Guía de Threat Intelligence para empresas: tipos, ciclo y métricas
La threat intelligence se convirtió en línea de presupuesto antes de convertirse en práctica. El informe Cost of a Data Breach 2025, de IBM con el Ponemon Institute, midió el coste medio de una violación de datos en Brasil en 7,19 millones de reales — un 6,5 % por encima de los 6,75 millones de 2024. En el mismo estudio, la adopción de inteligencia de amenazas encabeza la lista de factores que redujeron ese coste: 655.110 reales menos, de media, por violación.
El problema es que «tener threat intelligence» y «suscribirse a un feed» se volvieron sinónimos en el mercado. Son cosas distintas, y esa diferencia es exactamente lo que separa un programa que cambia decisiones de otro que produce PDF.
Esta guía es para quien necesita montar, corregir o justificar un programa de inteligencia de amenazas: qué es y qué no es, los cuatro tipos, las seis fases del ciclo, cómo se distingue del SIEM y del antivirus, los errores que vacían la operación, cómo medir el resultado y qué cambia en el recorte brasileño.
Qué es la threat intelligence
La inteligencia de amenazas cibernéticas (CTI, por cyber threat intelligence) es el proceso de transformar dato en bruto sobre adversarios en un producto que responde a una pregunta de quien decide, con una valoración de confianza declarada, dentro del plazo en que la decisión todavía puede tomarse.
Fíjese en que la definición impone tres exigencias, y todas son comprobables:
- Responde a una pregunta que alguien formuló. La inteligencia no nace de la recolección; nace del requisito.
- Llega antes de la decisión. Un análisis correcto entregado después de aplicar el parche es historia, no inteligencia.
- Cambia algo. Un bloqueo, una prioridad de corrección, una cláusula de contrato, una inversión, una comunicación al cliente.
Si usted no consigue señalar qué decisión cambió el entregable, lo que tiene es contenido — puede incluso ser buen contenido, pero no es inteligencia.
Qué no es threat intelligence
- Un feed de IOC. Una lista de IP, hashes y dominios maliciosos es materia prima. Se convierte en inteligencia cuando alguien evalúa su relevancia para su entorno, su contexto y su vigencia.
- Un boletín de seguridad. Una noticia sobre una vulnerabilidad que usted no usa no es inteligencia para usted.
- La salida de un escáner de vulnerabilidades. Eso es postura interna. La amenaza es lo que existe fuera, con intención y capacidad.
- Monitoreo de dark web sin requisito. Sin definir qué busca y qué hará al encontrarlo, el resultado es un panel bonito y nadie responsable.
- La atribución. Saber que el grupo se llama X rara vez cambia lo que su equipo hace el lunes.
Los cuatro tipos de threat intelligence
| Tipo | Quién la consume | Vida útil |
|---|---|---|
| Estratégica | Consejo, CISO | Meses a años |
| Operativa | Dirección del SOC, respuesta a incidentes | Semanas a meses |
| Táctica | Detección y caza de amenazas | Meses a años |
| Técnica | Automatización, bloqueo | Horas a días |
La frontera entre «táctica» y «operativa» es la más disputada de la literatura, y discutir la etiqueta es desperdicio. Lo que importa es saber, para cada producto que usted genera, quién lo consume y cuánto tiempo vale el dato.
Estratégica
Responde a preguntas de inversión y riesgo: ¿cuál es la exposición de nuestro sector al ransomware en los próximos doce meses? ¿Abrir operación en aquel país cambia nuestro perfil de amenaza? ¿El presupuesto de seguridad debe ir a identidad o a superficie externa?
Formato: informe breve, lenguaje de negocio, sin jerga. Cadencia trimestral o anual. Es el único tipo que necesita ser legible por quien no es técnico.
Operativa
Responde a «quién, cuándo y por qué»: campañas en curso, motivación, sectores objetivo, estacionalidad. Una campaña de phishing con temática de Black Friday dirigida al comercio minorista brasileño es inteligencia operativa.
Formato: alerta de campaña con contexto y recomendación. Se consume en días o semanas.
Táctica
Describe las tácticas, técnicas y procedimientos (TTP) del adversario — cómo entra, cómo se mueve, cómo persiste, cómo exfiltra. Es el insumo del equipo de detección y de la caza de amenazas, y el lugar natural para mapearlo todo contra MITRE ATT&CK.
