Tu telemetría también es un objetivo

Voy a empezar contando algo que no me deja bien, porque es la mejor forma que tengo de explicar este tema.

Hace años pasé un rato largo esperando en una clínica pequeña. Llevaba la laptop del trabajo, con permisos de administrador, y me aburrí. Me puse a mirar la red inalámbrica del lugar, corrí una herramienta que analizaba lo que había alrededor, y saqué la clave del wifi del consultorio. Entré y me puse a ver películas.

No fui una hacker. Aquella red usaba un cifrado que ya estaba roto desde hacía años — un sistema que se descarta desde hace mucho porque se puede vulnerar sin conocimientos especiales. Yo no rompí nada: simplemente estaba abierto y nadie se había enterado.

Lo cuento como ejemplo de qué NO hacer, y porque resume la idea de este artículo. No hace falta un atacante sofisticado cuando hay una puerta que a nadie le tocaba cerrar. Y en la mayoría de las organizaciones, esa puerta hoy tiene un nombre que casi nadie asocia con seguridad: la telemetría.

Por qué tu telemetría es el objetivo blando

Piensa en cómo tratas tu base de datos de producción. Acceso restringido, cifrado, auditoría de quién entra, respaldos vigilados, revisiones periódicas. Bien.

Ahora piensa en cómo tratas tus registros. ¿Quién puede consultarlos? ¿Todo el equipo de desarrollo? ¿Los proveedores? ¿Cuánto tiempo se guardan? ¿Alguien revisó qué llevan dentro?

Esa asimetría es exactamente el problema, y está bien documentada: los atacantes buscan archivos de registro precisamente porque suelen estar menos protegidos que la base de datos principal, y con frecuencia contienen contraseñas, llaves de interfaces, direcciones de correo y hasta datos de pago.

Con la cocina de siempre: tienes la bóveda del restaurante cerrada con llave y vigilada. Y en el pasillo de atrás, en cajas sin cerrar, están las notas donde los cocineros apuntaron las recetas, los pedidos y los datos de los clientes mientras trabajaban. No es la bóveda. Vale casi lo mismo.

Los números, y no son de hace cinco años

El dato de los ocho minutos es el que a mí me cambió la forma de pensar en esto. La cadena está automatizada de punta a punta: buscar en repositorios públicos, encontrar una llave expuesta, enumerar lo que esa llave abre y sacar los datos. Ocho minutos de media desde que la encuentran. Y la explotación de credenciales asistida por inteligencia artificial creció un 89% en un año.

Añade el costo: la media global de una filtración llegó a 4,4 millones de dólares en 2025.

Credenciales como segunda causa de filtraciones, crecimiento interanual, cadena automatizada de ocho minutos y secretos expuestos por organización: análisis sobre robo de credenciales de API (2026). Registros peor protegidos que la base de datos y tipos de dato que suelen contener: guía de enmascarado de datos sensibles en registros.

Y un caso real que ilustra la forma exacta del problema: una base de datos de búsqueda mal configurada expuso más de tres terabytes de información de clientes, incluidos resultados de análisis, secretos de configuración y datos personales. No hubo un ataque brillante. Hubo una configuración por defecto.

Qué acaba dentro de tus registros sin que nadie lo decida

Esta es la parte que más me interesa como Producto, porque no es un fallo de nadie: es una consecuencia de cómo se trabaja.

Fíjate en las dos últimas filas: las dos son novedades de este mismo año. Cada señal nueva que sumamos aumenta lo que sabemos de nuestros sistemas y, con exactamente el mismo movimiento, aumenta lo que hay dentro de nuestro almacén de telemetría.

Y hay un multiplicador silencioso: la retención. Un dato sensible en un registro que se guarda siete días es un incidente pequeño. El mismo dato en un almacén con dos años de historia es una filtración con antigüedad. Cuando hablé de retención y cardinalidad en el stack abierto lo planteé como una decisión de costo. También es una decisión de exposición.

Por eso una empresa de seguridad compró una de observabilidad

Cuando conté la ola de compras de este año, el movimiento que más se comentó fue el de una empresa de seguridad adquiriendo una plataforma de observabilidad por miles de millones.

