Qué cubrió siempre el término
La seguridad proactiva es anterior a todas las siglas actuales. La idea es vieja y simple: gastar esfuerzo en reducir la probabilidad de incidente, en lugar de ordenar la casa solo para responder bien cuando ocurra.
En la práctica el paraguas siempre fue amplio. Corrección de fallos antes de la explotación, endurecimiento de configuración, revisión de permisos, caza de amenazas dentro de la red, test de intrusión, formación de personas. Nada de eso tiene frontera nítida, y por eso el término envejeció sin llegar a ser categoría de producto.
Postura no es lo mismo que momento
Aquí está la confusión que creó el mercado.
Proactivo describe postura: la organización se preocupa por prevenir. Preemptivo describe momento: la acción ocurre antes de que empiece el ataque, no después de la alerta.
Una empresa puede tener una postura claramente proactiva, con programa de corrección maduro y test anual, y aun así descubrir un activo nuevo tres semanas después de que apareciera en internet. Buena postura, mal momento.
Esa distancia es la que los analistas fueron a nombrar. El término que eligieron es ciberseguridad preemptiva.
Qué cambió de verdad y qué solo cambió de nombre
Cambió la exigencia de cadencia. Un programa proactivo de los años 2010 se ejecutaba por trimestre y se consideraba bueno. Hoy eso no pasa la prueba, porque la superficie cambia cada semana y el adversario automatizó la búsqueda.
Cambió también la exigencia de validación. Antes, detectar el fallo bastaba para abrir el ticket. Ahora se pide prueba de que el fallo es alcanzable y explotable en ese activo, porque la cola creció demasiado para tratarlo todo.
No cambió el objetivo. Sigue siendo reducir la probabilidad de que alguien entre.
Por dónde empezar sin cambiar de herramienta
El primer paso de cualquier programa proactivo que quiera volverse preemptivo es el inventario de lo publicado, actualizándose solo. Sin eso, todo lo demás trabaja sobre una lista que ya está equivocada.
El segundo es dejar de ordenar la cola solo por gravedad teórica y pasar a cruzarla con explotación conocida. Ninguno de los dos exige comprar una categoría nueva.