El punto ciego criptográfico que se esconde en su propia infraestructura.

¿Dónde se ubica realmente la criptografía dentro de su organización? La respuesta casi con toda seguridad no es donde sugiere su informe actual.

En estos momentos se está celebrando una reunión en salas de juntas y centros de operaciones de seguridad de todos los sectores importantes. Alguien saca un informe, lo desliza sobre la mesa y dice: «Aquí está nuestro inventario criptográfico».

Todos asienten. El CISO señala los porcentajes de cobertura. El auditor marca una casilla. La junta directiva observa que la empresa está “trabajando para prepararse para la era post-cuántica ”. La reunión termina. Cada uno sigue su camino.

Y la mayor parte de lo que contenía ese informe era erróneo.

No es que el equipo sea incompetente. No es que las herramientas hayan fallado. Es un problema mucho más fundamental: lo que se denomina inventario criptográfico nunca se diseñó para lo que ahora se necesita. Se creó para responder a una pregunta más sencilla y específica, y lleva años sin que nadie se dé cuenta, sin lograr responder a la pregunta más compleja.

Un verdadero inventario criptográfico es más que una lista de certificados TLS . Es un registro actualizado continuamente de cada activo criptográfico, algoritmo, clave, certificado, biblioteca, dependencia y relación de confianza en toda la empresa.

Lo que la mayoría de las organizaciones realmente tienen y por qué les pareció suficiente hasta ahora.

Si entras en casi cualquier organización de seguridad empresarial y preguntas cómo rastrean los activos criptográficos, la respuesta, sin tecnicismos ni jerga técnica, suele ser algo parecido: escaneo de red, enumeración de certificados TLS, una plataforma de gestión de certificados que registre lo que se ha aprovisionado a través de ella, o incluso un escáner de vulnerabilidades que detecte los conjuntos de cifrado obsoletos.

Ese enfoque no era descabellado. Durante la mayor parte de la última década, el riesgo práctico relacionado con la criptografía estuvo bastante bien controlado. ¿Sus servicios externos utilizan versiones obsoletas de TLS? ¿Están caducando sus certificados ? ¿Está utilizando RC4 o MD5 en algún lugar visible? Si solucionaba esos problemas, cumplía en gran medida con lo que se le exigía.

Los escáneres son idóneos para esa tarea. Examinan lo que es visible externamente, señalan lo que parece anómalo y generan un informe. El problema es que la pregunta ha cambiado, de forma drástica y permanente, y las herramientas no.

Los organismos reguladores, de normalización y de inteligencia sobre amenazas ya no preguntan si su configuración TLS es correcta. Ahora preguntan si usted tiene un conocimiento completo, preciso y actualizado de todas las dependencias criptográficas en todo su entorno, incluidas las aplicaciones, las bases de datos, el código, los sistemas embebidos, las cargas de trabajo en la nube, las integraciones de terceros y los servicios internos que nunca han sido analizados por un escáner de red durante su funcionamiento.

Ese es un problema completamente distinto. Y la mayoría de las organizaciones no tienen la respuesta.

La brecha de inventario de la que nadie habla con honestidad

La brecha entre lo que las organizaciones afirman saber sobre su entorno criptográfico y lo que realmente saben es considerable. En la mayoría de los casos, no se trata de un pequeño margen de incertidumbre, sino de un abismo.

La criptografía no reside principalmente en la red. Reside dentro de los sistemas. Dentro del código de las aplicaciones, donde los desarrolladores tomaron decisiones de cifrado hace cinco o diez años que nadie ha revisado. Dentro de las bases de datos, donde los datos en reposo están protegidos (o no) por algoritmos elegidos durante la implementación inicial.

Dentro de las bibliotecas de terceros y los componentes de código abierto, donde las implementaciones criptográficas pueden estar varias versiones por detrás del estándar actual. Dentro de los dispositivos IoT y OT que operan en plantas de fabricación, redes hospitalarias y sistemas de servicios públicos, con firmware que puede tener una década de antigüedad y cuya actualización resulta imposible sin interrumpir las operaciones.

Un escáner de red no puede detectar la mayor parte de esto. Examina el perímetro y la red interna en busca de lo que responde a las consultas. La criptografía más importante, la que protege sus datos más sensibles, sus sistemas más críticos y sus obligaciones regulatorias, en gran medida no responde a esas consultas.

