La ciberresiliencia ha dejado de ser un concepto reservado a los equipos de seguridad para convertirse en un elemento clave de la continuidad del negocio. Sin embargo, el último estudio de ManageEngine revela una realidad llamativa: aunque España registra menos ciberincidentes que otros países europeos, su nivel de madurez en ciberresiliencia sigue estando por debajo de la media. En una entrevista concedida a Ciberseguridad TIC, Andrés Mendoza, director técnico para el sur de Europa y Latinoamérica de ManageEngine, analiza las causas de esta aparente contradicción y defiende que el verdadero reto ya no consiste en evitar todos los ataques, sino en ser capaces de responder y recuperarse con rapidez cuando estos se producen.
“La resiliencia no se demuestra cuando todo funciona, sino cuando algo falla y la empresa sigue operando”
Ese cambio de enfoque explica también la evolución de la propia compañía. Si durante años la prioridad fue ayudar a las organizaciones a gestionar su infraestructura tecnológica, hoy esa gestión ya no puede entenderse sin la seguridad. “La resiliencia no consiste sólo en prevenir incidentes, sino en detectarlos de forma temprana, responder con rapidez, mantener la continuidad del negocio y extraer aprendizajes que fortalezcan la postura de seguridad”, resume Mendoza. En su opinión, la gestión de TI, la ciberseguridad, la automatización y la inteligencia artificial deben funcionar como parte de una misma estrategia y no como disciplinas independientes.
Menos incidentes no significa estar mejor preparados
Uno de los aspectos más llamativos del informe es la aparente contradicción que presenta España. Sólo el 47 % de las organizaciones afirma haber sufrido un ciberincidente durante el último año, frente al 66 % de la media europea. Sin embargo, cuando se analiza cómo se preparan las empresas para afrontar esas situaciones, la fotografía cambia por completo.
Apenas el 35 % dispone de una metodología formal para medir su ciberresiliencia, casi la mitad se limita a corregir la vulnerabilidad concreta tras un incidente y únicamente un 30 % aprovecha esa experiencia para introducir mejoras estratégicas a largo plazo.
Para Mendoza, este contraste demuestra que el número de incidentes, por sí solo, dice muy poco sobre el verdadero nivel de preparación de una organización. “La resiliencia no se demuestra cuando todo funciona, sino cuando algo falla y la empresa tiene que seguir operando”, asegura.
El directivo considera que muchas compañías españolas siguen abordando la seguridad desde una perspectiva excesivamente reactiva. Resuelven el incidente, corrigen el problema inmediato y continúan con su actividad, pero rara vez analizan qué ha fallado realmente, si los procesos eran los adecuados o si podrían responder mejor la próxima vez. Ese es, a su juicio, el salto que todavía queda por dar: pasar de reaccionar ante los ataques a construir una capacidad de mejora continua.
“Gestionar un incidente no es lo mismo que construir ciberresiliencia”
La improvisación sigue siendo uno de los principales problemas
El estudio también pone de manifiesto otra debilidad importante: las organizaciones españolas tardan casi el doble que la media europea en resolver un incidente crítico. Para Andrés Mendoza, el problema no está únicamente en la tecnología. “Lo que está fallando no es solo la tecnología, sino el modelo operativo que debería sostenerla”, afirma.
En su opinión, el tiempo se pierde mucho antes de que los equipos empiecen a contener el ataque. Asegurando que la falta de claridad inicial es, en sí misma, “un indicador de madurez”, recuerda el directivo que los primeros minutos suelen dedicarse a entender qué ha ocurrido, decidir quién debe liderar la respuesta, identificar qué sistemas son prioritarios o coordinar a los distintos equipos.
La ausencia de procedimientos también pasa factura. Muchas empresas siguen dependiendo del conocimiento de personas concretas y una de cada cuatro ni siquiera ha fijado objetivos temporales para detectar y responder a un incidente. Sin métricas, advierte Mendoza, “la organización puede estar resolviendo incidentes, pero no necesariamente está construyendo resiliencia”, lo que dificulta saber si realmente está mejorando.
