¿Las redes documentadas son más fáciles de atacar? ¿Son las redes indocumentadas más fáciles de proteger?

Si su red no está documentada, entonces no sabe qué son todas las partes, cómo están configuradas o cómo interactúan. Eso, a su vez, significa que no puede hacer ninguna de estas cosas cruciales de manera confiable:

• hacer una evaluación completa del riesgo
• identificar los controles necesarios
• implementar esos controles completamente
• mida los controles para confirmar que están funcionando
• supervisa la red para que puedas detectar ataques

Vamos a hacer un ejemplo. Al abrir ISO 27002: 2013 al azar, encontramos 12.4.3, "Las actividades del administrador del sistema y del operador deben registrarse y los registros deben protegerse y revisarse periódicamente".

Si no tiene la red documentada, es posible que tenga dispositivos en funcionamiento que desconoce. Por lo tanto, no tiene forma de saber si tienen registros que necesitan supervisión, no tiene forma de revisar esos registros, no hay forma de verificar que está revisando los registros, etc. etc.

Esto podría explicarse mejor con un ejemplo: parcheo de servidores. En cualquier red de tamaño decente es probable que tengas una gran cantidad de servidores. Algunas aplicaciones en ejecución, otras como infraestructura de red, como firewalls, enrutadores, etc. Todos estos ejecutan una gran cantidad de software. Este software está destinado a tener errores de vez en cuando. Si no sabe qué servicios está ejecutando, no hay forma de parchear estos agujeros de seguridad.

Sin embargo, un atacante puede obtener una visión general bastante buena incluso a través de su red no documentada, por ejemplo, mediante un escáner de red (una herramienta que identifica automáticamente los servidores en una red). El atacante puede explotar errores conocidos en el software no parcheado que está ejecutando y, por lo tanto, tomar el control de los servidores de su red.