Las acciones proactivas de defensa (en inglés, proactive defense) son las medidas de prevención que una empresa o institución toma para proteger su seguridad informática antes de que se produzca un ataque, en lugar de limitarse a reaccionar cuando ya ha ocurrido. La defensa reactiva detecta una intrusión, la contiene y repara los daños; la proactiva busca las debilidades antes que los atacantes y reduce las posibilidades de que el ataque tenga éxito o de que cause daños graves.
Una de las más conocidas son las pruebas de penetración (penetration testing), también llamadas hacking ético: ataques simulados y autorizados contra los propios sistemas, realizados por especialistas internos o contratados, para encontrar los fallos antes que un atacante real. Una versión más amplia son los ejercicios de equipo rojo (red team), en los que un grupo se comporta como un adversario durante semanas, con todos sus métodos, incluido el engaño a las personas, mientras el equipo azul (blue team) intenta detectarlo. Muchas empresas ofrecen además recompensas por errores (bug bounties), pagos a investigadores externos que les comunican vulnerabilidades en lugar de explotarlas o venderlas. La caza de amenazas (threat hunting) consiste en buscar activamente en los archivos de registro y el tráfico de la red señales de un intruso que haya burlado las defensas sin disparar ninguna alarma.
Otra línea de acción es el diseño. El modelo de confianza cero (zero trust), propuesto por el analista John Kindervag en 2010 y recogido por el Instituto Nacional de Estándares y Tecnología de Estados Unidos en una guía de 2020, parte de no confiar en nadie por el mero hecho de estar dentro de la red de la empresa: cada acceso a cada recurso se verifica, se exige la autenticación multifactor (multi-factor authentication) y cada usuario tiene solo los permisos imprescindibles para su trabajo, lo que se llama principio de mínimo privilegio (principle of least privilege). A esto se suman medidas básicas pero decisivas, como identificar la información sensible y dónde se guarda, instalar sin demora las actualizaciones de seguridad y mantener copias de seguridad desconectadas de la red, que son la mejor defensa contra el secuestro de datos.
La medida más rentable suele ser la formación del personal, porque la mayoría de los ataques empiezan engañando a una persona, con un correo que imita a un proveedor o una llamada que se hace pasar por el servicio técnico, lo que se llama ingeniería social (social engineering). Muchas organizaciones envían periódicamente a sus empleados correos de suplantación de identidad (phishing) simulados para medir cuántos caen y enseñarles a reconocerlos. Ninguna de estas medidas elimina el riesgo, pero juntas lo reducen y hacen que un ataque exitoso cause menos daño.