La ciberseguridad ya no basta: las empresas necesitan ciberresiliencia

• Fraudes como el phishing y los ataques con malware y ransomware amenazan economías enteras, gobiernos y nuestra forma de vida.

• La ciberseguridad se centra en proteger los datos, pero ya no es suficiente; las empresas necesitan ciberresiliencia.

• Para ayudar a las empresas a implementar una mayor ciberresiliencia, se necesita un marco que permita medirla.

Hoy trabajamos desde cualquier lugar, con más dispositivos y más redes, y nos enfrentamos a más riesgos que nunca. Los ataques generalizados de phishing, malware y ransomware, así como otros fraudes, representan un riesgo no solo para las personas o las plataformas, sino también para economías enteras, gobiernos y nuestra forma de vida.

Sin embargo, nuestra forma de pensar sobre cómo proteger las empresas y los datos no ha evolucionado realmente al mismo ritmo. A menudo, los recursos empresariales siguen destinándose a la ciberseguridad defensiva, centrada en proteger la confidencialidad y la integridad de los datos. Pero estas defensas están demostrando ser insuficientes ante ataques cada día más sofisticados. Necesitamos ciberresiliencia además de ciberseguridad, y es importante entender la diferencia.

Por qué optar por la ciberresiliencia en lugar de la ciberseguridad

La ciberresiliencia empieza por dominar los fundamentos de la ciberseguridad; en Salesforce, lo llamamos «hacer excepcionalmente bien lo habitual». Esto incluye corregir vulnerabilidades, detectar y mitigar amenazas y formar al personal para que proteja la seguridad de la empresa. Pero debemos hacerlo de forma continua, no solo una vez al año.

Además, las empresas deben integrar la resiliencia en todas sus áreas, desde el mapeo de los procesos empresariales y el diseño de la disponibilidad de los servicios hasta la dependencia de proveedores críticos. Deben limitar el impacto de la ciberdelincuencia en la marca, las finanzas, las obligaciones legales y los compromisos de confianza con los clientes de una empresa. Aunque estas áreas suelen recibir poca atención, recursos o interés por parte de la dirección, son elementos importantes ante una amenaza real.

El objetivo de la ciberresiliencia está claro: garantizar la continuidad operativa y empresarial con un impacto mínimo. Pero la realidad puede ser más difícil de precisar, porque actualmente no hay una buena manera de medir la ciberresiliencia. Como líderes, necesitamos confiar hasta cierto punto en nuestra capacidad para responder a un ataque, mantener la confianza de nuestros clientes, asumir el impacto financiero, legal y reputacional, y reanudar la actividad. Sin embargo, no existe un marco de ciberresiliencia ampliamente aceptado ni un modelo de madurez, y creo que debería existir.

Al fin y al cabo, hay innumerables modelos de madurez que permiten a las empresas medir capacidades, transformación digital, cadena de suministro, ciberseguridad y gestión de datos, por mencionar solo algunos ámbitos. ¿Cómo podría ser la madurez en ciberresiliencia? No se trata solo de la capacidad para responder y recuperarse, sino de la rapidez con que nos recuperamos y de aquello que priorizamos.

No propongo otra lista de verificación ni una metodología de autoevaluación. Un enfoque maduro de la ciberresiliencia debe ser flexible, adaptable y mejorar continuamente. Propongo diseñar un marco que describa un conjunto de características para ayudar a una empresa y a sus líderes a entender qué es la ciberresiliencia y cómo lograrla. Este marco describiría un enfoque y una actitud orientados a hacer realidad la ciberresiliencia.

Por ejemplo, ¿su organización lleva a cabo iniciativas de resiliencia aisladas y al azar? ¿Elabora un plan que solo consulta cuando se lo pide un auditor? ¿Crea árboles de llamadas cuando le convendría más usar PagerDuty? La verdadera resiliencia implica un enfoque multidimensional que responde dinámicamente a las amenazas y, al mismo tiempo, mantiene intactos los objetivos empresariales.

La medición de la ciberresiliencia podría incluir:

- identificar los activos más valiosos y las capacidades críticas;

- analizar la interconexión de los sistemas y su vulnerabilidad ante los ataques;

- adaptarse con mayor rapidez al contexto social y político general;

- establecer alianzas con pares, competidores y entidades públicas;

- analizar cómo el equipo contrata personal y desarrolla competencias;

- cambiar el enfoque para que no solo proteja la empresa, sino que también la habilite mediante la seguridad;

- medir si se mantiene una cultura de confianza y agilidad; y

- medir la confianza de los clientes y la transparencia.

Cada organización tendrá sus propios riesgos, y ningún modelo puede ofrecer un enfoque de ciberresiliencia válido para todos. Sin embargo, este enfoque puede ayudar a orientar las decisiones de inversión, reunir a las partes interesadas en torno a un objetivo común e instaurar la práctica de la mejora continua. Sobre todo, la ciberresiliencia debe dar a los líderes la confianza de que, cuando ocurra lo peor, la organización podrá seguir cumpliendo sus compromisos.

Retos del uso de los modelos de madurez

Un marco centrado en la evaluación y basado en una puntuación numérica puede fomentar una cultura de marcar casillas. Pero la ciberresiliencia no consiste en hacer comparaciones y no tiene un punto final. Este marco de medición debe poder adaptarse a los distintos sectores y centrarse en las personas, los procesos y la tecnología necesarios para garantizar la resiliencia de cadenas de valor enteras.

Cuando se presentó el marco del Instituto Nacional de Estándares y Tecnología (NIST) para mejorar la ciberseguridad de las infraestructuras críticas, se hizo un llamamiento nacional a la acción. Ahora, la sociedad y las empresas se encuentran en otro punto de inflexión. Las organizaciones públicas y privadas operan de maneras totalmente nuevas, más digitales y distribuidas, lo que ha abierto aún más las puertas a los riesgos cibernéticos. La Orden Ejecutiva Presidencial de mayo de 2021 establece que: «Estados Unidos se enfrenta a campañas cibernéticas maliciosas persistentes y cada vez más sofisticadas que amenazan al sector público, al sector privado y, en última instancia, la seguridad y la privacidad del pueblo estadounidense». La orden pide una colaboración público-privada para introducir los cambios ambiciosos necesarios para proteger las infraestructuras de nube híbrida.

Al igual que el Marco del NIST, es importante que una nueva iniciativa de colaboración como esta dé lugar a un marco de ciberresiliencia escalable que puedan utilizar organizaciones de distintos sectores. Consideremos esto un llamamiento abierto: ¿podemos unirnos para establecer este marco? ¿Podemos integrar la ciberresiliencia en las prácticas empresariales habituales? Debemos trabajar juntos para que todos seamos más fuertes.