El ciberataque a Marks & Spencer subraya la necesidad de que las empresas adopten una estrategia de ciberresiliencia que asuma que los ciberincidentes se producirán.
El Cyber Resilience Compass identifica siete áreas interconectadas que las organizaciones deben reforzar para mejorar su gestión de las ciberamenazas.
Este artículo se publicó por primera vez en el sitio web de la Universidad de Oxford; puede leerlo aquí.
Desde el fin de semana de Pascua, Marks & Spencer (M&S), uno de los minoristas de las calles principales más importantes del Reino Unido, gestiona las consecuencias de un ciberataque contra sus operaciones empresariales. Esto ha obligado a la compañía a suspender los pedidos en línea, ha provocado escasez de productos en los estantes, ha incrementado la carga de trabajo del personal y ha hecho que su valor bursátil se reduzca en 750 millones de libras.
Incluso tres semanas después, todavía no hay indicios de cuándo terminarán estas interrupciones y cuándo M&S podrá volver a la normalidad empresarial. Esta incertidumbre amenaza no solo con seguir afectando a los beneficios, sino también con causar un daño reputacional duradero y minar la confianza en la marca.
La saga en curso subraya la importancia estratégica de no solo proteger las operaciones empresariales clave frente a las ciberamenazas, sino también de minimizar los efectos de los ciberincidentes significativos cuando se producen.
Este enfoque dual se conoce como ciberresiliencia y es el objeto de una nueva investigación realizada entre el Global Cyber Security Capacity Centre (GCSCC) y el Centro de Ciberseguridad del Foro Económico Mundial.
¿Qué es la ciberresiliencia?
La ciberresiliencia es un enfoque organizativo amplio de la seguridad que va más allá de la ciberseguridad tradicional al reconocer que ninguna organización puede ya estar 100% segura.
Anima a las organizaciones a asumir que se producirán incidentes significativos, como el ataque a M&S, y a implementar medidas (antes, durante y después del incidente) que les permitan absorber, recuperarse y aprender de los sucesos.
El enfoque obliga a las entidades a considerar las numerosas formas en que son vulnerables y cómo pueden limitar los posibles efectos. Esto puede implicar garantizar que las operaciones habituales puedan continuar cuando se produzcan interrupciones de los sistemas, o limitar el perjuicio que podría derivarse de un compromiso de la confidencialidad de los datos, por ejemplo, minimizando el impacto en la reputación.
Las organizaciones líderes avanzan hacia la ciberresiliencia como prioridad estratégica para limitar el impacto de los ciberincidentes ante retos cada vez mayores.
Según el Informe Global Cybersecurity Outlook 2025 del Foro Económico Mundial, el 72 % de las organizaciones detectó un aumento de los riesgos de ciberseguridad para sus operaciones entre 2024 y 2025. Esta tendencia se ve agravada por los ciberataques mejorados con IA, que son más sofisticados y escalables, por el aumento de las tensiones geopolíticas y por un panorama de riesgos en la cadena de suministro impredecible, además de otros factores.
En sentido visual, las organizaciones ciberresilientes son aquellas que saben cómo reducir el círculo de impacto:
¿Cómo puede lograrse la ciberresiliencia?
Lograr la ciberresiliencia es un proceso complejo y continuo que requiere más que una única acción o herramienta. La resiliencia no puede estandarizarse, y las acciones concretas que cada organización emprende para reforzar su ciberresiliencia variarán según su contexto.
No obstante, de las experiencias de primera línea y los aprendizajes prácticos de las organizaciones pueden extraerse lecciones. Esta última investigación entre el GCSCC y el Foro Económico Mundial describe las prácticas empleadas por los líderes mundiales en ciberseguridad para mejorar la ciberresiliencia de sus organizaciones.
El Cyber Resilience Compass tiene como objetivo compartir estas prácticas con otras organizaciones y las clasifica en siete áreas interrelacionadas para establecer y reforzar la resiliencia:
Liderazgo: Establecer objetivos, tomar decisiones y dar directrices en materia de ciberseguridad.
Gobernanza, riesgo y cumplimiento: Abarca los mecanismos para gestionar el riesgo y cumplir los requisitos normativos.
Personas y cultura: Estrategias y prácticas para formar y retener a la plantilla.
Procesos empresariales: Enfoques para priorizar, diseñar, implantar y adaptar funciones.
Sistemas técnicos: Enfoques para diseñar, desplegar y mantener las tecnologías de la información, las tecnologías operativas, así como las herramientas y los controles de nube y de ciberseguridad.
Gestión de crisis: Componentes utilizados para responder y recuperarse de incidentes y otras crisis que afecten a su resiliencia.
Gestión del ecosistema: El enfoque de una organización respecto a su ecosistema más amplio, incluidos su cadena de suministro, sus clientes, sus competidores y los reguladores.
La ciberresiliencia no debe considerarse un ideal, sino un imperativo organizativo.
Las partes interesadas deberían tener en cuenta estas áreas transversales sugeridas para adoptar de forma integral un enfoque de ciberresiliencia en su organización.
Basada en los conocimientos recopilados por destacados expertos en ciberseguridad de distintas regiones y sectores, cada categoría define qué significa la resiliencia en ese ámbito concreto y enumera ejemplos de prácticas específicas que las organizaciones han aplicado para avanzar en su resiliencia.
Estas prácticas se complementan con estudios de caso ilustrativos de situaciones reales, aportados por expertos.
En última instancia, el objetivo del Cyber Resilience Compass no es únicamente ofrecer conocimientos estáticos, sino convertirse en un vehículo para el intercambio de experiencias de primera línea: una herramienta dinámica que sirva de referencia a los líderes en ciberseguridad para mejorar sus estrategias de ciberresiliencia.
Extraer lecciones de las calles principales
Aunque aún no conocemos todos los detalles de los recientes ciberataques a M&S, han puesto de manifiesto una vez más el coste de un enfoque de ciberseguridad basado en seguir operando como siempre.
Afortunadamente, mediante recursos como el Cyber Resilience Compass, las organizaciones también disponen de ejemplos prácticos sobre cómo adaptar su enfoque en un entorno complejo y cambiante.
En el mundo actual, cada vez más dependiente de lo digital, la ciberresiliencia no debe considerarse un ideal, sino un imperativo organizativo.
Las empresas deben asumir que serán la próxima víctima de un ciberincidente significativo, y los líderes deben actuar para prepararse, absorber, responder y aprender de los incidentes en consecuencia. Si no lo hacen, solo será cuestión de tiempo que sean el próximo titular de advertencia, y no de si lo serán.