Esto genera una situación en la que los informes que parecen más completos suelen ser los más engañosos. El escáner se ejecutó. Encontró información. Se generó el informe. El equipo se siente informado. Pero la superficie de riesgo criptográfico real puede ser cinco o diez veces mayor de lo que refleja el informe, y las vulnerabilidades más peligrosas suelen ser las que nunca aparecen en él.

Por qué esto importa más ahora que nunca

Hay dos fuerzas que convergen y que hacen que este problema sea urgente como nunca antes.

El primer aspecto es regulatorio. El NIST finalizó sus estándares de criptografía postcuántica en 2024 (FIPS 203, FIPS 204 y FIPS 205), formalizando los algoritmos que reemplazan a RSA, la criptografía de curva elíptica y otros esquemas asimétricos clásicos que las computadoras cuánticas eventualmente harán vulnerables. El mandato general de migración avanza a través de las agencias federales bajo NSM-10 y sus sucesores, y las obligaciones del sector privado le siguen.

La versión 4.0.1 de PCI DSS introdujo el Requisito 12.3.3, que se volvió obligatorio el 1 de abril de 2025 y exige que las organizaciones documenten y revisen anualmente todos los conjuntos de cifrado y protocolos criptográficos en uso, incluyendo un plan documentado para responder a las vulnerabilidades criptográficas previstas. Las normas de divulgación de ciberseguridad de la SEC están presionando a las empresas que cotizan en bolsa para que comprendan y representen con precisión los riesgos cibernéticos importantes, que cada vez incluyen más la exposición criptográfica.

La segunda amenaza es la propia amenaza cuántica, concretamente la estrategia conocida como « recolectar ahora, descifrar después ». Los adversarios estatales están capturando hoy mismo tráfico de red y datos cifrados con la intención explícita de descifrarlos cuando dispongan de ordenadores cuánticos suficientemente potentes. La hipótesis actual de la comunidad de inteligencia es que la ventana de oportunidad se abrirá en esta década.

En la práctica, esto significa que los datos cifrados hoy con RSA o protegidos mediante intercambio de claves de curva elíptica, datos que usted considera seguros ahora mismo, podrían estar almacenados en el sistema de un adversario a la espera de que su hardware se actualice. Para las organizaciones que manejan datos financieros confidenciales, información sanitaria, propiedad intelectual o información de seguridad nacional, este no es un problema teórico del futuro, sino un riesgo presente.

No se puede empezar a abordar una amenaza que no se puede localizar. Y no se puede localizar aquello para lo que el inventario nunca fue diseñado.

La superficie de ataque oculta: donde reside realmente la criptografía

La mayor parte del riesgo criptográfico no se encuentra donde un escáner de red pueda detectarlo. Reside dentro de las aplicaciones y los sistemas, y las decisiones criptográficas más críticas a menudo se toman en entornos que nunca han sido escaneados desde el exterior.

Criptografía de la capa de aplicación: El algoritmo de firma JWT en su servicio de autenticación, el tamaño de la clave AES que cifra los archivos antes del almacenamiento en la nube, la generación de claves RSA en sus herramientas PKI internas y la configuración del cliente TLS integrada en sus microservicios. Ninguno de estos elementos es visible en un escaneo de red. Solo existen en el código.

Cifrado de bases de datos: El cifrado transparente de datos a menudo se implementa sin documentación que indique qué algoritmos se utilizan, dónde se gestionan las claves o qué sucede cuando la versión del motor de base de datos deja de tener soporte. El cifrado a nivel de columna puede haber sido implementado de forma diferente en distintas bases de datos por diferentes equipos, sin un registro centralizado.

Bibliotecas de terceros y de código abierto: Una lista de materiales criptográficos (CBOM, por sus siglas en inglés) está diseñada para revelar estas dependencias, pero generar una CBOM requiere acceso a su código fuente, no solo al perímetro de su red. No puede obtenerse mediante un escaneo externo.

Servicios de infraestructura y en la nube: ¿Qué políticas de rotación de claves están implementadas? ¿Qué servicios utilizan qué tipo de clave? ¿Existen regiones o cargas de trabajo donde nunca se configuró el cifrado porque alguien actuó con rapidez y asumió que era la configuración predeterminada?

Sistemas de tecnología operativa (OT), Internet de las cosas (IoT) y sistemas embebidos: Los sistemas de control industrial, los dispositivos médicos y los sistemas de gestión de edificios suelen ejecutar firmware con configuraciones criptográficas predefinidas y sin posibilidad de actualización. Esta vulnerabilidad es real, a menudo grave, y casi nunca aparece en los informes de inventario convencionales.

