La ciberseguridad necesita un nuevo KPI: es hora de medir nuestra capacidad de adaptación

La ciberseguridad se ha vuelto perfectamente medible: ahora cualquier jefe puede informar con aplomo de cuántos minutos tarda su equipo en detectar una intrusión, cuánto necesita para neutralizarla y cuándo vuelve a funcionar todo. Para un consejo de administración, con su afición a los informes bonitos, es un regalo: gráficos claros, barras vistosas y una ilusión de control. Como resultado, indicadores básicos como el Tiempo Medio de Detección de Incidentes (MTTD) y el Tiempo Medio de Respuesta (MTTR) se consideran casi sagrados. Pero hay un matiz: estas métricas vienen de una época en la que el panorama informático cambiaba despacio, los ataques eran perezosos y la inteligencia artificial no andaba moviéndose entre las sombras de los servidores.

En 2025/2026, el 43 % de las empresas británicas ya ha recibido un buen ciberbofetón, según el informe del Gobierno (UK Cyber Security Breaches Survey). Antes parecía que, si no había ocurrido ningún ataque, se podía respirar tranquilo. Hoy, en cambio, los ataques son constantes. Y los problemas pueden afectar tanto a la propia empresa como a todos los proveedores sin los que los negocios actuales no podrían funcionar.

Las empresas modernas adoptan la IA a velocidad maníaca, se mudan a la nube y se entrelazan en redes; y, por casualidad, los delincuentes no aprenden más despacio. Así que la dirección debería plantearse si no va siendo hora de actualizar el vocabulario del éxito. ¿Cómo saber si las medidas de seguridad siguen funcionando?

El MTTD y el MTTR solo responden a la pregunta: «¿Con qué rapidez hemos tapado el agujero?». Pero no dicen ni una palabra sobre cuánto más fuerte y más lista se ha vuelto la empresa tras el último engaño. Entretanto, los riesgos siguen aumentando incluso después de haber solucionado las consecuencias. Han sufrido una intrusión: muy bien; se han recuperado: excelente. Pero revisar las políticas, formar al personal y reorganizar los procesos suele llevar meses. Para entonces, el panorama de amenazas ya ha cambiado siete veces.

Una organización verdaderamente madura debería medir no solo la rapidez de respuesta, sino también la rapidez con la que aprende. Entra en escena un nuevo indicador: el Tiempo Medio de Adaptación (MTTA). Es la prueba del algodón: cuánto tiempo pasa desde que aparece una nueva amenaza hasta que la empresa no solo la detecta, sino que cambia sus reglas y configuraciones, redacta nuevas instrucciones y, a ser posible, comprueba que todo el mundo las ha entendido.

A veces, la respuesta consiste en actualizar las herramientas de protección técnica. Otras veces hay que replantear la formación corporativa o redactar los informes de modo que el consejo de administración entienda el sentido de las amenazas. Pero la idea es siempre la misma: para el negocio no solo importa la tecnología, sino también la capacidad de «poner las neuronas en marcha». Es más fuerte quien sabe cambiar deprisa.

Por eso el MTTA no sustituye a las métricas antiguas, sino que las complementa de forma importante. Expertos de todo el mundo (por ejemplo, el Centro Nacional de Ciberseguridad del Reino Unido) llevan tiempo basando sus estándares en la mejora continua, no en marcar casillas una sola vez. La verdadera resiliencia consiste en aprender y mejorar más rápido de lo que las amenazas se acercan sigilosamente a la sala de servidores.

Si las empresas empiezan a evaluar de verdad lo rápido que se reorganizan y la dirección lo entiende, hablar de seguridad podría dejar por fin de ser un teatro de un solo actor. El MTTA ayudará a distinguir quién se toma el asunto en serio y quién solo rellena informes.