Una apuesta de 250 millones de dólares a que probar no es un acontecimiento

Snehal Antani, que fundó Horizon3 en 2019 junto a Anthony Pillitiere tras haber trabajado ambos en el Joint Special Operations Command, describió el hito en términos de permiso ganado más que de tecnología. La compañía inventó el concepto de piratas informáticos con inteligencia artificial, dijo, y dedicó seis años a ganarse el derecho a probar de forma autónoma las redes más críticas. El 3 de agosto la empresa anunció una serie E de 250 millones de dólares con una valoración superior a 2.000 millones, colíderada por sus inversores previos NightDragon y NEA, con la entrada de Acrew, Blue Cloud Ventures, EDBI, Demeter Group, PSG, SAIC y Sapphire, junto a respaldos existentes como Craft Ventures, Prosperity7 Ventures, Qualcomm Ventures, Ridge Ventures y SignalFire.

Las cifras que hay detrás describen una categoría que se revaloriza y no solo una compañía que va bien. Horizon3 declara ingresos recurrentes anuales cercanos a 100 millones de dólares con un crecimiento del 120 por ciento interanual, más de 7.000 organizaciones protegidas, cuatro clientes del Fortune 10 y 310.000 pruebas ejecutadas dentro de entornos de producción en marcha. Dave DeWalt, fundador de NightDragon y antes máximo responsable de FireEye y McAfee, entra en el consejo junto al director gerente de NightDragon, Morgan Kyauk. La compañía abrió oficina en Ámsterdam en junio y se extiende a Australia y Singapur.

Qué exige realmente la norma europea, y con qué frecuencia

El Reglamento de Resiliencia Operativa Digital fija la cadencia precisamente para las entidades con más probabilidad de comprar este producto. Los artículos 26 y 27 obligan a las entidades financieras designadas a realizar pruebas avanzadas de resiliencia mediante intrusión guiada por amenazas al menos cada tres años. Solo quedan sujetas las consideradas significativas y con sistemas suficientemente maduros, y los estándares se desarrollaron en línea con el marco TIBER-EU, actualizado el 11 de febrero de 2025 para ajustarse a las normas técnicas de regulación adoptadas bajo DORA.

Conviene fijar dos detalles antes de cualquier conversación presupuestaria. Primero, las entidades financieras se rigen por DORA y no por NIS2, porque el artículo 4 de NIS2 cede ante el régimen más específico, y las empresas planifican con frecuencia contra el equivocado. Segundo, la cadencia es un suelo y no un objetivo. DORA se aplica desde enero de 2025, de modo que un ciclo de tres años coloca la primera prueba completa guiada por amenazas hacia enero de 2028 para las entidades incluidas desde el principio, unos dieciocho meses desde ahora. El Reino Unido opera su propio esquema guiado por amenazas para las grandes entidades con una filosofía comparable.

El documento y el control se están separando

Aquí está la tensión que la ronda deja al descubierto. Una prueba de intrusión guiada por amenazas se dirige con inteligencia, la ejecutan personas expertas contra un objetivo acotado y produce un documento que satisface a un supervisor. Las pruebas automatizadas continuas producen otra cosa: una medición rodante de la exposición explotable. Matt Hartley, director comercial de Horizon3, sostiene que un encargo convencional examina solo un dos o tres por ciento de una red una vez al año, mientras que una plataforma autónoma puede cubrir todo el patrimonio de forma continua sin detener la producción. Es la formulación de un proveedor sobre su propia ventaja y debe leerse así, pero la observación de fondo sobre el muestreo no resulta polémica entre quienes encargan estas pruebas.

El contrapeso honesto es que la automatización no sustituye lo que hace valiosa una prueba guiada por amenazas. Esas pruebas se construyen sobre inteligencia acerca de quién atacaría de forma plausible a esa institución concreta y cómo, y un buen equipo de ataque inventa rutas que ningún escáner enumera. No son sustitutos, y quien cancele su equipo humano porque compró una plataforma autónoma ha entendido mal ambas cosas. Lo que sí cambia es el significado del certificado trienal. Aprobar en 2028 dice que el patrimonio resistió un ataque acotado y dirigido por inteligencia en unas fechas concretas. No dice nada de los mil días a cada lado, y el mercado acaba de poner 250 millones de dólares detrás de la idea de que ahí es donde vive la exposición.

Qué cambiar en el próximo ciclo de pruebas

Empiece por escribir qué régimen le obliga y en qué fecha vence su próxima prueba guiada por amenazas. Suena elemental y es el paso que más se omite, porque la responsabilidad de la respuesta suele quedar entre una función de cumplimiento que conoce el plazo y una función de seguridad que conoce el patrimonio. Si su entidad está incluida y DORA le aplica desde enero de 2025, trabaje hacia atrás desde principios de 2028 y tenga presente que el alcance y la fase de inteligencia empiezan muchos meses antes de la prueba.

Trate después ambas actividades como partidas separadas con propósitos separados. La prueba regulada es un entregable con fecha, un alcance acordado con el supervisor y una fase de inteligencia, y debe presupuestarse como proyecto. Las pruebas continuas son un control operativo, y la pregunta al proveedor no es cuántos hallazgos produce sino con qué rapidez aparece en sus resultados un activo recién expuesto y cómo se comporta frente a producción en marcha. Pida también el historial de fallos y no solo el recuento de pruebas sin incidencias. Una plataforma que ha ejecutado cientos de miles de pruebas en producción tiene una historia de seguridad que merece examen detallado antes de tocar su núcleo bancario.

Leer a continuación: 45.601 fallos y solo 171 se están usando  |  Un solo mensaje alcanzó las claves SSH