La resiliencia se afianza como eje fundamental de la ciberseguridad

Las tensiones internacionales, la presión regulatoria, la exposición de la cadena de suministro, la digitalización industrial y la irrupción acelerada de la inteligencia artificial (IA) están obligando a redefinir la función de la ciberseguridad. Ya no basta con levantar barreras. Hay que asegurar que el negocio siga funcionando cuando el ataque llegue, porque es seguro que va a llegar.

Este fue el punto de partida con el que arrancó la mesa redonda que celebró Red Seguridad, en la que se puso de manifiesto que la resiliencia se ha convertido en una condición imprescindible para la continuidad del negocio. Y más en estos tiempos de inestabilidad geopolítica que están incrementando las ciberamenazas.

El coloquio contó con la participación de Ramón Ortiz, CISO de Rheinmetall; Enrique Ferrer, CIO de Ford; Lucero Ramos, CISO de Idealista; Francisco Javier Santos, CISO corporativo del Grupo Santalucía; Ignacio Lorca, Senior Global IT Leader de Roche Farma; Alfredo de Bonis, Cybersecurity Sales Director de Teldat; Adolfo San Martín, CIO de Morchem, Jordi Garasa, Senior Account Executive de TXOne Networks; Andrés Romero, CISO Global de Aleatica; y Justo Uceta, Senior Sales Engineer de Forcepoint.

Impacto de la geopolítica

Como primer asunto, los invitados comentaron el impacto de la situación geopolítica actual en términos de ciberseguridad. Ramón Ortiz, de Rheinmetall, advirtió de que el contexto actual ya tiene efectos visibles sobre las organizaciones: «Se nota en las campañas de phishing que soportamos las empresas, en los escaneos sobre nuestro perímetro exterior; ya no es una cuestión lejana, sino algo que estamos viendo en el día a día».

En la misma línea, Enrique Ferrer, de Ford, señaló que «el número de ataques casi se ha duplicado en las últimas semanas», especialmente a través de campañas dirigidas a empleados y directivos.

Por su parte, Lucero Ramos, de Idealista, resumió con claridad el cambio de enfoque que exige este escenario: «La pregunta no es tanto si va a pasar, sino cuándo me va a tocar y cómo de preparada está mi organización para responder».

Y es que, tal y como lo expuso Francisco Javier Santos, del Grupo Santalucía, en ciberseguridad ya no existen las fronteras estables de la seguridad tradicional. «El viejo perímetro desaparece con la digitalización y ninguna empresa puede considerarse ajena a una crisis solo por no operar directamente en un entorno de conflicto», señaló.

La resiliencia no depende de una única tecnología, una sola norma o un presupuesto concreto

En este punto, Ignacio Lorca, de Roche Farma, añadió que el actual escenario de tensión también está abriendo oportunidades industriales y estratégicas, especialmente en Europa. Desde su punto de vista, la situación actual puede dar pie a un proceso de reindustrialización que devuelva capacidades a un continente que se ha vuelto demasiado dependiente. Pero alertó al mismo tiempo de que esa transición se produce bajo un «tsunami regulatorio» y con un acelerador adicional, la IA, que multiplica la velocidad y escala de los ataques.

Desde el lado del proveedor, Alfredo de Bonis, de Teldat, ligó esa discusión con la soberanía tecnológica. A su juicio, Europa sufre una «hiperdependencia del exterior» en materia tecnológica y de ciberseguridad que, en escenarios de escalada política o comercial, puede derivar no solo en tensiones de suministro, sino también una en pérdida de soporte o riesgos de espionaje.

Resiliencia, concepto clave en ciberseguridad

Ante este panorama, la resiliencia se configura como un concepto clave. De hecho, todos los asistentes coincidieron en señalar que la preparación frente a los ciberataques ya no puede descansar únicamente en la prevención. Precisamente, Ramos, de Idealista, describió la resiliencia como una práctica de entrenamiento continuo. En su opinión, «hay que trabajar con escenarios hipotéticos, simulacros y equipos preparados, aún sabiendo que la realidad nunca se ajustará por completo al guion ensayado».

