Ciberseguridad: ¿es utópico salir ileso de los ataques?

En 2004, ante las preocupaciones por los delitos informáticos y la seguridad de los datos, se estableció que octubre sería el Mes de la Concientización sobre la Ciberseguridad. Desde entonces, y con justa razón, se ha hecho un gran ejercicio pedagógico sobre la importancia de tener contraseñas seguras, aplicar la autenticación de dos pasos, evitar abrir enlaces de remitentes desconocidos y no descargar aplicaciones de desarrolladores no verificados, por mencionar algunos ejemplos.

Dicha labor ha sido altamente útil para educar a los usuarios, dimensionar las diferentes amenazas y, en términos generales, persuadir sobre los cuidados que hay que tener en el ecosistema digital. Sin embargo, la conversación se concentró mayoritariamente en cómo evitar los riesgos, y poco se habló sobre qué hacer una vez ocurrido el daño.

Este aspecto es relevante, especialmente para las empresas, porque con el uso de la inteligencia artificial por parte de los delincuentes los ataques cibernéticos también se hicieron más rápidos, sofisticados e impredecibles. Es tal la automatización y el grado de tecnificación que han adquirido que, en algunos casos, mantener intacta esa primera línea de defensa resulta casi utópico o poco realista.

En parte por esta razón, la firma global de investigación y consultoría en TI, Gartner, estimó que los gastos en seguridad de la información a nivel mundial llegarán a los US$240.000 millones para finales de año, 12,5% más frente al dato de 2025; y que, de ese monto, el rubro de software y servicios de seguridad concentrarán la mayor parte, con cerca de US$214.000 millones.

En ese sentido, la pregunta lógica al interior de las compañías es: ¿cómo mantener a la empresa operando cuando un ataque logra, inevitablemente, superar las barreras de protección? Pues bien, es aquí, justamente, cuando cobra relevancia la resiliencia, un término cada vez más usado en las juntas directivas y que, para este contexto, hace referencia a la confiabilidad del servicio de las organizaciones en medio de una situación de crisis y a la capacidad de recuperar la operación cuando esta se ha comprometido por un ataque.

¿Pero cómo habilitar la resiliencia e invertir adecuadamente los recursos para fortalecerla? Las cifras evidencian que no basta simplemente con intentar construir muros más altos. Las organizaciones deben combinar prevención, protección de identidades, monitoreo continuo e infraestructura robusta con una capacidad más eficaz de recuperación.
Las estrategias contemporáneas exigen que la resiliencia cibernética se construya por capas, de manera que se abarque desde la identificación inicial de los riesgos hasta la restauración completa de los datos y de las operaciones. Este enfoque integrado es el que garantizará una respuesta rápida ante incidentes críticos.

En esa línea, el concepto más urgente hoy para un directivo de primer y segundo nivel es el de ‘empresa mínima viable’ (minimum viable company), el cual, ante un escenario de crisis extrema, representa el conjunto mínimo y vital de sistemas, datos, personas y procesos que deben recuperarse en una primera instancia para que la organización vuelva a operar y no sufra un colapso financiero, operativo y reputacional.

Por todo lo anterior, la verdadera medida de madurez digital de una empresa moderna no radica únicamente en cuántas amenazas logra bloquear, sino en la rapidez y la confianza con la que logra levantarse y volver al juego en caso de ser impactada.