En agosto media plantilla está fuera, los comités se espacian y las aprobaciones tardan. Lo que no baja el ritmo son los sistemas. El correo sigue recibiendo, las integraciones siguen ejecutándose y el acceso remoto sigue escuchando. Esa asimetría, organización a medio gas y tecnología a pleno funcionamiento, es exactamente lo que necesita quien ataca.
¿Por qué agosto aumenta el riesgo?
Conviene decirlo sin dramatismo. La ventaja del verano no es técnica. Los ataques de agosto no son más sofisticados que los de marzo. Lo que cambia es el tiempo de reacción. Quien habría notado el movimiento raro está de vacaciones, la decisión de aislar un sistema espera a que alguien conteste el teléfono y el proveedor que da soporte también tiene su plantilla en mínimos. Quien entra en un sistema en agosto dispone de algo que escasea el resto del año, días enteros sin que nadie mire.
El contexto de fondo no da tregua. Los incidentes gestionados por los organismos de respuesta crecen año tras año y el fraude en línea es la categoría que más escala. La curva sube siempre. Lo único que baja en agosto es la capacidad de responder a ella.
En agosto no aumentan los ataques sofisticados. Aumenta el tiempo que nadie mira.
¿Qué debe comprobar auditoría interna antes de agosto?
Para un equipo de auditoría interna esto no es una anécdota estacional. Es una ventana de exposición que se repite todos los años en las mismas fechas, que nadie tiene asignada y que se puede revisar antes de que llegue. Cuatro comprobaciones caben en una mañana y dejan evidencia para el expediente.
- Una guardia con nombre. Si salta algo el 15 de agosto, a quién se llama. Una persona, un suplente y sus canales, con la fecha de la última vez que se probó el escalado. Sin esto, lo demás llega tarde.
- Segundo factor en correo y acceso remoto. El correo es la puerta por la que entra casi todo engaño, y en verano se lee desde el móvil y con prisa. La prueba es la cobertura real sobre el censo, no la política.
- Las cuentas de quien ya no está. Las salidas de junio y julio son el clásico de agosto. Cruza las bajas del trimestre con los accesos activos, incluidas las cuentas de proveedor y las de servicio.
- Acceso remoto mínimo durante el periodo. Lo que nadie va a usar, apagado, y el acceso permanente del proveedor convertido en acceso bajo petición. Es la diferencia entre una puerta cerrada y una entornada.
¿Cuánto cuesta esta revisión?
Ninguna pide presupuesto. Piden media mañana y saber quién puede entrar, que es una pregunta de gobierno y no de informática. Si al repasarla aparece que esa lista no existe con la población completa, ese es el verdadero hallazgo del verano, y el ciclo de vida del acceso es donde se ordena, como se explica en altas, bajas y recertificación.
