En una entrevista realizada con motivo del especial «Ciberresiliencia en la era de la IA», elaborado por Ciberseguridad TIC con la participación de fabricantes y responsables de Ciberseguridad y TI de organizaciones usuarias, Jordi García, ingeniero senior de preventa de Utimaco, analiza cómo la criptografía, la confianza digital y la preparación para la computación cuántica están ampliando el concepto tradicional de ciberresiliencia y convirtiéndose en elementos clave para garantizar la continuidad del negocio.
Durante años, la ciberresiliencia estuvo ligada a la capacidad de recuperarse tras un incidente. Sin embargo, Jordi García ingeniero senior de preventa de Utimaco, considera que esa visión ha quedado superada. “Una empresa ciberresiliente debería ser capaz de seguir prestando sus servicios esenciales incluso bajo ataque”, afirma el directivo, explicando que, para conseguirlo ya no basta con disponer de copias de seguridad o planes de contingencia. También es necesario diseñar arquitecturas preparadas para ser comprometidas, establecer mecanismos de gobernanza que permitan tomar decisiones con rapidez y fomentar una cultura en la que la seguridad forme parte del ADN de toda la organización.
En su opinión, varios factores están acelerando esta transformación. La creciente interdependencia entre organizaciones, proveedores cloud y cadenas de suministro hace que un incidente deje de ser un problema aislado para convertirse en un riesgo compartido. A ello se suma una presión regulatoria cada vez mayor, impulsada por normas como NIS2, DORA o el Reglamento de Ciberresiliencia, y una digitalización que reduce al mínimo la tolerancia a cualquier interrupción del servicio. “Cuanta más digitalización, menos tolerancia a una caída de servicio”, resume.
“Las claves criptográficas y los certificados son como la electricidad: nadie se da cuenta de que están ahí hasta que cae el suministro”
La confianza digital exige mucho más que continuidad de negocio
La inteligencia artificial añade una nueva dimensión al problema. Más allá de facilitar ataques más sofisticados, Jordi García considera que está desplazando parte del foco desde la confidencialidad hacia la autenticidad y la integridad de los datos. Si un modelo de IA toma decisiones basándose en información alterada o manipulada, las consecuencias pueden ser críticas para el negocio sin que exista necesariamente una fuga de información. Explica el directivo que “el reto es determinar si esos datos son realmente fiables, si provienen de una fuente auténtica o si han sido alterados”. En ese escenario, la criptografía, la firma digital y los certificados adquieren un papel decisivo para garantizar la confianza sobre la que operan los sistemas de IA.
Precisamente, el especialista de Utimaco considera que la gestión de claves criptográficas y certificados continúa siendo uno de los aspectos más infravalorados de la ciberresiliencia, asegurando que “las claves criptográficas y los certificados son como la electricidad. Nadie se da cuenta de que están ahí hasta que cae el suministro”. De ellos dependen la autenticación de usuarios, el cifrado de las comunicaciones, la firma de código o la validación de actualizaciones de software, por lo que una mala gestión de su ciclo de vida puede provocar la interrupción de servicios críticos incluso sin que exista un ciberataque.
Esta realidad también está estrechamente relacionada con el creciente interés por la soberanía digital. Para Jordi García, no basta con conocer dónde se almacenan los datos. Lo verdaderamente importante es quién controla las claves criptográficas que los protegen. “De nada sirve que los datos estén en territorio europeo si las claves están bajo el control de un proveedor sujeto a otra jurisdicción”, asegura. En su opinión, la confianza digital y la soberanía deben evolucionar conjuntamente para garantizar un control efectivo sobre la información.
Criptografía y soberanía, claves para la era poscuántica
Desde esa perspectiva, Utimaco centra su propuesta de valor en la protección de los activos criptográficos mediante módulos hardware de seguridad (HSM), capaces de generar y custodiar claves criptográficas y ejecutar operaciones de firma o cifrado dentro de un entorno seguro. Unas capacidades que, según explica, resultarán cada vez más importantes a medida que la inteligencia artificial se incorpore a procesos críticos y las organizaciones necesiten garantizar la integridad y autenticidad tanto de los modelos como de los datos que utilizan.
La computación cuántica representa el siguiente gran desafío. Jordi García reconoce que hace apenas un año muchas organizaciones todavía percibían esta amenaza como algo lejano, pero asegura que la situación ha cambiado de forma significativa. El riesgo de “almacenar ahora para descifrar después” y la aparición de algoritmos criptográficos poscuánticos están impulsando los primeros proyectos de transición. No obstante, advierte de que muchas empresas aún desconocen dónde se encuentran realmente sus claves y certificados, un paso imprescindible para afrontar esa migración con garantías. “La concienciación está ahí y eso me alegra”, concluye.
