eso, en lugar de intentar llevar el riesgo a 0, lo gestionas mirando la probabilidad y el daño. Miras qué proteger y cuánto, eliges un punto de equilibrio y vuelves a elegir cuando las cosas cambian.
Esta es la última lección del área de seguridad, y un buen lugar para mirar atrás a las ocho áreas de Cogito que hemos recorrido. Por último, repasemos juntos esos ocho caminos.

Toca las ocho áreas en orden para repasar todo Cogito: estructura, programación, sistemas operativos, algoritmos, redes, datos, IA y seguridad.

Hemos tocado los ocho caminos. En estructura vimos el esqueleto de un ordenador, y en programación aprendimos a escribir instrucciones. Vimos cómo el sistema operativo coordina todo eso, y en algoritmos cultivamos el oficio de resolver problemas. Con las redes nos conectamos con el mundo, y con los datos recordamos y manejamos la información. En IA conocimos máquinas que aprenden por sí solas, y en seguridad aprendimos a protegerlo todo con equilibrio.
Este viaje nunca consistió en memorizar respuestas. Consistía en formar la mirada que ve el mundo con intuición y plantea sus propias fórmulas. Gracias por llegar juntos hasta aquí. Ahora, con esa mirada, puedes recorrer tu propio camino.