La confianza de los líderes empresariales en la ciberseguridad de sus empresas está disminuyendo, pero la dependencia de los sistemas digitales está aumentando.
En lugar de preguntarse si una empresa es resiliente, los consejos de administración deben preguntarse qué medidas se han implementado para que se la considere "lo suficientemente resiliente".
Para sacar el máximo provecho de sus inversiones en ciberresiliencia, las empresas deben mantener debates a nivel de junta directiva sobre el valor en riesgo y el retorno de la resiliencia.
Cuando el Foro Económico Mundial publicó su Índice de Resiliencia Cibernética En 2022, la CRI (Critical Research Institute) proporcionó a los líderes empresariales un lenguaje común para una pregunta difícil: ¿hasta qué punto está preparada su organización para resistir y recuperarse de las interrupciones cibernéticas?
Tres años después, el Foro Perspectivas globales de ciberseguridad 2025 mostró que el 35% de las pequeñas organizaciones todavía consideran que su resiliencia cibernética es inadecuada (un aumento de siete veces desde 2022), mientras que el 54% de las grandes organizaciones citan la complejidad de la cadena de suministro como su mayor barrera para la resiliencia. Además, en la era de los ataques dirigidos por IA, una Estudio de Rubrik Zero Labs Se constató que el 86% de los líderes de TI y seguridad prevén que la proliferación de agentes de IA superará las medidas de seguridad de sus empresas en el transcurso del próximo año.
En esta nueva era, la confianza en la ciberresiliencia está disminuyendo al mismo tiempo que aumenta la dependencia de los sistemas digitales.
De hecho, si bien el 92 % de los ejecutivos cree que la ciberresiliencia está integrada en la gestión de riesgos de su empresa, según el CRI, solo el 19 % de los líderes en ciberseguridad confía en que su organización sea realmente resiliente. Esta brecha entre la seguridad que se tiene en la alta dirección y la realidad operativa debe cerrarse para que las organizaciones puedan ser más ciberresilientes.
Los consejos de administración más avanzados han dejado de preguntarse si son resilientes y han empezado a preguntarse qué medidas se han implementado para ser considerados "suficientemente resilientes". Esto equivale a determinar qué impacto financiero puede soportar la organización, cómo se equilibran las inversiones en ciberresiliencia entre prevención, protección y recuperación, y cómo medir su retorno.
Se describe la resiliencia cibernética, no se cuantifica.
Muchas empresas siguen un patrón constante en lo que respecta a la ciberresiliencia. Existen planes de recuperación y se realizan pruebas de recuperación, pero no siempre bajo las condiciones adversas y conflictivas que realmente importan durante un ataque destructivo.
Las organizaciones suelen citar objetivos de tiempo y punto de recuperación, pero les cuesta demostrar que se han recuperado desde un estado limpio y fiable. Las copias de seguridad son omnipresentes, pero la inmutabilidad y la recuperación aislada en un entorno seguro siguen siendo inconsistentes. Las organizaciones rara vez planifican escenarios en los que las copias de seguridad son atacadas y eliminadas. Los sistemas críticos pueden no ser analizados desde una perspectiva hostil. La responsabilidad puede estar diluida dentro de la organización, y la resiliencia se trata como un control técnico a cargo del departamento de TI, no como una capacidad estratégica a cargo de la alta dirección.
El nivel de madurez en ciberresiliencia es igualmente desigual. La mayoría de las organizaciones invierten mucho en la prevención y detección de ataques, pero relativamente poco en la capacidad de seguir operando durante uno y recuperarse posteriormente. Estas capacidades determinan si una brecha de seguridad se convierte en una crisis empresarial.
Este desequilibrio tiene un costo. Donde antes las empresas tenían 60 días entre una violación y el daño, ahora se ha reducido a tan solo 27 segundos, según Investigación de amenazas de Rubrik Esto deja a las organizaciones prácticamente sin tiempo para reaccionar una vez que comienza un ataque.
Y a medida que esta ventana se reduce, el costo de la interrupción de los negocios continúa aumentando. Costo de una violación de datos en 2025 El informe reveló que la pérdida de negocio sigue siendo uno de los principales factores que contribuyen al coste medio mundial de una filtración de datos, que asciende a 4,44 millones de dólares. Por ello, la ciberresiliencia y la rápida recuperación deben convertirse en prioridades empresariales.