Es el tipo con mejor relación entre esfuerzo y durabilidad: cambiar una técnica le sale caro al adversario; cambiar un dominio, no.
Técnica
Indicadores de compromiso: IP, hash de archivo, dominio de mando y control, URL de phishing, certificado. Sirve para automatización y bloqueo, y envejece deprisa — a veces en horas.
Aquí conviene recordar la Pirámide del Dolor, de David J. Bianco (2013): en la base están los hashes, que el adversario cambia en segundos; en la cima están las TTP, que cambia con dolor. Un programa que solo consume la base de la pirámide gasta mucho y molesta poco.
El ciclo de inteligencia: seis fases
El ciclo es herencia de la doctrina de inteligencia — la Joint Publication 2-0 del Departamento de Defensa de EE. UU. describe el mismo proceso en seis etapas. Funciona en seguridad cibernética por la misma razón que funciona allí: obliga a empezar por la pregunta y a terminar por la crítica.
1. Dirección
Es donde se escriben los PIR (priority intelligence requirements, requisitos prioritarios de inteligencia) — las preguntas prioritarias que el programa existe para responder. Es la fase que más se salta y la que mejor explica los programas fracasados.
Un PIR malo: «quiero saber sobre ransomware».
Un PIR utilizable: «En los últimos 90 días, ¿algún grupo de ransomware explotó activamente alguna de las cinco tecnologías expuestas en nuestro perímetro? Responsable: gestor de vulnerabilidades. Decisión asociada: prioridad de la ventana de mantenimiento del mes».
Un PIR sirve si tiene responsable, tiene plazo, tiene una decisión colgada de él y es respondible con las fuentes que usted realmente posee.
2. Recolección
Fuentes externas: OSINT, feeds comerciales y abiertos, foros y mercados cerrados, canales de mensajería, comunidades de intercambio sectorial, informes de proveedores.
Fuentes internas: sus propios registros, incidentes anteriores, tickets de fraude, telemetría de endpoint, correos de phishing reportados por empleados. Esta es la fuente más relevante que existe para su entorno, y es la más ignorada. Quien ya lo atacó es el mejor indicador de quién lo va a atacar.
3. Procesamiento
Normalización, deduplicación, traducción, enriquecimiento y estandarización de formato (STIX, MISP). Sin esta etapa, el analista se convierte en limpiador de datos y el programa no escala.
4. Análisis
La única fase que no se subcontrata. Es donde alguien evalúa relevancia, correlaciona con el entorno, formula hipótesis y declara confianza. Use una escala estandarizada — el Admiralty Code (fiabilidad de la fuente de la A a la F, credibilidad de la información del 1 al 6) es el más sencillo de adoptar y ya elimina buena parte de la ambigüedad.
Un análisis sin grado de confianza declarado obliga al lector a adivinar si usted tiene razón, y el lector que adivina ignora.
5. Difusión
El mismo hallazgo se convierte en tres productos distintos según el público: una página para la dirección, una regla de detección para el SOC, una línea de tiempo para el equipo de respuesta. Enviar el informe de 40 páginas a los tres equivale a no enviárselo a ninguno.
6. Retroalimentación
La fase que casi nadie ejecuta. Pregunte a cada consumidor: ¿lo usó?, ¿qué decidió?, ¿qué faltó?, ¿qué sobró? Sin eso los PIR nunca mejoran, y el ciclo se convierte en una línea recta que termina en un archivo muerto.
La threat intelligence no es un SIEM y no es un antivirus
| Capa | Pregunta que responde | Dónde falla por sí sola |
|---|---|---|
| Antivirus / EDR | ¿Esto es malicioso en esta máquina? | No sabe quién lo ataca ni por qué |
| SIEM / detección | ¿Ocurrió algo anómalo en mis registros? | Solo ve lo que ya entró |
| Threat intelligence | ¿Quién probablemente me atacará, con qué, y qué hago antes? | No actúa; necesita a las otras dos |
La confusión es habitual porque los tres consumen indicadores. La diferencia está en el punto de observación: el EDR mira dentro del host, el SIEM mira dentro de la red, la CTI mira fuera de la organización.
Y la relación es de alimentación, no de sustitución. El indicador técnico baja al SIEM y al EDR. La TTP se convierte en regla de detección e hipótesis de caza. El análisis estratégico se convierte en presupuesto. Un programa de inteligencia que no tiene vía de salida hacia las herramientas de detección es un programa de lectura.