Mucha gente lo leyó como diversificación. Yo creo que es más simple que eso: es el mismo dato.

Los registros que usa tu equipo de operaciones para depurar un incidente son, línea por línea, los mismos que usa un equipo de seguridad para detectar un intruso. Durante años los duplicamos: una copia para observabilidad, otra para seguridad, dos herramientas, dos contratos, dos facturas por el mismo gigabyte.

Que las plataformas converjan es la conclusión lógica. Y trae una consecuencia práctica que conviene anticipar: si las herramientas se juntan, los permisos también hay que rehacerlos. Quien podía consultar registros para depurar no necesariamente debería poder consultar los mismos datos vistos como investigación de seguridad.

Las copias que nadie cuenta

Hay una parte de este problema que no aparece en ningún inventario, y es la que más me haría dormir mal si fuera responsable de seguridad.

Tu telemetría no vive en un solo lugar. Vive en varios, y solo uno de ellos está protegido:

• El entorno de pruebas, donde muchas veces se copiaron datos reales «para probar con algo parecido a producción», y que tiene la mitad de los controles.
• Las exportaciones. Alguien bajó un archivo para analizarlo con calma durante un incidente, y ese archivo sigue en su equipo dos años después.
• Las capturas de pantalla. Los tickets, los chats y las presentaciones están llenas de pantallazos de tableros con datos reales dentro.
• Los respaldos del almacén de telemetría, que casi nunca heredan las reglas de retención del original.

Ninguna de esas copias es maliciosa. Todas nacieron de alguien intentando hacer bien su trabajo durante una madrugada complicada. Y por eso es un problema de proceso y no de disciplina: mientras la única forma cómoda de analizar algo sea bajarlo, la gente lo va a bajar.

Lo que yo haría, en orden

Sin entrar en configuraciones, que no es lo mío ni lo tuyo si estás leyendo esto desde Producto. Son cinco decisiones:

• Averiguar qué hay dentro antes que ninguna otra cosa. No se puede proteger lo que no sabes que guardaste. Una muestra de registros leída con calma dice más que un año de política escrita.
• Decidir qué nunca se registra, y que sea una regla con dueño, no una recomendación. La lista corta: credenciales, cuerpos de mensajes con datos personales y todo lo que sirva para autenticarse.
• Tratar la retención como exposición, no solo como costo. Es el mismo botón para las dos cosas y casi siempre se aprieta pensando en la factura.
• Revisar quién puede consultar. Es la pregunta más incómoda porque casi siempre la respuesta es “más gente de la que creíamos”, incluidos proveedores.
• Y preguntar por dónde viaja. Si tu telemetría sale hacia la nube de un tercero, ahí va todo lo anterior. Esto conecta directo con poder guardarla en infraestructura propia, que este año dejó de ser una rareza.

Qué preguntar antes de firmar

Preguntas frecuentes

Lo que me llevo de esto

Vuelvo a la clínica, porque la lección de aquel día es la misma de todo el artículo.

Yo no entré por lista. Entré porque había una protección que en su momento fue el estándar y llevaba años siendo insuficiente, y nadie en ese lugar tenía el trabajo de revisarlo. El equipo funcionaba, la gente trabajaba, nada estaba “roto”. La seguridad no se degradó: se quedó quieta mientras el mundo avanzaba.

Con la telemetría estamos exactamente ahí. Las reglas de acceso y de retención que muchas organizaciones tienen hoy se escribieron cuando los registros eran mensajes de error, no cuando llevaban conversaciones de clientes y nombres de funciones. No están rotas. Están viejas, que es una forma más discreta de estar mal.

Y por eso, si de todo esto te llevas una sola tarea: ve a mirar qué hay dentro de tus registros. No hace falta comprar nada para hacerlo, y es lo único que después no vas a poder decir que no sabías.

La próxima semana cambio completamente de tono. Toca contar cuando me tocó levantar una herramienta de monitoreo antes de que nadie en México usara la palabra observabilidad, y qué aprendí de un producto que era pionero y a la vez no estaba listo. 📡

Que los sistemas estén con ustedes. ✦

Imagen destacada generada con inteligencia artificial.