Medir el riesgo correcto
Sin embargo, este replanteamiento depende de medir el tipo correcto de riesgo. El Instituto Nacional de Estándares y Tecnología de EE. UU. Identificación y estimación del riesgo de ciberseguridad para la gestión de riesgos empresariales. La publicación ofrece a las organizaciones una forma disciplinada de expresar la exposición cibernética en términos empresariales (probabilidad, impacto y pérdida esperada), de modo que pueda considerarse junto con cualquier otro riesgo que gestione el consejo de administración.
Pero el riesgo de resiliencia debe medirse de manera diferente al riesgo cibernético convencional. Los programas tradicionales se centran en la probabilidad de que ocurra un evento, mientras que los objetivos de resiliencia utilizan tres palancas distintas.
Primero, buscan reducir la magnitud del impacto (limitar, continuar, reconstituir). Segundo, aumentan la comprensión sobre la probabilidad de ocurrencia (comprender, prevenir). Y tercero, ayudan a calcular la probabilidad de que un evento se convierta en daño dadas las debilidades existentes (comprender, preparar, limitar, transformar, rediseñar).
La prevención reduce las probabilidades de sufrir un impacto, los mecanismos de recuperación tradicionales disminuyen el costo de las interrupciones frecuentes y la resiliencia reduce el costo de una interrupción a gran escala. Medir y presentar únicamente métricas de prevención y recuperación tradicionales crea un punto ciego para la junta directiva, ya que, sin resiliencia, puede producirse un efecto dominó en los servicios tecnológicos compartidos y los procesos de negocio críticos que dependen de ellos.
Resiliencia cibernética: Del impacto al valor.
Aquí es donde la madurez de las capacidades y el valor empresarial deben conectarse. La comunidad cibernética respaldada Modelo de madurez de la capacidad de ciberresiliencia (CR-CMM) describe la resiliencia en 10 capacidades, que incluyen la defensa basada en información sobre amenazas, la gestión de crisis y la recuperación cibernética.
Su valor no reside en la puntuación en sí, sino en el legado que genera. Cada capacidad y su nivel de madurez pueden vincularse a un factor clave de valor que la empresa ya comprende. Por ejemplo, una mejora en la madurez de la recuperación que reduzca a la mitad el tiempo de restauración podría generar una reducción multimillonaria en las pérdidas esperadas.
La incorporación de estas medidas de resiliencia genera valor empresarial de las siguientes maneras:
Ahorro de costes mediante la consolidación de herramientas de copia de seguridad y recuperación.
Mayor visibilidad en una plataforma de resiliencia única e interorganizacional.
Reducción de la posibilidad y del impacto en los ingresos derivados de la pérdida de datos y las interrupciones del servicio.
Mejoras en la eficiencia operativa gracias a la reducción del esfuerzo manual.
Esto transforma la pregunta "¿Cuánta resiliencia es suficiente?" en una cuestión de inversión. Las organizaciones deben modelar el impacto económico que no pueden absorber, identificar las capacidades que más lo reducen y dirigir el gasto hacia controles preventivos, de protección y de recuperación hasta alcanzar el punto de mayor rentabilidad. Así, la ciberresiliencia deja de competir por el presupuesto basándose en la fe y comienza a competir en función de la reducción de riesgos cuantificada.
Medición de la resiliencia cibernética
Nada de esto se sostiene sin responsabilidad. La ciberresiliencia requiere un ejecutivo responsable, como un director de ciberresiliencia, o un grupo formalmente constituido que abarque las áreas de negocio, continuidad, riesgo, tecnología y ciberseguridad, con el mandato de establecer objetivos, asignar inversiones y rendir cuentas al consejo de administración.
La ciberresiliencia debe gestionarse como cualquier otra capacidad estratégica. Debe medirse en función de un nivel de madurez establecido, ponerse a prueba en condiciones realistas, valorarse en términos financieros y mejorarse continuamente.
Cada trimestre sin una arquitectura de resiliencia consolidada aumenta la complejidad y el costo de la remediación. Las organizaciones que invierten en ciberresiliencia hoy en día han pasado de un debate técnico sobre controles a una discusión a nivel de junta directiva sobre el valor en riesgo y el retorno de la resiliencia. A medida que pasan de describir el impacto a cuantificar el valor, cada dólar invertido en ciberresiliencia se justifica por la pérdida que previene.