Cinco errores que vacían un programa de CTI
1. Comprar un feed de IOC y llamarlo inteligencia. Volumen no es calidad. Antes de suscribirse a cualquier feed, pregunte: ¿cuál es el origen del indicador?, ¿cuál es la tasa de falso positivo medida?, ¿cuál es la vida útil media?, ¿cubre fuentes en portugués y en español?, ¿lo entrega en un formato que mi stack ingiere sin trabajo manual?
2. Recolectar sin PIR. La recolección sin requisito produce volumen, y el volumen produce la sensación de trabajo hecho. Es el error que más presupuesto consume con menos efecto.
3. Perseguir la atribución. El nombre del grupo es interesante y casi nunca accionable. La TTP es accionable casi siempre.
4. Ignorar las fuentes internas. Muchas empresas pagan caro por inteligencia externa y nunca leyeron su propio historial de incidentes.
5. No cerrar el ciclo. Un informe que nadie lee es coste puro. Si al consumidor no se le pregunta, el productor nunca descubre que está errando el blanco.
Cómo medir si el programa funciona
Existen dos familias de métricas, y una de ellas engaña.
Evite las métricas de producción: número de informes publicados, número de IOC ingeridos, número de fuentes suscritas. Todas suben cuando usted trabaja más, y ninguna sube cuando usted acierta más.
Prefiera las métricas de efecto:
- Cobertura de PIR — porcentaje de requisitos vigentes con respuesta actualizada dentro del plazo.
- Tiempo de operacionalización — horas entre la llegada de un indicador relevante y el bloqueo o la regla en producción.
- Detecciones originadas por inteligencia — cuántas detecciones del trimestre existen porque la CTI lo señaló primero.
- Precisión de la fuente — porcentaje de indicadores que generaron una alerta útil, medido por feed. El feed que solo genera ruido debe cancelarse con el número en la mano.
- Decisiones influidas — registro nominal de decisiones (corrección priorizada, proveedor reevaluado, proyecto aplazado) que citan un producto de inteligencia.
- Cobertura ATT&CK — qué técnicas de su modelo de amenaza detecta hoy, comparado con el trimestre anterior.
- Consumo — quién abrió, quién respondió a la retroalimentación. Una lectura baja es señal de producto equivocado, no de lector distraído.
Elija de tres a cinco, mida por trimestre y publique junto con lo que no consiguió medir. Una métrica sin salvedad es marketing interno.
El recorte brasileño: qué cambia allí
Si su organización opera en Brasil, tiene clientes brasileños o tiene un proveedor que trata datos de personas en Brasil, este apartado le afecta.
El reloj legal es de tres días hábiles
El art. 48 de la LGPD (Ley 13.709/2018), la ley brasileña de protección de datos personales, obliga al controlador a comunicar todo incidente que pueda acarrear riesgo o daño relevante a los titulares. La Resolución CD/ANPD n.º 15/2024 cerró los plazos:
- Tres días hábiles para comunicarlo a la ANPD (art. 6.º) y al titular (art. 9.º), contados desde que el controlador tiene conocimiento de que el incidente afectó a datos personales.
- Veinte días hábiles para complementar la información de forma fundamentada (art. 6.º, § 3.º).
- Plazos al doble para los agentes de tratamiento de pequeño porte (art. 6.º, § 8.º, y art. 9.º, § 6.º).
- El art. 5.º enumera los criterios de riesgo relevante: datos sensibles, de niños, adolescentes o personas mayores, financieros, de autenticación en sistemas, protegidos por secreto, o a gran escala.
- El art. 10 exige mantener registro de todo incidente — incluso del que no se comunicó — durante un mínimo de cinco años.
La consecuencia práctica para la inteligencia es directa: descubrir pronto tiene valor jurídico, no solo técnico. Una fuga de credenciales identificada por monitoreo externo antes del contacto del atacante cambia quién controla el reloj. Y la comunicación que exige el art. 6.º, § 2.º pide exactamente lo que un programa maduro ya produce — naturaleza y categoría de los datos afectados, riesgos, impactos posibles y medidas adoptadas.
El sector financiero tiene norma propia
La Resolución CMN n.º 4.893/2021 exige política de seguridad cibernética y plan de acción y respuesta a incidentes a las instituciones financieras y demás entidades autorizadas a operar por el Banco Central de Brasil. Las instituciones de pago, las corredoras y las administradoras de consorcio quedan fuera de ella y siguen normas propias del BCB — conviene comprobar cuál aplica antes de diseñar el proceso.
