En un despacho de abogados de tamaño mediano, la primera evidencia de un problema llegó por una conversación aparentemente banal. El cliente de una operación de fusión comentó, por teléfono, que la otra parte parecía conocer con precisión incómoda el límite de concesión definido días antes en una reunión interna. Ningún sistema se había caído, ningún archivo estaba cifrado y ninguna alerta de seguridad se había disparado en las semanas anteriores. La investigación mostró que la credencial legítima de un socio venía siendo usada por otra persona desde hacía siete semanas, con lectura silenciosa de la carpeta que concentraba toda la negociación.
Ese intervalo entre el compromiso inicial de un acceso y la contención efectiva de ese acceso tiene nombre técnico, dwell time (tiempo de permanencia del atacante dentro del entorno), y casi siempre se trata como indicador de TI. Funciona mejor como indicador financiero, porque cada semana adicional dentro del entorno aumenta el volumen de información leída, copiada y eventualmente negociada fuera de la empresa, reduciendo en la misma proporción el poder de negociación de quien responde al incidente.
Según el Microsoft Digital Defense Report 2024, la mediana entre el clic de un usuario en un correo electrónico fraudulento y el inicio del movimiento del atacante por la red corporativa es de aproximadamente 72 minutos. Del otro lado de la línea de tiempo, el IBM Cost of a Data Breach Report señala un promedio cercano a 258 días entre la violación inicial y la contención completa. Entre esos dos números existe un vacío de meses, y es dentro de ese vacío que el problema deja de ser técnico y pasa a ser comercial.
Lo que ocurre dentro del intervalo que nadie está midiendo
Lo que hace que ese intervalo sea tan largo es la naturaleza del acceso utilizado. Cuando alguien entra con contraseña válida, autenticación aprobada y horario compatible con la rutina de ese usuario, el entorno no registra una intrusión, registra trabajo en curso. El Microsoft Digital Defense Report 2024 contabiliza más de 600 millones de ataques a identidades por día, y la mayor parte de ellos busca exactamente eso, un gafete prestado en lugar de una puerta forzada. A partir de ahí, el comportamiento del intruso se confunde con el de un profesional dedicado que abre muchos documentos.
Es por esa razón que las capas adicionales de prevención reducen la probabilidad de entrada sin acortar el tiempo de permanencia. Los filtros de correo electrónico, la segmentación de red y la autenticación multifactor funcionan como puertas y cerraduras, decidiendo quién pasa en un instante específico, mientras que el dwell time está determinado por la observación continua y por la decisión humana después de que alguien ya pasó. Una empresa puede ampliar de forma consistente su inversión en bloqueo y mantener prácticamente inalterado el número de semanas que un acceso indebido sobrevive dentro del entorno.
El costo de un ataque que no interrumpe nada es justamente el más difícil de ver en el presupuesto. En un despacho jurídico, el activo en riesgo no aparece en el balance, ya que se trata de la confidencialidad de un litigio, de la estrategia de un due diligence (auditoría previa de una empresa antes de una adquisición) y de la confianza de clientes que entregaron su información más sensible a terceros. Cuando esa información circula fuera del control de la firma, la pérdida se materializa en mandatos que no se renuevan, en cláusulas de confidencialidad incumplidas y en conversaciones incómodas con el comité jurídico del cliente.
Cómo tratar el tiempo de permanencia como métrica de negocio
La conversación cambia de calidad cuando el gestor deja de preguntar qué herramientas están instaladas y pasa a exigir tres números con fecha y responsable. El primero es el MTTD (Mean Time To Detect, tiempo medio hasta la detección), que mide cuánto toma entre el evento y la percepción de que existe. El segundo es el tiempo de decisión, que mide cuánto toma entre la percepción y la autorización formal para actuar. El tercero es el MTTC (Mean Time To Contain, tiempo medio hasta la contención), que cierra el ciclo y revela la madurez real de la operación.
El segundo movimiento es exigir caza activa, o threat hunting (búsqueda deliberada de indicios de compromiso sin alerta previa), como entrega contratada y medible, con reporte de las hipótesis probadas en cada período. Vale preguntar al proveedor cuántas investigaciones se abrieron sin alerta automatizada en el trimestre anterior, porque ese número separa a quien solo opera un panel de quien efectivamente busca. Capacidades de inteligencia de amenazas aplicadas a su contexto hacen que esa búsqueda sea específica, orientada por cómo vienen actuando los atacantes contra empresas de su tamaño y de su sector.
Por último, verifique dos condiciones que sostienen todo lo demás. La retención de registros de actividad necesita cubrir un período mayor que el dwell time que usted considera plausible, so pena de investigar un intervalo sin evidencia disponible, y la telemetría de identidad necesita acompañar el comportamiento a lo largo del tiempo, más allá del momento del inicio de sesión. Un servicio de ciberseguridad gestionada con monitoreo continuo ofrece ese respaldo al equipo interno, que sigue siendo dueño del contexto del negocio y de las prioridades.
5 preguntas que todo gestor debería hacer
1. Si una credencial legítima de mi empresa estuviera siendo usada por otra persona en este momento, ¿cuánto tiempo pasaría hasta que alguien lo notara, y quién exactamente lo notaría? 2. ¿Cuál es el costo real de un ataque que no interrumpe nada, sin sistemas caídos y sin archivos cifrados, solo información confidencial de clientes circulando fuera de mi control? 3. ¿Por qué las inversiones crecientes en prevención no acortan el intervalo entre la intrusión y la contención? 4. ¿Quién tiene autoridad formal para aislar una máquina, revocar una sesión o bloquear la cuenta de un socio en plena semana de cierre? 5. ¿Cómo demuestra un líder de TI interno al socio o al C-level que el riesgo bajó, usando métricas de tiempo en lugar de conteo de herramientas?
