En resumen
Francia construyó la defensa más sofisticada de su época. Los alemanes la rodearon. En las empresas, este error se repite todos los días: diez guardias en la recepción y la puerta trasera sin candado.
Por qué importa
Un sistema de seguridad de un solo obstáculo no es un sistema. Es una apuesta a que el adversario atacará exactamente donde tú esperas.
En 1936, Francia completó la Línea Maginot: una cadena de fortificaciones subterráneas, bunkers, trampas y posiciones artilladas a lo largo de toda la frontera con Alemania. Era, por cualquier métrica de la época, impenetrable.
En mayo de 1940, el ejército alemán la ignoró completamente. Avanzó por Bélgica, rodeó las defensas por el norte y tomó Francia en seis semanas.
La Línea Maginot no falló porque fuera débil. Falló porque era lineal. Estaba diseñada para defender una amenaza que atacaría exactamente donde la defensa estaba concentrada. El adversario simplemente eligió otro camino.
En seguridad corporativa, este error se comete todos los días.
La Línea Maginot en tu empresa
La versión corporativa de la Línea Maginot tiene muchas formas. El edificio con control biométrico en la entrada principal y ventanas sin alarma en el primer piso. El sistema de cámaras que cubre el almacén principal pero no el área de carga. El proceso de aprobación de pagos con cuatro firmas para montos grandes y ninguna verificación para los pequeños que se acumulan.
En todos estos casos, la organización invirtió recursos significativos en una defensa que el adversario simplemente rodea. No porque sea sofisticado. Sino porque cualquier persona con conocimiento básico de la operación puede ver dónde está la defensa y dónde no.
El Diagrama de Secuencia de Adversario
Una herramienta que uso regularmente en auditorías de seguridad es el Diagrama de Secuencia de Adversario: un mapa de las rutas que un infractor potencial podría tomar para llegar a un objetivo específico, considerando todos los puntos de acceso posibles, no solo los obvios.
El ejercicio es simple pero revelador. Elige un activo de alto valor. Luego pregunta: ¿cuántas rutas distintas existen para llegar a él? No solo la ruta principal. Las rutas secundarias, los accesos de servicio, los puntos donde dos áreas se conectan sin control, los momentos del día en que la supervisión es menor.
Herramientas profesionales
Explora las herramientas creadas para fortalecer la seguridad y la prevención en las organizaciones.
- ▸Ruta principal: la que los controles están diseñados para proteger.
- ▸Rutas secundarias: accesos de servicio, áreas de carga, salidas de emergencia.
- ▸Rutas internas: movimientos dentro del perímetro que no requieren cruzar controles externos.
- ▸Rutas temporales: momentos en que los controles normales están desactivados (mantenimiento, emergencias, cambios de turno).
- ▸Rutas adyacentes: accesos desde propiedades vecinas, techos compartidos, estacionamientos.
El infractor no ataca donde la defensa es más fuerte. Ataca donde la defensa es más débil. Si no sabes dónde es más débil, él sí lo sabe.
Defensa en profundidad: capas, no líneas
La alternativa a la seguridad lineal es la defensa en profundidad: múltiples capas de control que el adversario debe superar secuencialmente, donde cada capa asume que la anterior puede ser comprometida.
Las cuatro funciones de la defensa en profundidad son disuadir, detectar, demorar y denegar. Un sistema maduro tiene controles en cada una de estas funciones, no solo en la última.
- ▸Disuadir: hacer visible que hay controles, reduciendo la probabilidad de que el intento ocurra.
- ▸Detectar: identificar el intento en el momento en que ocurre, no después.
- ▸Demorar: ralentizar el avance del adversario para dar tiempo a la respuesta.
- ▸Denegar: impedir físicamente el acceso al objetivo final.
Un sistema con solo la función de denegar —la puerta blindada, el candado de alta seguridad— es una Línea Maginot. Funciona perfectamente contra el adversario que ataca exactamente donde está diseñado para resistir. Y falla completamente contra el que elige otro camino.
Cómo hacer el ejercicio en tu operación
- ▸Elige los tres activos de mayor valor en tu operación.
- ▸Para cada uno, mapea todas las rutas posibles de acceso — no solo las obvias.
- ▸Identifica en cuáles de esas rutas no hay ningún control activo.
- ▸Evalúa si tus controles actuales tienen las cuatro funciones: disuadir, detectar, demorar, denegar.
- ▸Prioriza las rutas sin control sobre las rutas con control insuficiente.
Formación profesional
Diplomado en Criminología Corporativa
Lleva lo que lees a la práctica. Formación ejecutiva en protección de activos, investigaciones y gestión de riesgos.
José Luis Prieto Montes
LinkedInCPP · PCI · PSP
Básicamente hago lo mismo que Batman: protejo a la gente y los activos, investigo incidentes y me adelanto a las amenazas… solo que en seguridad corporativa.
Profundiza · Más lectura
¿Qué opinas tú?
Este tema tiene más de una perspectiva válida. Comparte tu experiencia, un caso que hayas visto, o un punto de vista que cuestione lo que está escrito aquí. Las mejores ideas en seguridad corporativa vienen del campo — y ahí es donde estás tú.