La ciberresiliencia se mide en minutos
La ciberresiliencia de una empresa no se mide por el número de cortafuegos ni por la impresionante lista de sistemas de protección que ha comprado. La principal unidad de medida son los minutos: cuánto tarda la organización en detectar un ataque, comprender el alcance de los daños, tomar una decisión y restablecer la actividad.
Durante mucho tiempo, el éxito en ciberseguridad se evaluó en función de lo que se había logrado prevenir: cuántos ataques se habían bloqueado, qué vulnerabilidades se habían corregido y cuánto dinero se había gastado en nuevas herramientas. Pero el entorno digital ha cambiado. Los atacantes actúan más deprisa, la inteligencia artificial acelera tanto los ataques como la defensa, y las empresas dependen cada vez más de los sistemas digitales. Es imposible eliminar por completo el riesgo cibernético, así que hay que medir la resiliencia de otra manera.
Las organizaciones que mejor salen de un incidente no son necesariamente las que nunca han sufrido un ataque. A menudo son las empresas capaces de detectar rápidamente el problema, coordinarse y devolver los procesos críticos a la normalidad.
El estudio Grant Thornton Finance Leaders Barometer reveló que las pérdidas económicas medias causadas por incidentes cibernéticos alcanzaron las 488.000 libras esterlinas en dos años. Además, el 82 % de los directores financieros afirmó haber sufrido incidentes con consecuencias económicas directas. Cada vez más, el coste final no lo determina el mero hecho de que se haya producido una intrusión, sino la rapidez con la que se comprende lo ocurrido, se toman decisiones y se restablecen las operaciones.
Cada hora dedicada a averiguar las circunstancias, asignar responsabilidades, coordinar acciones y preparar las notificaciones obligatorias aumenta el tiempo de inactividad, los gastos y el daño reputacional. Tras un ataque, a la dirección ya no le interesa únicamente qué vulnerabilidad se aprovechó. Las preguntas son mucho más prosaicas y costosas: cuánto va a costar, cuánto durará la interrupción, si hay que avisar a clientes, proveedores y reguladores, y qué hacer a continuación.
La ciberseguridad es una gestión de riesgos en la que participan personas, procesos y tecnología. Por eso, la responsabilidad no puede recaer únicamente en el departamento de TI. Los directores financieros y los consejos de administración deben entender los riesgos y tomar decisiones que pueden afectar al dinero, a la actividad de la empresa y a la confianza de los clientes. Sin embargo, el 79 % de los CFO afirmó que en sus organizaciones sigue sin estar claro quién es responsable de los principales riesgos empresariales. En una crisis, esa indefinición se convierte en una pausa costosa.
Las empresas que mejor responden son las que han definido de antemano quién es responsable de cada riesgo, las competencias, el procedimiento de escalado y el nivel de pérdidas asumible. En otras palabras, la resiliencia no se construye solo configurando sistemas, sino también manteniendo conversaciones incómodas antes del ataque.
También existe el problema de traducir el lenguaje técnico al de la gestión. Los especialistas hablan de gestión de identidades, detección de amenazas en los dispositivos finales y renovación de infraestructuras obsoletas. La dirección, en cambio, necesita entender otra cosa: cómo protegerá la medida los ingresos, qué tiempo de inactividad evitará y cuáles podrían ser las pérdidas económicas.
Por eso, es más sensato presentar las inversiones en ciberseguridad como inversiones en la resiliencia del negocio: continuidad operativa, confianza de los clientes y valor de la empresa. Así, la pregunta deja de ser «cuánto cuesta» y pasa a ser «cuánto costará no hacer nada».
Los presupuestos también deben seguir siendo flexibles. Las amenazas cambian demasiado deprisa como para fijar prioridades de una vez por todas al comienzo del ejercicio financiero. Las empresas deben poder reajustar sus gastos y medidas de protección a medida que surgen nuevos riesgos.
La inteligencia artificial acelera a ambos bandos del conflicto. Los atacantes la utilizan para buscar vulnerabilidades, automatizar el reconocimiento y acelerar sus ofensivas. Los modelos más avanzados actuales ya demuestran que pueden encontrar vulnerabilidades de software a una escala que los equipos humanos no pueden alcanzar por sí solos. A los directivos les queda cada vez menos tiempo para evaluar las consecuencias y elegir cómo actuar.