Los vectores medidos allí
Siguiendo con el estudio de IBM para Brasil en 2025: el phishing fue el vector inicial más común, con el 18 % de las violaciones (coste medio de 7,18 millones de reales); el compromiso de terceros, el 15 % — y el más caro, 8,98 millones; la explotación de vulnerabilidades, el 13 % (7,61 millones). Por sector, salud encabezó con 11,43 millones, seguida de finanzas (8,92 millones) y servicios (8,51 millones).
Dos de los tres vectores principales están fuera de su perímetro: la marca usada para engañar a su cliente y el proveedor comprometido que tiene acceso a su entorno. Ninguno de los dos aparece en su SIEM antes del daño. Ambos aparecen en la recolección externa.
El idioma es una barrera de cobertura
Los feeds internacionales son anglófonos por defecto. Un kit de phishing en portugués, un canal de mensajería vendiendo una base con CPF (el número de identificación fiscal brasileño), un anuncio de acceso a una empresa brasileña concreta: nada de eso llega traducido, y buena parte ni siquiera llega. La cobertura en portugués y en español no es una preferencia regional — es un requisito de recolección para quien opera en la región.
Un programa mínimo en 90 días
- Días 1-30. Escriba de tres a cinco PIR, cada uno con responsable y decisión asociada. Levante sus activos expuestos: dominios, marcas, rangos de IP, aplicaciones, proveedores críticos. Defina quiénes son los tres consumidores de la inteligencia.
- Días 31-60. Encienda la recolección mínima que responde a esos PIR. Cree un canal de difusión por consumidor, con formato propio. Abra la ruta de salida hacia el SIEM y el EDR.
- Días 61-90. Mida tres indicadores de efecto. Haga la reunión de retroalimentación con cada consumidor. Corte lo que nadie leyó.
Un programa pequeño que cierra el ciclo entrega más que uno grande que solo recolecta.
Dónde encaja la plataforma OODA Intelligence
La plataforma tiene 41 módulos, y la forma útil de mirarlos es por las fases del ciclo, no por la lista:
- Recolección: Collection (canales de mensajería, foros de la clearnet y de la darknet, feeds), Threat Monitoring (monitores por palabra clave con alerta multicanal), EASM y Recon para la superficie externa.
- Recolección dirigida a marca, infraestructura y exposición: Threat Intelligence, con submódulos de dominio, red, phishing y abuso de marca, y Data Leak Detection para credenciales y bases expuestas.
- Procesamiento y análisis: Search Intelligence para la búsqueda unificada sobre lo recolectado e Investigate para la investigación con rastro forense.
- Difusión: SIEM Bridge, MISP Sync, Intelligence Reports y la API REST.
- Registro y retroalimentación: Incident Management y Audit & Compliance — este último ligado directamente a las obligaciones de registro que impone la Resolución ANPD n.º 15/2024, tema que detallamos en el artículo sobre LGPD y seguridad cibernética.
Hay además una línea propia de recolección de prensa y verificación de datos — 76 fuentes de prensa registradas alimentan News Intelligence, y Disinfo Verify cruza afirmaciones con un acervo de verificaciones publicadas por agencias. Es la capa que responde al riesgo reputacional y a la desinformación dirigida a la marca.
Una salvedad honesta para cerrar: ninguna herramienta escribe su PIR ni decide qué es relevante para su negocio. La plataforma acorta la recolección, el procesamiento y la difusión, que es donde está el trabajo de carga. La dirección y el análisis siguen siendo trabajo humano — y es exactamente por eso que el ciclo, y no el catálogo de módulos, debe organizar su programa.
Fuentes
- IBM y Ponemon Institute. Cost of a Data Breach Report 2025 — datos de Brasil, IBM Newsroom, 30/07/2025.
- Brasil. Ley n.º 13.709/2018 (LGPD), art. 48.
- ANPD. Resolución CD/ANPD n.º 15, de 24 de abril de 2024 — Reglamento de Comunicación de Incidente de Seguridad. Véase también la página oficial de comunicación de incidente.
- CMN. Resolución n.º 4.893, de 26 de febrero de 2021.
- BIANCO, David J. The Pyramid of Pain, 2013.
- MITRE ATT&CK.
- U.S. Department of Defense. Joint Publication 2-0, Joint Intelligence — proceso de inteligencia en seis etapas.
