2

—Lo que ustedes tienen ahora mismo no es un sistema seguro —dijo Clara apoyando las manos sobre la mesa—. Es un sistema que aún no ha sido comprometido. La diferencia es importante —continuó—. Lo primero es una percepción, lo segundo… una cuestión de tiempo.

Uno de los hombres intercambió una breve mirada con su compañero.

—¿Y usted puede garantizar que eso no ocurra? —preguntó.

Clara negó suavemente con la cabeza.

—Nadie puede garantizar eso, pero sí podemos adelantarnos a cómo ocurriría.

—Explíquese —dijo el hombre, invitándola a continuar con un gesto cortés.

Clara giró la tableta hacia ellos, mostrando un esquema limpio y ordenado.

—Nosotros no protegemos sistemas —dijo—.

Los atacamos primero. —Pudo ver cómo los dos hombres la escudriñaban—.

Simulamos intrusiones reales, analizamos vectores de entrada, identificamos vulnerabilidades estructurales y, después, diseñamos soluciones que no solo cierran esas brechas, sino que dificultan que vuelvan a abrirse.

—¿Y qué les hace pensar que son mejores que el resto?

La pregunta llegó directa y sin rodeos.

Clara sostuvo la mirada sin dudar.

—Porque encontramos cosas que otros no buscan.

No añadió nada más, la respuesta había sido contundente.

La sala era amplia, silenciosa, con vistas a la ciudad de Barcelona a través de un ventanal que dejaba entrar una luz blanca y fría.

Era una de esas salas diseñadas para impresionar, donde cada elemento parecía colocado con una intención concreta.

En el centro, la mesa de reuniones llenaba el espacio, impecable, con apenas lo necesario: dispositivos, documentación y agua.

Al otro lado se situaban ellos, los nuevos clientes.

No eran una empresa cualquiera. Representaban a una de las principales infraestructuras tecnológicas vinculadas a redes de logística y sistemas estratégicos a nivel europeo, con presencia en varios países y una influencia lo suficientemente amplia como para que cualquier fallo en su seguridad no fuera solo un problema interno, sino un problema mayor.

Por eso estaban allí y por eso Marcos no había dudado en asignar aquel cliente a Clara.

—Según su propuesta —intervino el segundo hombre hojeando el informe—, ustedes plantean una auditoría completa de acceso a nuestros sistemas internos.

—Correcto.

—Incluyendo nodos que no están conectados a la red.

Clara asintió.

—Especialmente esos —confirmó.

El hombre alzó ligeramente una ceja.

—No suelen ser vulnerables.

—No suelen ser analizados —corrigió Clara—. Y eso los convierte en el punto perfecto para empezar.

Hubo un silencio de nuevo.

—Supongamos que aceptamos —dijo el primero—. ¿Por dónde empezaría?

Clara no necesitó pensar.

—Por lo que creen que está funcionando. Los sistemas en que más confían son los que menos se revisan y, normalmente, los que más fallos acumulan.

—¿Y cuánto tardaría en encontrar algo relevante?

—Depende de lo que consideren relevante.

—Algo que justifique esta reunión.

Clara dejó pasar un segundo.

—Menos de cuarenta y ocho horas.

No hubo arrogancia en su voz, sino certeza. Uno de ellos apoyó la espalda en la silla, cruzándose de brazos.

—Es ambicioso.

—Es realista —contestó ella directamente. Clara deslizó ligeramente la tableta hacia ellos—. Si quieren pruebas, podemos empezar con una intrusión controlada en uno de sus entornos secundarios. Sin impacto real y sin riesgo operativo.

—¿Y si lo consiguen?

—Entonces sabrán que tienen un problema.

—¿Y si no?

Clara lo miró directamente.

—Entonces no nos necesitan.

Los dos hombres intercambiaron una mirada distinta a las anteriores.

No era duda. Era cálculo.

Clara se recostó ligeramente en la silla, manteniendo la compostura, sin presionar y sin añadir nada más. No hacía falta. Aquella reunión no era para convencerlos, sino para que entendieran algo mucho más simple: que el problema ya existía y que ella solo era la primera en verlo.

—Ahora mismo su sistema no está blindado —continuó Clara, deslizando dos dedos sobre la pantalla para cambiar de esquema—.

Está segmentado, en apariencia. —Los dos hombres volvieron a inclinarse ligeramente hacia delante—.

Tienen una arquitectura por capas —añadió—, con separación entre entornos operativos y administrativos, pero la segmentación es lógica, no real.

Eso significa que, si alguien consigue acceso a un nodo intermedio, puede moverse lateralmente sin demasiadas restricciones.

Uno de ellos frunció el ceño.

—Eso no debería ser posible. Tenemos control de accesos por niveles.

—Tienen control de accesos —corrigió Clara con suavidad—.

Pero no tienen aislamiento efectivo. —Señaló un punto concreto en el esquema—.

Aquí. Sus credenciales de mantenimiento tienen privilegios acumulativos.

No están limitadas por contexto, solo por usuario.

Si alguien compromete una de esas cuentas, no necesita escalar permisos. Ya los tiene.