No necesariamente vencerán las empresas con la IA más avanzada. Lo más probable es que lo hagan aquellas que hayan decidido de antemano quién toma las decisiones, cómo se transmite la información y qué procesos tienen prioridad. El objetivo de la ciberresiliencia no es crear la ilusión de una seguridad total, sino garantizar la capacidad de tomar decisiones sensatas cuando, inevitablemente, se produzca una interrupción.
Artículo elaborado para la sección TechRadar Pro Perspectives. Las opiniones del autor pueden no coincidir con la postura de TechRadar Pro o Future plc.
PEREC.RU
El autor sostiene que la ciberresiliencia de las organizaciones debe medirse no por el número de cortafuegos, antivirus y otras herramientas de protección, sino por el tiempo necesario para detectar un incidente, tomar decisiones y restablecer la actividad. El enfoque tradicional medía el éxito por el número de ataques detenidos, vulnerabilidades corregidas y recursos invertidos en protección. Sin embargo, el entorno digital se ha vuelto más rápido y complejo: los atacantes utilizan la inteligencia artificial para buscar vulnerabilidades, automatizar el reconocimiento y acelerar sus ofensivas, mientras que las empresas dependen cada vez más de las infraestructuras digitales. El riesgo cibernético no puede eliminarse por completo, por lo que la característica clave pasa a ser la capacidad de responder rápida y correctamente a las interrupciones inevitables.
Según el estudio Grant Thornton Finance Leaders Barometer, las pérdidas económicas medias derivadas de incidentes cibernéticos ascienden a 488.000 libras esterlinas en un periodo de dos años. El 82 % de los directores financieros afirmó haber sufrido incidentes con consecuencias económicas directas. El importe de los daños depende cada vez más no del mero hecho de que se haya producido una intrusión, sino del tiempo que necesita la dirección para comprender la situación, asignar responsabilidades, tomar decisiones y restablecer las operaciones. Los retrasos aumentan el tiempo de inactividad, las pérdidas económicas y el daño reputacional, y también dificultan el cumplimiento puntual de los requisitos normativos de notificación a las partes interesadas.
Tras un ataque, a los consejos de administración no solo les interesa la vulnerabilidad aprovechada o el fallo de los mecanismos de identificación. Les preocupan el coste del incidente, la duración de la interrupción, la necesidad de informar a clientes, proveedores y reguladores, y el plan de actuación posterior. Por eso, la ciberseguridad debe abordarse como una gestión de riesgos que involucre a toda la organización e incluya personas, procesos, tecnología y decisiones directivas.
La responsabilidad no puede recaer exclusivamente en los especialistas de TI: los responsables financieros y los consejos de administración también deben entender los riesgos cibernéticos y tomar decisiones con consecuencias económicas, operativas y reputacionales. Aun así, el 79 % de los CFO afirmó que en sus organizaciones no está claro cómo se distribuye la responsabilidad por los principales riesgos empresariales. Esa indefinición es especialmente peligrosa durante un incidente, cuando la demora aumenta directamente los daños.
Las organizaciones más resilientes definen de antemano quién responde de cada riesgo, quién tiene autoridad para decidir, cuáles son las reglas de escalado y qué nivel de riesgo es asumible. Mantienen conversaciones difíciles sobre gestión antes de que se produzca un ataque, en lugar de intentar ponerse de acuerdo por primera vez en plena crisis. También es importante traducir las prioridades técnicas al lenguaje empresarial: explicar a la dirección qué ingresos protegerá una medida, qué tiempo de inactividad evitará y cuáles serían las posibles consecuencias económicas de no actuar.
Las inversiones en ciberseguridad deben presentarse como inversiones en la continuidad del negocio, la confianza de los clientes y el valor de la empresa. La eficacia de la protección se mide por la reducción del tiempo de inactividad, la rapidez de la recuperación, la preservación de las operaciones críticas y la confianza de la dirección en su capacidad de actuar. La planificación presupuestaria debe ser flexible, ya que pueden surgir nuevas amenazas después de que se hayan aprobado las prioridades anuales.
La inteligencia artificial refuerza tanto a los atacantes como a los defensores, pero la principal consecuencia de su expansión es la aceleración de los acontecimientos. Los directivos disponen de menos tiempo para evaluar el impacto comercial y elegir cómo actuar. Por eso, las organizaciones necesitan no solo tecnología moderna, sino también una gestión clara, responsabilidades distribuidas y un entendimiento común del nivel de riesgo asumible. Las empresas que mejor salen de los incidentes son aquellas cuyos directivos han acordado de antemano cómo actuar y son capaces de tomar decisiones en condiciones de incertidumbre.