Sobre este tema se pronunció también Adolfo San Martín, de Morchem, quien afirmó: «Muchas compañías empiezan a tomarse en serio la resiliencia solo después de sufrir un incidente, cuando comprueban que el negocio puede verse realmente afectado». En ese punto, explicó, la clave consiste en hablar con la alta dirección en un lenguaje comprensible, apoyado en marcos que permitan traducir la madurez técnica en un idioma legible para el comité.

Ortiz, de Rheinmetall, reforzó esa idea al sostener que el comité de dirección debe recibir el mensaje en «términos de riesgo». No se trata de simplificar en exceso la tecnología, sino de «conectar cada vulnerabilidad con su efecto real sobre procesos críticos, facturación, entrega o continuidad operativa».

En la misma línea, Santos, del Grupo Santalucía, defendió que la evolución regulatoria y la madurez del entorno están elevando la seguridad desde una función técnica a una responsabilidad distribuida en toda la organización. Su planteamiento fue que «ya no basta con que el departamento de TI haga seguridad para el resto; sino que cada área de negocio asuma su parte en la cadena de protección».

Esa misma evolución fue subrayada por Ferrer, de Ford, que recordó que la conciencia directiva comenzó a cambiar con grandes hitos regulatorios como el Reglamento General de Protección de Datos (RGPD), «cuando el riesgo económico de una mala gestión pasó a ser tangible». Desde entonces, «la conversación se ha ido normalizando dentro de los comités, no porque todos hablen el mismo lenguaje técnico, sino porque todos hacen el esfuerzo de bajar a un terreno común». Es más, San Martín, de Morchem, opinó que los consejeros han de tener «formación en ciberseguridad», porque es un área más de competencia que les afecta directamente. No en vano, «la regulación les hace responsables penales, que no es cosa baladí», apuntó.

Ahora bien, la resiliencia no se decide solo en el comité de dirección. Jordi Garasa, de TXOne Networks, llamó la atención sobre un ámbito que a menudo queda fuera del foco: el industrial. Allí, recordó, un incidente no siempre se traduce en ingresos aplazados, sino «en producción irrecuperable, pérdidas encadenadas y, en ciertos sectores, afectación directa a procesos críticos». En esos entornos, explicó, «la resiliencia también depende de que responsables de planta,
mantenimiento y operación comprendan que la ciberseguridad forma ya parte inseparable del proceso industrial».

En estos casos, según puntualizó Ortiz, de Rheinmetall, los CISO tienen que explicar muy bien a los responsables de plantas industriales cuáles son ahora los riesgos a los que se enfrentan las instalaciones conectadas al hacer, por ejemplo, un mantenimiento en remoto, porque «no son conscientes de ello».

Data Security Everywhere, el enfoque de Forcepoint para proteger los datos

La protección de la información sigue fallando en muchas organizaciones por un problema previo de visibilidad. Para Forcepoint, muchas empresas disponen de herramientas de seguridad, pero no tienen un conocimiento real de qué datos deben proteger ni de dónde se encuentran. A esto se une el riesgo de que muchos usuarios recurren a herramientas de IA para ganar eficiencia, pero que no están controladas a pesar de que se introduce en ellas información sensible. «La IA nos ofrece muchísimas posibilidades, pero también nos supone un gran reto en cuanto a cómo proteger esa información», explicó Justo Uceta, Senior Sales Engineer, en una breve presentación a los asistentes antes de entrar en el debate.

En ese contexto surge la propuesta de Forcepoint denominada Data Security Everywhere, que permite localizar datos sensibles, entender su grado de exposición y actuar con rapidez ante cambios o movimientos de riesgo. Uceta explicó las principales características de esta solución, que permite la protección de los datos corporativos «allá donde estén ubicados».