Cada una de estas categorías representa un riesgo criptográfico que su escáner no detectó, porque nunca fue diseñado para buscar en esas áreas.

La diferencia entre buscar información criptográfica y comprenderla realmente.

Esta distinción es importante, y vale la pena ser directos al respecto.

El escaneo detecta señales. El inventario genera comprensión.

Un escáner puede indicar que un servidor con una dirección IP determinada presenta un certificado firmado con SHA-256, negocia TLS 1.3 y ofrece un conjunto de cifrado específico. Esto es útil, pero no proporciona información sobre la criptografía que protege los datos que procesa dicho servidor. Tampoco revela cómo se desarrolló la aplicación, de qué bibliotecas depende, qué claves utiliza, dónde se almacenan ni cómo se rotan.

Un inventario criptográfico completo se conecta directamente con los sistemas donde se implementa la criptografía, incluyendo el código de las aplicaciones, las bases de datos, los sistemas de gestión de configuración, los planos de control en la nube y la infraestructura de gestión de claves. Crea una visión integral desde dentro hacia fuera, en lugar de desde fuera hacia dentro.

Las organizaciones que han realizado inventarios criptográficos exhaustivos y rigurosos informan sistemáticamente que los resultados son sorprendentes. No por negligencia, sino porque la superficie criptográfica de una empresa moderna es realmente extensa, compleja y difícil de comprender sin una metodología específica.

Lo que los directivos de alto nivel deben preguntar y lo que los equipos de seguridad deben escuchar.

Para los ejecutivos y miembros del consejo de administración, el planteamiento es sencillo. Si su organización maneja datos confidenciales, como información financiera de clientes, historiales médicos, propiedad intelectual e información personal identificable, existe un riesgo criptográfico. La cuestión no es si existe ese riesgo, sino si lo comprende lo suficientemente bien como para gestionarlo.

Las preguntas correctas que debes hacer a tus responsables de seguridad no son "¿Tenemos inventario?". Las preguntas correctas son:

• ¿Qué metodología se utilizó para producirlo y dicha metodología accede a sistemas internos o solo a señales visibles en la red?
• ¿Qué porcentaje de nuestra cartera de aplicaciones se ha analizado en busca de dependencias criptográficas?
• ¿Disponemos de un CBOM (Manual de Operaciones de Software) para nuestro software desarrollado internamente y para el software de terceros?
• ¿Qué sistemas utilizan algoritmos criptográficos que...? NIST ¿Ha quedado obsoleto o está en proceso de quedar obsoleto?
• ¿Hemos evaluado nuestra exposición a ataques de recolección de datos y descifrado posterior para datos con requisitos de confidencialidad a largo plazo?
• ¿Cuál es nuestro plan para agilidad criptográfica¿Tenemos la capacidad de migrar algoritmos cuando los actuales se vuelven vulnerables y realmente lo hemos probado de principio a fin?

Si las respuestas son vagas, o si el “inventario” resulta ser un informe de certificado y un escaneo TLS, esa es información importante. Significa que el trabajo aún no se ha realizado.

Para los profesionales y arquitectos de seguridad, el mandato es aún más claro. Las herramientas y prácticas que fueron adecuadas para la última década de gestión de riesgos criptográficos no lo son para la próxima. Crear un inventario criptográfico genuino requiere conectarse directamente a esos sistemas, tratar los activos criptográficos con el mismo rigor que cualquier otra clase de activos críticos y mantener ese inventario como un artefacto vivo, en lugar de un informe puntual.

Agilidad criptográfica: la capacidad estratégica que no se puede construir sin inventario.

La agilidad criptográfica es la capacidad organizativa para identificar, priorizar y migrar implementaciones criptográficas a medida que los algoritmos quedan obsoletos, se descubren vulnerabilidades o cambian los estándares. Responde a la pregunta: cuando necesitamos migrar de RSA-2048 a un algoritmo postcuántico, ¿con qué rapidez podemos hacerlo y en cuántos sistemas?

La respuesta a esa pregunta depende completamente de qué tan bien comprenda su entorno criptográfico actual. Las organizaciones que han invertido en un inventario genuino y completo cuentan con una ruta de migración. Saben qué sistemas deben cambiar, en qué orden y con qué dependencias. Pueden elaborar una hoja de ruta, estimar el esfuerzo, realizar un seguimiento del progreso y demostrar el cumplimiento ante auditores y reguladores.

