Seguridad física y ciberseguridad: un mismo sistema de protección y control interno

Una puerta abierta, una credencial prestada o un portátil sin custodia pueden convertir una falla física en un incidente digital. Proteger la información exige coordinar personas, espacios, equipos y sistemas.

La National Cybersecurity Alliance recuerda que la seguridad física protege dispositivos y sistemas frente al robo, daño o manipulación, y que el trabajo híbrido extiende ese riesgo fuera de la oficina. Pensemos en un visitante que entra sin registro, una memoria extraíble conectada a un equipo o una pantalla visible en un espacio público: cada situación puede abrir una vía hacia información, credenciales o servicios que los controles de red por sí solos no cierran. [1]

La continuidad del riesgo entre la puerta y la red

El acceso físico puede permitir que alguien observe una contraseña, use una sesión abierta, altere un dispositivo, retire un disco o interrumpa la energía y la conectividad. También puede facilitar la ingeniería social: hacerse pasar por proveedor, acompañar a un empleado a través de una puerta controlada o solicitar ayuda para conectar un equipo. El riesgo no se reduce a una persona maliciosa; los errores de empleados, contratistas y visitantes también importan.

Una organización con autenticación multifactor y copias de seguridad todavía puede exponer información si no controla sus salas técnicas, los soportes removibles y los portátiles que salen de la sede. La pregunta de control interno es concreta: ¿quién puede tocar cada activo, en qué condiciones, durante cuánto tiempo y con qué evidencia? La respuesta debe relacionarse con el inventario tecnológico, las autorizaciones y los registros de acceso.

Un marco integrado para seguridad privada, tecnología y auditoría

ISO/IEC 27002:2022 ofrece orientación para seleccionar controles de seguridad de la información según el contexto y el riesgo; su estructura distingue controles organizacionales, de personas, físicos y tecnológicos. NIST SP 800-53 incluye la familia de protección física y ambiental, con medidas como autorizaciones y control de acceso físico. Estos marcos permiten asignar responsabilidades entre seguridad física, TI, gestión humana, continuidad y auditoría, sin asumir que una sola herramienta resuelve toda la exposición. [2][3]

1. Identificar áreas y activos críticos: salas de servidores, equipos de red, estaciones con datos sensibles, archivos, dispositivos portátiles y sedes de terceros. Vincular cada activo con un responsable y una clasificación de información.
2. Autorizar el acceso por función y necesidad. Registrar altas, cambios y bajas de credenciales; revisar periódicamente permisos y revocar de inmediato los que dejan de ser necesarios.
3. Controlar visitantes, proveedores y personal de mantenimiento con identificación, propósito, acompañamiento en zonas sensibles y registro de entrada y salida; delimitar qué actividades pueden realizar.
4. Proteger estaciones y soportes: bloqueo automático de pantalla, cifrado de portátiles, restricciones de medios removibles y cadena de custodia cuando un equipo se retire para reparación o investigación.
5. Asegurar el trabajo remoto mediante equipos administrados, cifrado, autenticación multifactor, reglas de transporte y almacenamiento, y un canal claro para reportar pérdida o robo.
6. Probar la respuesta: correlacionar registros de acceso físico y lógico ante incidentes, conservar evidencia con acceso restringido y ensayar continuidad ante pérdida de un equipo o indisponibilidad de una sede.

Cómo verificar que el control funciona

Una auditoría útil no se limita a comprobar que existe una política. Puede tomar una muestra de personas desvinculadas y verificar cuándo se cancelaron su credencial física y sus cuentas digitales; comparar la lista de visitantes con órdenes de trabajo; observar si una sala crítica permanece cerrada; y revisar si el inventario de portátiles coincide con asignaciones, cifrado y reportes de incidentes. Los hallazgos deben traducirse en responsables, plazos y una nueva prueba de efectividad.

Como indicadores prácticos pueden seguirse el porcentaje de accesos revisados dentro del plazo, el tiempo de revocación tras una desvinculación, los equipos portátiles cifrados y los incidentes de pérdida reportados oportunamente. Una cámara o una bitácora sin revisión no prueban prevención; el valor del registro está en detectar excepciones, investigarlas y corregirlas. Cuando se usen imágenes o datos de identificación, corresponde limitar el acceso y la conservación según las finalidades definidas.

Una aplicación posible en Colombia

Supongamos una empresa colombiana que trata datos de clientes desde una sede en Medellín y permite trabajo remoto en otras ciudades. La pérdida de un portátil puede afectar la confidencialidad de esos datos; una interrupción en la sala de comunicaciones puede afectar su disponibilidad. La Ley 1581 de 2012 incorpora un principio de seguridad que exige medidas técnicas, humanas y administrativas para evitar adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. La empresa debe evaluar sus riesgos concretos y documentar medidas proporcionadas; la norma no prescribe un dispositivo o marca de control particular. [4]

Una decisión razonable sería unir en una sola matriz los accesos a la sede y a los sistemas, cifrar los portátiles, retirar permisos al terminar un contrato y definir quién recibe el primer aviso de pérdida. Seguridad física preserva el entorno y los registros; TI contiene las sesiones y protege la información; el responsable del tratamiento evalúa el impacto sobre datos personales; auditoría verifica la evidencia. Este reparto permite actuar sin confundir la custodia de un equipo con la gestión integral del incidente.

Protección demostrable

La seguridad física y la ciberseguridad comparten un objetivo: que el acceso a información y servicios ocurra únicamente en condiciones autorizadas y que una interrupción pueda detectarse y atenderse. El control interno conecta ambas mediante inventarios, permisos, registros, pruebas y responsables. La protección es más sólida cuando cada excepción puede explicarse, corregirse y verificarse después.