A medida que las perturbaciones cibernéticas se vuelven cada vez más inevitables, la ciberresiliencia ya no puede tratarse únicamente como una aspiración; debe ser una capacidad medible.
Las métricas de resiliencia deben demostrar si los controles y las capacidades existentes reducirán de forma significativa el impacto empresarial y acelerarán la recuperación.
Los resultados medibles (es decir, la eficacia con la que una organización puede detectar, absorber, contener y recuperarse de una perturbación) sustentan una estrategia de ciberresiliencia eficaz.
La mayoría de los líderes reconocen hoy que no todos los incidentes cibernéticos pueden prevenirse. En un entorno marcado por amenazas habilitadas por la IA, cadenas de suministro frágiles y volatilidad geopolítica, la perturbación cibernética ya no es una excepción para la que planificar; se ha convertido en una condición con la que las organizaciones deben seguir operando.
Si bien este cambio de mentalidad es importante, también plantea una cuestión más difícil: ¿cómo pueden las organizaciones saber si son resilientes antes de que un incidente revele la respuesta? ¿Y qué pueden hacer al respecto?
Responder a estas preguntas requiere hacer medible la ciberresiliencia. Es fundamental traducir la resiliencia de una aspiración general a algo que los líderes puedan evaluar, poner a prueba y mejorar con el tiempo.
El problema de medir lo que no corresponde
La ciberseguridad no carece de métricas. Las organizaciones pueden contar vulnerabilidades, alertas, parches, tasas de finalización de la formación, hallazgos de auditoría y cobertura de herramientas. Estas mediciones son importantes, pero no siempre revelan si una organización puede seguir operando durante un incidente grave.
Una empresa puede contar con sólidos controles técnicos y, aun así, no estar preparada para una crisis. Los planes de respuesta pueden no haberse puesto a prueba, las copias de seguridad pueden no poder recuperarse a tiempo o las dependencias empresariales críticas pueden no estar claras. Estas brechas muestran por qué la resiliencia no puede medirse solo por la presencia de controles; debe medirse por si la organización puede limitar efectivamente la perturbación a través de dichos controles.
El Foro Económico Mundial, en su informe Unpacking Cyber Resilience definió la ciberresiliencia como la capacidad de una organización para minimizar el impacto de incidentes cibernéticos significativos en sus objetivos y metas principales. En otras palabras, la resiliencia debe medirse por el impacto empresarial, y no solo por la actividad de ciberseguridad.
Qué medir
Las organizaciones dependen de numerosos servicios, sistemas y activos, pero no todos son igualmente críticos durante un incidente cibernético.
La medición de la resiliencia debe comenzar definiendo el “negocio mínimo viable” de la organización: los servicios y capacidades esenciales que deben seguir funcionando o recuperarse primero para que la organización cumpla su misión principal en condiciones degradadas. Solo a partir de este punto de partida los líderes pueden plantear las preguntas que importan:
· ¿Durante cuánto tiempo puede estar fuera de servicio un servicio crítico?
· ¿Con qué rapidez puede tomarse una decisión de recuperación?
· ¿Qué proveedores o sistemas crean puntos únicos de fallo?
· ¿Qué soluciones manuales alternativas existen si los sistemas digitales no están disponibles?
· ¿Qué nivel de perturbación puede tolerar la empresa?
El tiempo de recuperación no es solo una métrica de TI
Una de las medidas más útiles de la ciberresiliencia es el tiempo: el tiempo para detectar, el tiempo para decidir, el tiempo para contener, el tiempo para recuperarse y el tiempo para restablecer los servicios orientados al cliente.
El Foro Económico Mundial define a las organizaciones ciberresilientes como aquellas capaces de “reducir la V”: disminuir la profundidad y la duración de la perturbación tras un incidente. Esta idea es valiosa porque convierte la resiliencia en algo observable. Cuanto menor sea la caída operativa y más rápida la recuperación, más resiliente será la organización.
Pero la recuperación no debe entenderse únicamente como la restauración de la tecnología. La verdadera recuperación también implica restablecer las operaciones, proteger la confianza, limitar los daños financieros y mantener la confianza de los clientes, empleados, reguladores y socios.
Por eso, las métricas de resiliencia deben ser significativas para los líderes empresariales, no solo para los equipos de ciberseguridad. Los objetivos de tiempo de recuperación y los objetivos de punto de recuperación son importantes, pero también lo son la velocidad en la toma de decisiones, el impacto en los clientes, el tiempo de respuesta legal, la preparación en materia de comunicación y la capacidad de mantener en funcionamiento los servicios críticos.