Las organizaciones que dependen de inventarios incompletos basados ​​en escaneos se enfrentan a una situación diferente. A medida que se acercan los plazos regulatorios, los algoritmos quedan obsoletos y las amenazas cuánticas siguen evolucionando, deberán identificar dependencias criptográficas bajo presión de tiempo mientras intentan solucionarlas simultáneamente. Este es un enfoque costoso, arriesgado e innecesario para la migración criptográfica.

Invertir en un inventario criptográfico fiable no se limita al cumplimiento normativo. Se trata de la capacidad operativa para gestionar el riesgo criptográfico en el futuro, actuar con rapidez cuando cambien los requisitos criptográficos y demostrar a los reguladores, clientes y socios que su organización comprende y controla su entorno criptográfico.

Un punto de partida práctico

El camino a seguir no es tan complicado como podría parecer por su alcance, pero sí requiere honestidad sobre el punto de partida.

El primer paso consiste en aceptar que lo que la mayoría de las organizaciones poseen actualmente no es un inventario en el sentido estricto de la palabra. Se trata de una visión parcial de un subconjunto de señales criptográficas. Este es un punto de partida, pero confundirlo con una visión integral es donde reside el verdadero riesgo.

A partir de ahí, el trabajo consiste en definir el alcance real del entorno criptográfico: qué aplicaciones existen, qué sistemas almacenan datos confidenciales, qué componentes de la infraestructura tienen configuraciones criptográficas y qué integraciones de terceros generan dependencias. Este ejercicio de definición del alcance es valioso por sí solo, ya que permite visualizar la magnitud real del problema.

Luego viene el trabajo sistemático de conectarse a esos sistemas, no examinándolos desde fuera, sino integrándose con las fuentes de información fidedignas sobre cómo se configura e implementa la criptografía: repositorios de código, bases de datos de gestión de configuración, API en la nube, sistemas de gestión de claves , configuraciones de bases de datos e inventarios de aplicaciones. Cada conexión amplía la precisión de la información.

El resultado es un inventario que realmente puede respaldar la toma de decisiones: priorizado por riesgo, adaptado al contexto empresarial, útil para la planificación de medidas correctivas y defendible ante auditores y reguladores.

Cómo puede ayudar la consultoría de cifrado

Encryption Consulting ofrece una visión completa. Nuestro programa integral de preparación para la criptografía postcuántica (PQC) lleva a las organizaciones desde los puntos ciegos hasta la plena preparación para la migración mediante un enfoque estructurado de tres pilares: descubrir qué tienen, comprender qué significa y construir el camino para solucionarlo.

Pilar 1: Solución segura CBOM: sepa lo que tiene.

No se puede proteger lo que no se ve. La solución de Lista de Materiales Criptográficos (CBOM) de Encryption Consulting analiza en profundidad su entorno para identificar todas las dependencias criptográficas en sus aplicaciones, bibliotecas, infraestructura y canalizaciones, generando un inventario estructurado y legible por máquina, vinculado al contexto real del sistema.

A diferencia de los escaneos que solo capturan señales visibles en la red, nuestra solución CBOM se conecta directamente a sus repositorios de código fuente, flujos de compilación, imágenes de contenedores, manifiestos de paquetes y configuraciones en la nube. El resultado es un CBOM dinámico que documenta cada algoritmo criptográfico en uso, incluso aquellos ocultos en una biblioteca de terceros que nadie en su equipo ha revisado en años.

Lo que garantiza la seguridad no es solo la exhaustividad del inventario, sino también cómo lo gestionamos. Los datos de CBOM revelan con precisión dónde se encuentran sus vulnerabilidades, lo que los convierte en información sensible por definición. Nuestro modelo de entrega asegura que el inventario permanezca bajo su control, integrado en sus herramientas de seguridad existentes, y no expuesto a través de paneles compartidos o portales de terceros con prácticas de gestión de datos poco claras.

El CBOM se convierte en el fundamento sobre el que se construye todo lo demás. Sin él, cualquier evaluación de PQC es una mera conjetura. Con él, cada decisión posterior (priorización, secuencia de migración, informes de cumplimiento) se basa en hechos.