Hubo silencio y el segundo hombre dejó la carpeta sobre la mesa.

—Eso implicaría una brecha previa.

—No necesariamente —respondió Clara—. Puede ser un acceso legítimo mal protegido.

Phishing interno, reutilización de credenciales o incluso una mala gestión de claves.

No hace falta una intrusión compleja cuando el sistema ya permite caminos abiertos.

—Deslizó de nuevo la pantalla—. Además, su monitorización es reactiva.

Detecta anomalías después de que ocurran, no antes.

—Tenemos sistemas de alerta en tiempo real.

—Basados en firmas conocidas —replicó Clara—. Eso funciona contra ataques ya documentados, no contra vectores nuevos o adaptados.

Uno de los hombres apoyó los codos sobre la mesa.

—Entonces, según usted, ¿cómo entrarían?

Clara no dudó.

—Por el punto más silencioso. —Pulsó una vez más y apareció otro esquema más detallado—.

Acceso inicial a través de un endpoint con privilegios medios.

Movimiento lateral utilizando credenciales heredadas.

Escalada innecesaria porque el sistema ya permite tránsito entre segmentos y extracción de datos desde un nodo que no está siendo auditado en profundidad.

—¿Sin ser detectados?

—Con baja probabilidad de detección inmediata —corrigió—. Lo suficiente para obtener lo que buscan y salir antes de que el sistema reaccione.

La sala quedó en silencio unos segundos.

—¿Y qué haría usted para evitarlo? —preguntó el primero.

Clara apoyó la espalda en la silla, cruzando las manos.

—Rompería la lógica actual. —Los dos hombres la miraron con atención—. Implementaría segmentación real a nivel de red, no solo lógica. Microsegmentación con control de tráfico este-oeste. Ningún nodo debería comunicarse con otro sin validación explícita.

—Eso afectaría al rendimiento.

—Lo optimizaría después —respondió sin dudar—. La seguridad no puede depender de la comodidad operativa.

Hubo un breve silencio.

—¿Qué más?

—Modelo de confianza cero.

—¿ Zero trust ?

—Exacto. Ningún usuario, ningún dispositivo, ningún acceso se considera fiable por defecto. Validación continua, autenticación multifactor adaptativa y control de contexto en cada petición.

—Eso ya lo tenemos parcialmente implementado.

Clara negó levemente.

—No de forma efectiva. Sus accesos críticos no están condicionados por comportamiento ni por ubicación, solo por credenciales.

El segundo hombre intervino.

—¿Y la gestión de claves?

—Haremos rotación dinámica, almacenamiento en módulos seguros y eliminación de credenciales persistentes —respondió—. Ahora mismo tienen claves que llevan meses activas.

Ambos se miraron.

—Eso no debería…

—Pero ocurre —confirmó ella—. Además, introduciría sistemas de detección basados en comportamiento, no en firmas. Análisis de patrones, aprendizaje de actividad normal y alerta ante desviaciones mínimas.

—Eso genera muchos falsos positivos.

—Solo si no se entrena bien el sistema.

—¿Y la exfiltración de datos?

Clara no apartó la mirada.

—Control de salida.

—¿Puede ser más específica?

—Haremos monitorización y restricción del tráfico saliente, inspección profunda de paquetes y limitación de transferencias no autorizadas. Ahora mismo, si alguien entra puede sacar información sin demasiadas barreras.

El primero de los hombres apoyó la espalda en la silla, evaluando.

—Está asumiendo que alguien ya ha intentado entrar.

Clara sostuvo su mirada.

—Estoy asumiendo que alguien lo intentará.

Marcos, al otro lado de la mesa, no había intervenido en toda la conversación. Se limitaba a observar apoyado ligeramente en el respaldo de su silla, con una expresión contenida que Clara conocía bien: orgullo.

—¿Cuánto tiempo necesitaría para implementar todo eso? —preguntó finalmente uno de los hombres.

Clara no miró a Marcos.

—Para detectar las primeras vulnerabilidades, menos de cuarenta y ocho horas —dijo—. Para rediseñar la arquitectura, dependerá de hasta qué punto estén dispuestos a cambiar lo que ya tienen.

—¿Y usted lideraría ese proceso?

—Sí.

Los hombres se miraron de reojo.

—¿Sola?

Clara se permitió esbozar una leve sonrisa.

—No.

El silencio se alargó unos segundos más de lo necesario mientras los dos hombres se evaluaban en silencio, una última comprobación que hizo que Clara contuviera la respiración.

Uno de ellos asintió con sutileza, pero fue suficiente.

Se incorporó, se ajustó la chaqueta con un gesto limpio y tendió la mano hacia Marcos.

—Trabajaremos con ustedes.

Marcos se levantó de inmediato, estrechándole la mano con firmeza.

—Excelente decisión. —El segundo hombre también se puso en pie, recogiendo su carpeta con calma—. Tendrán el contrato listo en dos días —añadió Marcos con profesionalidad—. Nuestro equipo empezará a trabajar en cuanto lo formalicemos.