Otro obstáculo habitual es la fragmentación tecnológica. Muchas organizaciones han incorporado soluciones para monitorizar infraestructuras, proteger identidades, gestionar endpoints o realizar copias de seguridad, pero esas herramientas no siempre comparten información ni ofrecen una visión unificada del riesgo. “La diferencia la marca la capacidad de transformar una señal o una alerta técnica en una decisión operativa rápida”, resume Mendoza
Construir resiliencia va mucho más allá de gestionar incidentes
Para el responsable técnico de ManageEngine, existe una diferencia fundamental entre responder a un incidente y construir una estrategia de ciberresiliencia. Gestionar incidentes significa actuar cuando el problema ya se ha producido. La resiliencia, en cambio, comienza mucho antes: identificando qué procesos son realmente críticos para el negocio, definiendo responsabilidades, estableciendo objetivos de recuperación, comprobando periódicamente los planes de continuidad y revisando de forma constante la evolución de la postura de seguridad. “El salto pendiente consiste en pasar de una lógica de emergencia a una lógica de continuidad”, resume.
La automatización y la inteligencia artificial también ocupan un lugar destacado en esa estrategia. Según Mendoza, su aportación ya es tangible en tareas como la monitorización continua, la correlación de eventos, la clasificación automática de incidencias o el análisis masivo de datos, lo que permite reducir el ruido operativo y ofrecer a los equipos un contexto mucho más completo antes de intervenir.
“Las empresas más maduras no son las que tienen más herramientas, sino las que han convertido la resiliencia en una práctica continua”
Sin embargo, considera un error pensar que la IA podrá sustituir la experiencia de los profesionales. Puede ayudar a detectar patrones, realizar diagnósticos o proponer acciones, pero las decisiones que afectan al negocio seguirán dependiendo de las personas.
“La automatización debe liberar tiempo, pero nunca sustituir el criterio humano”, asegura el directivo añadiendo que “el valor está en que los profesionales puedan centrarse en las decisiones que realmente condicionan la continuidad del negocio”.
La resiliencia ya es una responsabilidad de toda la empresa
“No hablamos solo de proteger sistemas, sino de garantizar que la empresa pueda seguir funcionando ante cualquier interrupción”, subraya Andrés Mendoza haciendo referencia a que la resiliencia operativa ha dejado de ser una cuestión exclusivamente tecnológica. Y es que cuando un incidente afecta a un servicio crítico, las decisiones ya no son únicamente técnicas: también implican priorizar procesos, coordinar áreas, comunicar con clientes o activar planes de continuidad.
Ese cambio de paradigma obliga, en su opinión, a implicar tanto al CISO como al resto del negocio y a la alta dirección. La ciberseguridad, sostiene, debe dejar de entenderse como un conjunto de controles aislados para convertirse en una disciplina de gestión. No en vano, “TI y seguridad son áreas clave, pero no pueden actuar solas”; necesitan compartir prioridades, responsabilidades y objetivos con el resto de la organización.
Sin embargo, el estudio demuestra que todavía queda camino por recorrer. Sólo tres de cada diez organizaciones abordan la ciberresiliencia de forma regular a nivel corporativo, una señal de que, en muchos casos, la conversación sigue produciéndose cuando el incidente ya ha tenido lugar. Las organizaciones más maduras, explica Mendoza, “no son las que acumulan más herramientas, sino las que han institucionalizado la resiliencia como una práctica continua, medible y asumida por la dirección”.
Y concluye con una reflexión que resume esa evolución: “La dirección debe entender que la resiliencia operativa no es un coste defensivo, sino una condición para proteger la continuidad, la confianza y la competitividad de la empresa”.
“La identidad se ha convertido en el nuevo perímetro de seguridad”
La identidad será uno de los grandes frentes de los próximos años
Mirando al futuro, Mendoza prevé un incremento de los ataques impulsados por inteligencia artificial, especialmente campañas de phishing más sofisticadas, intentos de suplantación de identidad y ataques dirigidos capaces de aprovechar grandes volúmenes de información para resultar mucho más creíbles.
En ese escenario, considera que la identidad se consolidará como el nuevo perímetro de seguridad. La gestión de privilegios, la monitorización del comportamiento y los modelos Zero Trust ganarán aún más importancia a medida que los atacantes centren sus esfuerzos en comprometer cuentas con acceso a información crítica.
Las empresas, reconoce, son cada vez más conscientes de esta evolución, pero ahora deben transformar esa preocupación en medidas concretas. Porque, en definitiva, la resiliencia no depende únicamente de evitar los ataques, sino de la capacidad para detectarlos antes, responder con rapidez y seguir operando cuando inevitablemente llegan.
