Administración
Qué avisos de seguridad conviene encender
Un aviso que llega a todos no llega a nadie. Cuáles importan de verdad y a quién tienen que llegar.
Se pueden avisar muchas cosas, y ahí está el problema. Cuando todo avisa, el equipo aprende a ignorarlo en dos semanas y el aviso que importaba llega el mismo día que otros treinta. La pregunta no es qué se puede avisar: es qué merece interrumpir a alguien.
Los que sí merecen un aviso
| Suceso | Por qué importa | A quién debe llegar |
|---|---|---|
| Alguien entra desde un dispositivo o sitio nuevo | Es la primera señal de una cuenta comprometida | A esa persona, siempre |
| Cambia una contraseña o el segundo factor | Si no fuiste tú, es urgente | A esa persona, en el momento |
| Alguien gana permisos de administración | Cambia lo que esa cuenta puede hacer con todo | A los administradores |
| Se crea o se retira una clave de integración | Abre o cierra una puerta que no es una persona | A los administradores |
| Muchos intentos fallidos seguidos | Alguien está probando | A los administradores |
Importante
Y el criterio que decide si esto funciona no está en la lista, está en el destinatario: **un aviso de seguridad no puede llegar solo a un buzón compartido al que accede todo el mundo**. Si la cuenta comprometida es una de las que lee ese buzón, quien entró ve la alerta antes que vosotros y puede borrarla. Los avisos de una persona van a esa persona; los de la organización, a dos administradores concretos con nombre, no a `info@`.
Lo que conviene no avisar
Ojo con esto
Hay una consecuencia de esto que sorprende: **el mejor aviso es el que casi nunca llega**. Si vuestro equipo recibe una alerta de seguridad cada quince días, el día que llegue una de verdad la mirarán con atención. Si reciben cinco a la semana, ese día la archivarán con las demás. Ajustar qué avisa no es comodidad: es lo que decide si el aviso funciona cuando toque.
Cómo dejarlo montado en diez minutos
- 1
Encender los cinco de la tabla y ninguno más al principio
Se amplía después, si algo se echa en falta.
- 2
Poner nombre y apellidos a quién recibe los de organización
Dos personas, no un buzón; y que las dos sepan que les llegan.
- 3
Comprobar que llegan de verdad, una vez
Entrad desde otro dispositivo y mirad si os avisa.
- 4
Y decidir qué se hace al recibir cada uno
Un aviso sin una acción asociada acaba ignorándose.
Ten en cuenta
Si alguna vez llega un aviso que nadie reconoce, el orden importa: primero cerrar sesiones y cambiar la contraseña de esa cuenta, después investigar. Está explicado paso a paso en el artículo sobre sospecha de acceso.
›¿Y si el equipo viaja mucho?
El aviso de dispositivo nuevo seguirá saltando: es correcto, y se descarta en un segundo.
›¿Los avisos sustituyen a revisar el registro?
No: avisan de lo urgente. El repaso mensual ve lo que no salta.
›¿Conviene avisar a dirección?
Solo de lo que vaya a decidir. Si no, es ruido con más rango.
Un caso real
La situación
Una empresa manda todas las alertas de seguridad al buzón general de administración.
Qué haces
- Deja los avisos personales a cada persona y los de organización a dos administradores con nombre
Qué consigues
El aviso llega a alguien que puede actuar, y no a un buzón que cualquiera puede vaciar.
La situación
No hay avisos de seguridad activos.
Qué haces
- Enciende los que avisan de accesos y cambios
Qué consigues
Lo raro se ve en el momento.
La situación
Los avisos llegan a una sola persona.
Qué haces
- Dirige los avisos a más de una
Qué consigues
El aviso llega a alguien que puede actuar.
La situación
Hay tantos avisos que nadie los lee.
Qué haces
- Deja activos los que de verdad importan
Qué consigues
El aviso vuelve a tener efecto.
La situación
Un aviso salta y nadie sabe qué hacer.
Qué haces
- Deja escrito qué hacer con cada uno
Qué consigues
La reacción no se improvisa.
La situación
Los avisos van a un buzón que nadie mira.
Qué haces
- Los dirige a una dirección atendida
Qué consigues
El aviso se lee.
Este artículo responde a
- alertas de seguridad de la cuenta
- avisos de acceso desde un dispositivo nuevo
- a quién deben llegar las alertas
- demasiadas notificaciones de seguridad