La mejor prueba de ciberresiliencia es un ejercicio realista
La resiliencia no puede medirse por completo mediante un cuestionario. Una autoevaluación puede mostrar si existen planes, pero no puede demostrar si funcionan bajo presión. Por ello, los ejercicios se están convirtiendo en una de las herramientas más importantes para medir la ciberresiliencia. Simulacros de mesa, los ejercicios de recuperación y los ensayos de crisis revelan lo que las métricas estáticas suelen pasar por alto: confusión, falta de claridad en la responsabilidad, escalado lento, datos ausentes, brechas de comunicación y supuestos poco realistas.
El Foro, en su Global Cybersecurity Outlook 2026 muestra una brecha entre las organizaciones altamente resilientes y las insuficientemente resilientes: el 44 % de las organizaciones altamente resilientes simula incidentes cibernéticos o planifica ejercicios de recuperación con socios del ecosistema, frente al 16 % de las organizaciones insuficientemente resilientes. Esta diferencia es importante.
Durante un incidente real, las organizaciones rara vez fracasan por carecer de una política, sino porque las personas no saben quién decide, qué priorizar ni cómo coordinarse bajo presión.
Un buen ejercicio de resiliencia no necesita ser excesivamente complejo. Debe ser lo bastante realista como para obligar a tomar decisiones de compromiso. Por ejemplo: si un ataque de ransomware interrumpe al mismo tiempo los sistemas de clientes y las comunicaciones internas, ¿quién decide qué se restablece primero? Si una caída de un proveedor afecta a un servicio crítico, ¿con qué rapidez puede la organización cambiar a una alternativa? Si los equipos jurídico, de comunicación y técnico no coinciden, ¿cómo se escala la decisión? Estas son preguntas medibles.
Extender la resiliencia más allá de la organización
Dicho esto, no podemos analizar la ciberresiliencia de forma aislada. La verdadera resiliencia es una cuestión de ecosistema, ya que ninguna organización opera de manera independiente en nuestro mundo altamente interconectado. Dependen de proveedores de nube, desarrolladores de software, socios logísticos, sistemas de pago, servicios externalizados e infraestructuras compartidas. Una debilidad en una parte del ecosistema puede convertirse rápidamente en una crisis en otro lugar.
Sin embargo, muchas organizaciones siguen midiendo el riesgo de los proveedores mediante evaluaciones periódicas en lugar de hacerlo a través de la resiliencia operativa. La pregunta más útil no es solo si un proveedor tiene controles, sino si la empresa puede seguir funcionando si ese proveedor falla. Esto exige medir la preparación del ecosistema: los tiempos de recuperación de los proveedores, los proveedores alternativos, las vías contractuales de escalado, los manuales de incidentes compartidos y los ejercicios conjuntos.
En términos de resiliencia, un proveedor no es solo un vendedor: debe formar parte de la capacidad de recuperación de la organización, o se convertirá rápidamente en su punto más débil.
De las puntuaciones a las decisiones
El siguiente paso para medir la ciberresiliencia no es crear otra puntuación por el simple hecho de hacerlo. La finalidad de la medición es tomar mejores decisiones. Un enfoque sólido de medición de la resiliencia debe ayudar a los líderes a decidir dónde invertir, qué corregir primero y qué riesgos están dispuestos a aceptar. Debe mostrar si el dinero está reduciendo el impacto empresarial, y no solo aumentando la actividad de ciberseguridad.
Así, la medición de la resiliencia se convierte en una herramienta de liderazgo. Ayuda a los consejos de administración a formular preguntas más precisas:
· ¿Estamos protegiendo los servicios más importantes?
· ¿Hemos puesto a prueba nuestros supuestos de recuperación?
· ¿Sabemos con qué rapidez podemos tomar decisiones en una crisis?
· ¿Podemos seguir operando si falla un proveedor crítico?
· ¿Estamos mejorando con el tiempo?
En una era en la que la perturbación cibernética es cada vez más inevitable, estas pueden ser las preguntas de ciberseguridad más importantes que una organización puede plantear. El futuro de la ciberresiliencia no lo definirán las organizaciones que afirman estar preparadas. Lo definirán aquellas que puedan demostrarlo.
