La próxima crisis cibernética podría ser una crisis de confianza, no de interrupción del servicio, ya que los datos comprometidos pueden alterar decisiones críticas incluso cuando los sistemas siguen en línea.
La resiliencia cibernética debe ir más allá de la recuperación y abarcar la verificación, y las empresas deben poder operar de forma segura cuando se ponga en duda la confianza en las plataformas compartidas.
La resiliencia colectiva será fundamental, y la colaboración entre organizaciones y sus socios del ecosistema será esencial para mantener en funcionamiento los servicios críticos.
La información es el eje de toda organización. La actividad empresarial se desarrolla digitalmente porque confiamos en que los sistemas y la información compartida en que se basan sean precisos y reflejen la actividad del mundo real.
Los incidentes cibernéticos interfieren en este flujo de datos al comprometer o manipular la información y alterar las decisiones que dependen de ella, ya sea por una interrupción interna o causada por terceros, incluidos clientes, proveedores y socios.
En estas situaciones, las consecuencias no se deben únicamente al tiempo de inactividad mientras se reparan los sistemas, sino también a la erosión de la confianza que sustenta las relaciones empresariales y los ecosistemas digitales compartidos.
Confianza en las dependencias compartidas
La resiliencia cibernética se ha centrado durante mucho tiempo, principalmente, en la disponibilidad, la recuperación y las labores de restablecimiento cuando los sistemas dejan de funcionar. Estas capacidades siguen siendo esenciales, pero los ataques que socavan la integridad y la autenticidad de la información pueden ser igual de perturbadores.
En esos escenarios, las organizaciones pueden seguir tomando decisiones con datos inexactos, manipulados o no verificados y, en una economía digital interconectada, las consecuencias pueden propagarse entre empresas y sectores.
Las economías modernas y las infraestructuras críticas de las que dependen se basan en la confianza en la información digital y en las transacciones que se sustentan en ella. Las organizaciones dependen de plataformas de software para procesar transacciones, de proveedores de servicios en la nube para almacenar información, de proveedores para suministrar datos operativos precisos y de redes digitales para coordinar cadenas de suministro complejas. Estos sistemas funcionan no solo porque la tecnología funciona, sino porque se confía en la información que circula por ellos.
Cuando esa confianza se ve alterada, las consecuencias van mucho más allá de una interrupción técnica. Un sistema puede seguir en línea mientras los directivos ya no pueden determinar si la información que orienta decisiones críticas es precisa, completa o segura para actuar en función de ella. En estas situaciones, restablecer la confianza en la información es tan importante como restablecer la propia tecnología.
Incidentes recientes muestran con qué rapidez puede propagarse un problema en una dependencia compartida. En julio de 2024, una actualización defectuosa del software de CrowdStrike, un proveedor de confianza, afectó a 8,5 millones de dispositivos Windows en todo el mundo, dejó aviones en tierra, paralizó servicios bancarios e interrumpió la atención sanitaria, y puso de relieve los riesgos de concentración y de dependencia sistémica.
La recuperación requirió algo más que una solución técnica. En menos de una hora, los miembros del consejo intersectorial de la Global Resilience Federation, el Business Resilience Council colaboraban a través de un canal seguro, apoyándose en las relaciones de confianza que la comunidad había forjado con el tiempo. Poco después, el director ejecutivo de CrowdStrike informó a más de 1.000 organizaciones en otro foro de confianza y ofreció una respuesta que dependió de las relaciones, los protocolos establecidos de antemano y los canales de confianza, y se apoyó en ellos.
Cuando los sistemas funcionan, pero no se puede confiar en la información
Una crisis aún más difícil se produce cuando los sistemas siguen funcionando, pero ya no se puede confiar en la información que circula por ellos.
Un reciente ejercicio de resiliencia cibernética celebrado en la Reunión Anual sobre Ciberseguridad 2026 del Foro Económico Mundial se centró en una plataforma empresarial de larga trayectoria que canaliza pedidos, envíos y facturas digitales en un amplio ecosistema de socios comerciales. Durante el ejercicio, la plataforma, ampliamente considerada fiable, empezó a comportarse de forma irregular, lo que generó dudas sobre si aún se podía creer en la información que transmitía.
Los participantes tuvieron que determinar si los datos de las transacciones seguían siendo fiables, si debían cumplirse los compromisos con los clientes, qué garantías hacían falta antes de volver a conectarse y cuánta incertidumbre podía tolerarse antes de que fuera necesario actuar.
Estas cuestiones se situaban en la intersección de la ciberseguridad, las operaciones, el ámbito jurídico, los riesgos, las comunicaciones y la toma de decisiones ejecutivas. Los líderes tuvieron que actuar antes de contar con certeza y reevaluar la confianza que podían depositar en un socio o una plataforma que antes consideraban fiables.
La IA agrava las consecuencias del problema de la confianza
A medida que la inteligencia artificial (IA) se integra cada vez más en los procesos empresariales, el desafío cibernético que afrontan las organizaciones se intensifica.
A diferencia de una interrupción convencional, un servicio de IA afectado puede seguir respondiendo y, al mismo tiempo, producir recomendaciones incoherentes, resúmenes engañosos, acciones inesperadas o resultados sutilmente alterados. Las aplicaciones relacionadas pueden parecer funcionar con normalidad mientras se deteriora la confianza en las decisiones que respaldan.
