Explica la defensa en profundidad y da un ejemplo.

La defensa en profundidad parte del reconocimiento de que todo control acabará fallando o siendo eludido, por lo que nunca deberías apostarlo todo a uno solo. En su lugar, apilas capas independientes, obligando a un atacante a derrotar varios obstáculos distintos para alcanzar su objetivo.

Las capas

Un despliegue práctico puede combinar controles en varios dominios:

• Perímetro: firewalls, prevención de intrusiones, filtrado de correo y web.
• Red: segmentación y VLAN para que un punto de apoyo en una zona no pueda alcanzarlo todo.
• Endpoint: EDR/antivirus, fortalecimiento, gestión de parches.
• Identidad: autenticación fuerte, MFA, mínimo privilegio.
• Datos: cifrado en reposo y en tránsito, copias de seguridad, DLP.
• Personas y procesos: formación de concienciación, registro y monitorización que detectan lo que los controles técnicos dejan pasar.

La clave es la independencia. Dos controles que fallan por la misma razón (por ejemplo, si ambos dependen de la misma contraseña de administrador) no añaden profundidad real. Las buenas capas cubren distintas etapas del ataque y fallan de maneras diferentes.

Un ejemplo concreto

Un atacante obtiene por phishing la contraseña de un empleado. La MFA bloquea el inicio de sesión. Si elude la MFA, el mínimo privilegio limita lo que la cuenta puede tocar. Si alcanza un servidor, la segmentación detiene el movimiento lateral. Si exfiltra datos, el cifrado y la DLP reducen el daño, y la monitorización genera una alerta. Ninguna capa es perfecta, pero la cadena es difícil de romper de extremo a extremo.

Por qué esto importa

Los entrevistadores quieren ver que no crees en una solución mágica. Una respuesta sólida nombra capas en múltiples dominios, recalca que deben ser independientes y conecta la idea con el pensamiento de «asumir la brecha» — la mentalidad moderna de que un atacante superará el muro exterior, por lo que los interiores importan igual.