Pilar 2: Evaluación PQC – Entienda su significado

Tener un inventario no es lo mismo que comprender el riesgo. La evaluación PQC de Encryption Consulting toma su CBOM y la evalúa en función de lo que importa: los estándares post-cuánticos finalizados del NIST ( FIPS 203 /ML-KEM, FIPS 204 /ML-DSA, FIPS 205 /SLH-DSA), las directrices de migración actuales de CISA y NSA, los marcos regulatorios aplicables (requisito 12.3.3 de PCI DSS 4.0, NSM-10, CMMC, HIPAA) y el perfil de amenazas específico de su organización y los datos que protege.

Esta evaluación responde a las preguntas que su junta directiva y su comité de auditoría ya están empezando a plantearse:

• ¿Cuáles de nuestros sistemas utilizan criptografía que las computadoras cuánticas podrán descifrar?
• ¿Dónde reside nuestra mayor vulnerabilidad ante el modelo de "recopilar datos ahora y descifrarlos después", concretamente en aquellos datos que, si se descifraran dentro de unos años, seguirían causando graves daños?
• ¿Qué sistemas deben actuar primero y cuáles pueden esperar?
• ¿Cómo se manifiesta realmente la complejidad de nuestra migración en todo nuestro portafolio de aplicaciones e infraestructura?
• ¿En qué situación nos encontramos con respecto a las obligaciones regulatorias y qué deficiencias debemos subsanar antes del próximo ciclo de auditoría?

El resultado no es una hoja de cálculo con vulnerabilidades. Se trata de una evaluación priorizada según el riesgo y contextualizada para el negocio, que indica a los equipos técnicos dónde deben centrarse y proporciona a la dirección la información necesaria para comprender por qué este trabajo es importante y qué se requiere para llevarlo a cabo.

Pilar 3: Apoyo a la implementación de PQC – Construyendo el camino a seguir

Una evaluación sin ejecución no es más que documentación costosa. El soporte de implementación de Encryption Consulting toma la hoja de ruta priorizada de su evaluación y la convierte en criptografía postcuántica funcional, implementada, integrada en sus sistemas reales, probada y validada.

Nuestro trabajo de implementación abarca todo el ciclo de vida de la migración:

• Orientación sobre la selección e integración de algoritmos: Implementar los algoritmos aprobados por el NIST adecuados para cada caso de uso, teniendo plenamente en cuenta las características de rendimiento, las implicaciones clave para la gestión y los requisitos de interoperabilidad.
• Implementación de criptografía híbrida: Gestionar el período de transición en el que los sistemas deben admitir algoritmos clásicos y post-cuánticos simultáneamente, para garantizar la compatibilidad con versiones anteriores de socios y sistemas que no controlas.
• Modernización de la gestión de claves y de la infraestructura de clave pública (PKI): Actualizar la infraestructura que gestiona sus claves para que sea segura frente a la computación cuántica desde la base, no solo en la capa de cifrado.
• Arquitectura de agilidad criptográfica: Diseñar sistemas y procesos de manera que la migración de algoritmos sea un evento operativo, no un programa de emergencia de varios años, cuando se produzca el próximo cambio.
• Validación y evidencia de cumplimiento: Documentación lista para auditoría, resultados de pruebas y certificación que demuestre que su migración a PQC es real, completa y se mantiene.

La razón por la que las organizaciones tienen dificultades para prepararse para la implementación de PQC no es la falta de conocimiento. Lo que escasea es la capacidad operativa para pasar del conocimiento a la acción en un entorno empresarial real, con sistemas reales, limitaciones reales y plazos reales. Esa es la brecha que cubre Encryption Consulting.

Conclusión

El entorno de amenazas criptográficas ha cambiado. El marco regulatorio ha cambiado. Las herramientas y prácticas que resultaron eficaces para el sector durante la última década ya no son suficientes para afrontar los retos que se avecinan.

La computación cuántica ya no es el escenario de ciencia ficción lejano que parecía hace cinco años. Los estándares post-cuánticos del NIST están finalizados. El tiempo de transición está en marcha. Los adversarios estatales están extrayendo activamente datos cifrados. Los reguladores están planteando preguntas más complejas. Y las organizaciones que logren superar este desafío con éxito serán aquellas que inviertan ahora en comprender con precisión dónde residen todas sus dependencias criptográficas, no solo las visibles desde el borde de la red.

El escáner no es el enemigo. Es una herramienta útil a la que se le pide que haga algo para lo que nunca fue diseñado. El error no está en usar el escáner, sino en detenerse ahí y llamarlo inventario.

Su postura criptográfica es uno de los elementos fundamentales de su arquitectura de seguridad. Trátela como tal. Elabore un inventario que refleje la realidad, no uno que parezca completo en un informe.