Si una credencial legítima de mi empresa estuviera siendo usada por otra persona en este momento, ¿cuánto tiempo pasaría hasta que alguien lo notara, y quién exactamente lo notaría?
La pregunta parece técnica y funciona, en la práctica, como una prueba de diseño organizacional. En la mayoría de las empresas de 5 a 5.000 empleados, la respuesta honesta es que nadie lo notaría espontáneamente, porque la percepción depende de comparar el comportamiento actual de una cuenta con su patrón histórico, tarea que ningún profesional ejecuta manualmente a escala.
La segunda mitad de la pregunta importa tanto como la primera. Si la respuesta es el equipo de TI, confirme si esa expectativa está escrita en algún lugar o si es apenas una suposición compartida, porque una responsabilidad no asignada formalmente tiende a convertirse en responsabilidad de nadie en el momento del incidente.
¿Cuál es el costo real de un ataque que no interrumpe nada, solo información confidencial de clientes circulando fuera de mi control?
El costo aparece desplazado en el tiempo y en rubros que rara vez se asocian con la seguridad, como honorarios jurídicos, primas de seguro, descuentos otorgados para retener a un cliente molesto e ingresos futuros que simplemente no se materializan. En una firma que vive de la confidencialidad, una sola filtración de estrategia procesal puede terminar una relación construida a lo largo de una década.
También está el costo regulatorio y contractual. Los contratos con grandes clientes suelen prever notificación en plazos cortos y auditorías posteriores, y la incapacidad de demostrar cuándo comenzó el acceso transforma un evento manejable en una negociación en posición desfavorable.
¿Por qué las inversiones crecientes en prevención no acortan el intervalo entre la intrusión y la contención?
La prevención actúa sobre la probabilidad de que un evento ocurra, mientras que el dwell time actúa sobre la consecuencia de un evento que ya ocurrió. Son dos dimensiones distintas del mismo riesgo, y comprar más capas de bloqueo mejora solo la primera, dejando la segunda dependiente de observación humana calificada y de decisión rápida.
Cuando alguien pasa a buscar activamente señales débiles, la lógica se invierte. La operación deja de esperar que un comportamiento supere un umbral y pasa a formular hipótesis sobre cómo actuaría un atacante en ese entorno específico, probando cada una de ellas contra los datos disponibles.
¿Quién tiene autoridad formal para aislar una máquina, revocar una sesión o bloquear la cuenta de un socio en plena semana de cierre?
Esa es la pregunta que más incomodidad genera en los comités ejecutivos, y también la que más reduce el tiempo de contención cuando se responde por escrito. Sin una atribución definida, el técnico que percibe el problema duda ante la jerarquía, y la duda cuesta horas de acceso adicional a quien está dentro del entorno.
La recomendación práctica es crear una matriz con tres niveles de acción, delimitando lo que puede ejecutarse de inmediato, lo que exige aprobación de un responsable designado y lo que exige decisión colegiada, con plazo máximo para cada nivel. Pruebe ese diseño en un ejercicio simulado antes de necesitarlo.
¿Cómo demostrar al socio o al C-level que el riesgo bajó, usando métricas de tiempo en lugar de conteo de herramientas?
Presente una serie histórica con tres curvas, tiempo de detección, tiempo de decisión y tiempo de contención, medidas trimestre a trimestre. Una caída consistente en esas curvas comunica reducción de exposición de una manera que el liderazgo entiende, porque dialoga con la misma lógica de cualquier indicador operativo seguido por el consejo.
Complemente con dos datos de contexto, el número de investigaciones iniciadas sin alerta automatizada y la ventana de retención de registros en relación con el dwell time considerado plausible. Ese conjunto transforma la seguridad en una conversación de gestión, con tendencia, meta y responsable definidos.
Preguntas frecuentes
¿Qué es el dwell time en seguridad de la información?
Dwell time es el intervalo entre el compromiso inicial de un acceso y la contención efectiva de ese acceso por parte de la organización. Cuanto mayor sea ese intervalo, mayor será el volumen de información leída y copiada por quien está dentro del entorno. Por eso funciona como métrica de negocio, y no solo como indicador técnico.
¿Por qué la prevención no reduce el tiempo de permanencia de un intruso?
Los controles preventivos deciden quién entra en un instante específico, actuando sobre la probabilidad del evento. El tiempo de permanencia depende de la observación continua del comportamiento de las cuentas y de una autoridad definida para actuar después de que alguien ya entró. Son capas complementarias que responden a preguntas diferentes.
¿Qué métricas debe exigir un gestor a su proveedor de detección y respuesta?
Tres números con historial y responsable, el tiempo promedio hasta la detección, el tiempo entre la detección y la autorización para actuar, y el tiempo promedio hasta la contención. Vale sumar el número de investigaciones abiertas sin alerta automatizada en el período, que indica si existe caza activa. Esas métricas revelan la madurez real mejor que cualquier lista de herramientas instaladas.
Si quiere saber cuál es el dwell time plausible de su operación antes de que un incidente lo mida por usted, converse con Zamak Technologies en un Diagnóstico Estratégico de TI, sin compromiso.