CIS Control 9: Correo y navegador, blindar las dos puertas más usadas

El noveno Control CIS es de una lógica aplastante: si la mayoría de los ataques llegan a tus usuarios por dos canales —el correo y el navegador web—, refuerza específicamente esos dos. Son las puertas por donde la gente trabaja todo el día, y por eso son las puertas por donde los atacantes prefieren entrar: un correo de phishing con un adjunto malicioso, un enlace a una web trampa, una descarga envenenada. El Control 9 pone defensas donde de verdad ocurre el ataque.

Por qué estas dos puertas

El atacante busca el camino de menor resistencia, y ese camino casi siempre pasa por una persona haciendo algo cotidiano: abrir un correo, hacer clic en un enlace. No tiene que vencer tu firewall si consigue que un empleado abra la puerta desde dentro. El correo es el vehículo número uno del phishing y del malware; el navegador es la vía para sitios maliciosos, descargas engañosas y scripts dañinos. Blindar estos canales ataca el riesgo donde es mayor, en lugar de gastar todo el esfuerzo en perímetros que el atacante ni intenta.

Qué pide en la práctica

• Del lado del correo: filtrado antispam y antiphishing, análisis de adjuntos y enlaces, y la autenticación (SPF, DKIM, DMARC) que dificulta la suplantación de dominios. Se apoya en el flujo que explicamos en el viaje de un correo.
• Del lado del navegador: bloqueo de sitios maliciosos conocidos, control de extensiones, filtrado de contenido y mantener el navegador actualizado (es software crítico expuesto a internet).
• Reducir lo ejecutable: limitar tipos de adjuntos peligrosos y scripts que se ejecutan sin control.

¿Qué salvaguardas incluye el Control 9 en CIS v8?

Son 7 salvaguardas.

CIS agrupa las salvaguardas en tres grupos de implementación. IG1 es la higiene básica que recomienda para cualquier organización; IG2 suma lo necesario para empresas con más sistemas, personal de TI y datos sensibles; IG3 completa el control para organizaciones con requisitos de seguridad altos.

• IG1 (9.1 y 9.2): usar solo navegadores y clientes de correo con soporte vigente del fabricante, y usar un servicio de filtrado DNS que bloquee dominios maliciosos conocidos.
• IG2 (9.3 a 9.6): filtros de URL a nivel de red; restringir las extensiones de navegador y complementos de correo no autorizados; implementar DMARC en tus dominios; y bloquear los tipos de archivo innecesarios en adjuntos.
• IG3 (9.7): protección antimalware en el propio servidor de correo.

Llama la atención que el filtrado DNS esté en IG1: CIS lo considera higiene básica, porque con una configuración sencilla bloquea el acceso a una gran parte de los sitios de phishing y de distribución de malware.

¿Cómo se implementa DMARC sin bloquear tu propio correo?

DMARC le dice a los servidores de destino qué hacer con los correos que dicen venir de tu dominio y no pasan las validaciones SPF y DKIM. Activarlo de golpe en modo de rechazo puede mandar a spam correos legítimos de sistemas que nadie tenía identificados. El camino seguro tiene tres etapas:

1. Monitoreo (p=none): no bloquea nada y te manda reportes de quién envía correo a nombre de tu dominio. Aquí aparecen el sistema de facturación, la plataforma de marketing o el escáner que manda PDFs.
2. Cuarentena (p=quarantine): una vez autorizados todos los remitentes legítimos, lo que no pasa se va a spam.
3. Rechazo (p=reject): lo que no pasa se rechaza. Es el objetivo, y es lo que impide que alguien suplante tu dominio para engañar a tus clientes.

¿Qué evidencia pide un auditor para el Control 9?

Si tu empresa busca SOC 2 o ISO 27001, este control no se trabaja dos veces. En la ISO 27001:2022 corresponde a los controles 8.23 (filtrado web) y 8.7 (protección contra malware), además de las reglas de transferencia de información por correo del control 5.14. La evidencia que normalmente se revisa:

• La configuración del filtrado DNS o web y los reportes de sitios bloqueados.
• Los registros SPF, DKIM y DMARC publicados del dominio y los reportes de DMARC.
• La política de tipos de archivo bloqueados en correo.
• El inventario de versiones de navegador y la política de extensiones permitidas.
• Las reglas del filtro antiphishing y los reportes de mensajes detenidos.

Tener esto organizado desde el principio es lo que convierte el control en algo que se puede demostrar, no solo afirmar. La diferencia entre ambos marcos la explicamos en SOC 2 vs ISO 27001.

El aterrizaje honesto

Ninguna defensa técnica de correo o navegador es perfecta, porque el eslabón que estos ataques buscan es humano: convencer a la persona. Por eso este control es inseparable de la concientización (Control 14): la tecnología filtra la mayoría, y la persona informada atrapa lo que se cuela. Juntos son mucho más que por separado. Blindar estas dos puertas no elimina el riesgo, pero lo reduce drásticamente, precisamente porque las cierra donde el atacante más toca.