El ejercicio multisectorial del Business Resilience Council, AI Interrupted, desarrollado junto con Google y Anthropic, simuló cómo una pasarela de interfaz de programación de aplicaciones (API) de IA afectada provocaba un comportamiento inusual en los sistemas internos de una empresa y en las plataformas externas de software como servicio (SaaS).
Los participantes tuvieron que decidir si reducían el uso de la IA, desconectaban capacidades o seguían operando mientras la causa y el alcance seguían siendo inciertos. También tuvieron que determinar qué resultados seguían siendo fiables, qué procesos podían funcionar de forma segura sin IA, quién podía limitar o desactivar las capacidades de IA y qué pruebas hacían falta antes de volver a conectarse.
El ejercicio puso de manifiesto importantes carencias de preparación:
Solo el 3 % de los encuestados había definido niveles mínimos de servicio viables ante la degradación o el fallo de la IA
El 80 % desconocía la capacidad mínima de IA necesaria para que sus herramientas volvieran a considerarse utilizables
Solo el 6 % disponía de diagramas completos de flujo de datos que mostraran cómo se utilizaba la IA generativa en los servicios empresariales críticos
Los principios emergentes están claros: las organizaciones deben verificar los resultados de un servicio de IA y sus efectos posteriores, no limitarse a restablecerlo; la disponibilidad técnica carece de sentido sin confianza operativa.
De la defensa colectiva a la resiliencia colectiva
El Global Cybersecurity Outlook 2026 del Foro Económico Mundial informa de que el 65 % de las grandes organizaciones señalan las vulnerabilidades de terceros y de la cadena de suministro como su mayor desafío en materia de resiliencia cibernética.
El informe también destaca los peligros del riesgo de concentración: los incidentes que afectan a grandes proveedores de servicios en la nube, de Internet o compartidos pueden tener efectos generalizados en los sistemas posteriores, incluida la incertidumbre sobre la información que circula por esos sistemas. Una plataforma puede restablecerse técnicamente sin recuperar la confianza operativa.
Las prácticas de defensa colectiva, como compartir información sobre amenazas, vulnerabilidades y estrategias de mitigación en comunidades de confianza, siguen siendo esenciales. Pero el siguiente paso es la resiliencia colectiva: permitir que las organizaciones sigan prestando juntas servicios críticos cuando una dependencia compartida falla, se degrada o deja de ser fiable.
Esto depende de relaciones establecidas de antemano, canales seguros de comunicación, vías de escalamiento acordadas, expectativas compartidas con proveedores críticos y ejercicios que pongan a prueba las operaciones degradadas en todo el ecosistema.
De hecho, según el Global Cybersecurity Outlook 2026, las organizaciones calificadas como altamente resilientes tenían casi tres veces más probabilidades de realizar ejercicios cibernéticos con socios del ecosistema que las organizaciones con una resiliencia insuficiente.
Seis maneras de reforzar ahora la resiliencia cibernética de las organizaciones
La confianza es esencial para la recuperación empresarial, y las organizaciones deben establecer las relaciones, los procesos de toma de decisiones y los mecanismos de verificación que necesitarán antes de que se produzca una crisis:
Asignar la responsabilidad a nivel ejecutivo: Designar a un líder responsable de fortalecer la confianza, la transparencia y la resiliencia en las relaciones con socios críticos.
Trazar un mapa de las dependencias compartidas: Identificar plataformas externas, servicios en la nube, modelos de IA, proveedores de SaaS y redes digitales, y planificar escenarios en los que dejen de ser fiables o dignos de confianza.
Definir de antemano los derechos de decisión: Asignar responsables de la toma de decisiones (titulares y suplentes) y establecer protocolos organizativos para desconectar un servicio, limitar una capacidad de IA o autorizar la reconexión.
Establecer comunicaciones de confianza: Crear canales seguros y alternativos, así como relaciones con los homólogos de los proveedores, para comparar observaciones, verificar información y coordinar acciones cuando no se pueda confiar en las comunicaciones habituales o las plataformas compartidas.
Invertir en verificación, además de en restablecimiento: Desarrollar capacidades para verificar la integridad, la autenticidad y la procedencia de los datos, las transacciones y las acciones automatizadas. Asegurarse de que la recuperación demuestre que tanto los sistemas como los procesos posteriores están disponibles y son fiables, y comunicar los métodos de verificación a los socios críticos.
Realizar ejercicios en conjunto: Practicar simulaciones con varias partes, junto con proveedores y socios de plataformas, en las que los sistemas sufran una degradación, para detectar carencias en la toma de decisiones y fortalecer la resiliencia.
Tradicionalmente, la resiliencia cibernética se ha medido por la rapidez con que los sistemas pueden restablecerse desde el punto de vista tecnológico. Sin embargo, en el futuro se medirá cada vez más por la eficacia con que las organizaciones puedan verificar la información y mantener decisiones acertadas cuando escasee la certeza.
Como se destaca aquí, las relaciones de confianza y los ejercicios con múltiples partes junto con los socios del ecosistema, destinados a abordar las carencias de confianza mientras lo que está en juego sigue siendo hipotético, serán fundamentales para mitigar el impacto de futuras crisis cibernéticas.
