Aspectos destacados
La resiliencia empresarial frente a las amenazas cibernéticas ya no depende de instalar más tecnología, sino de combinar personas, procesos, gobierno del riesgo y una dirección comprometida. Como explicábamos en el primer artículo de esta serie, las vulnerabilidades crecen en volumen, severidad y velocidad de explotación, y los ataques autónomos con IA ya son una realidad operativa. La pregunta que deben responder los órganos de dirección ya no es si sufrirán un incidente, sino si la organización está preparada para prevenirlo, contenerlo y recuperarse de él. Este es, en el fondo, el terreno de la resiliencia empresarial en ciberseguridad: anticipar, resistir y recuperarse.
Las cinco prioridades de Beazley para afrontar amenazas autónomas
Frente a un escenario de ataques cada vez más autónomos, Beazley Security propone cinco prioridades de defensa que conviene incorporar a cualquier programa de resiliencia empresarial y ciberseguridad:
| Prioridad | En qué consiste |
|---|---|
| 1. Reducir la superficie de ataque y parchear de inmediato | La ventana entre el descubrimiento de una vulnerabilidad y su explotación se mide en horas. |
| 2. Tratar la exposición zero-day como una brecha real | El parche cierra la vulnerabilidad; la validación forense confirma si hubo compromiso. |
| 3. Asumir la brecha en la arquitectura | Diseñar defensas en profundidad: la respuesta rápida minimiza el impacto. |
| 4. Las credenciales son el perímetro | El abuso de credenciales es hoy el vector de ataque nº1; la MFA resistente a phishing es imprescindible. |
| 5. Inventariar software y cadena de suministro | Si una herramienta de confianza —como ocurrió con Trivy— se compromete, la exposición es inmediata. |
Estas prioridades resumen bien el cambio de mentalidad que exige la era de los ataques autónomos: ya no basta con prevenir, hay que asumir que la brecha puede ocurrir y estar preparado para detectarla y contenerla en minutos, no en días. Es, en definitiva, el punto de partida de cualquier estrategia de resiliencia empresarial en ciberseguridad.
El gobierno de la IA en la empresa: de la adopción entusiasta a la supervisión responsable
La inteligencia artificial es hoy, a la vez, una herramienta de productividad y una nueva fuente de riesgo. Adoptarla sin gobierno introduce dependencias nuevas, automatiza procesos críticos y puede generar una falsa sensación de control. Gobernar la IA es también un pilar de la resiliencia empresarial en ciberseguridad, e implica, como mínimo:
- Inventario y clasificación de los sistemas de IA en uso, incluidos los adoptados sin control central («shadow AI»).
- Evaluación de riesgos y controles específicos para cada caso de uso.
- Políticas de uso aceptable, con reglas claras sobre qué datos puede tratar un agente de IA y cuándo debe detenerse la automatización para ceder el control a una persona.
- Supervisión humana y explicabilidad de las decisiones automatizadas.
- Formación y alfabetización en IA para toda la plantilla, no solo para IT.
Un mito habitual es pensar que la IA reduce por sí sola el riesgo. En realidad, sin trazabilidad, control de accesos y criterios claros de uso, la IA también puede ampliar la superficie de exposición o acelerar amenazas como el phishing sofisticado y el fraude automatizado. RibéSalat aborda en detalle los siete escenarios de riesgo de IA que pueden impactar en el negocio, desde la responsabilidad legal hasta el impacto operativo.
El factor humano: la cultura de ciberseguridad como primera línea de defensa
La resiliencia empresarial no depende solo de la tecnología: una parte importante de los incidentes sigue teniendo origen en errores humanos —un correo de phishing, una contraseña comprometida, una autorización indebida—. La cultura de ciberseguridad debe adaptarse a cada perfil: la plantilla necesita saber identificar correos fraudulentos y reportar comportamientos sospechosos; los equipos técnicos deben priorizar riesgos y coordinar la respuesta; la dirección necesita entender las consecuencias empresariales de un incidente para decidir durante una crisis.
Un table top exercise permite ensayar una crisis antes de que ocurra: se plantea un escenario —ransomware en el ERP, fuga de datos de clientes, fraude por correo— y se observa cómo decide cada rol. Para que la concienciación tenga impacto real conviene combinar microformación, simulaciones de phishing y ejercicios por área con empleados, mandos intermedios y directivos.
«Una empresa resiliente no es aquella que forma únicamente a su departamento de IT, sino aquella en la que cada empleado entiende qué papel desempeña en la protección de la organización», destaca Montserrat Recio, técnica senior en ciberseguridad de RibéSalat.
El papel de la dirección en la supervisión del riesgo cyber
La resiliencia empresarial ha dejado de ser un asunto exclusivamente técnico: forma parte de la gestión empresarial y debe incorporarse a la agenda de los órganos de dirección. La dirección no necesita conocer cada vulnerabilidad en detalle, pero sí disponer de un cuadro de mando cyber con indicadores como el nivel general de exposición, las vulnerabilidades críticas pendientes, el tiempo medio de remediación, los resultados de las simulaciones de phishing o la adecuación de la inversión en seguridad. Este enfoque permite pasar de una visión reactiva a una gestión preventiva del riesgo, y alinear inversión, controles técnicos y transferencia aseguradora con la exposición real de la empresa. Así se construye, paso a paso, la resiliencia empresarial en ciberseguridad a nivel de gobierno corporativo.
Esta lógica conecta directamente con el RGPD: el artículo 4.12 define la violación de seguridad de datos personales; el artículo 32 exige medidas técnicas y organizativas adecuadas al riesgo; el artículo 33 obliga a notificar a la autoridad de control en un máximo de 72 horas desde que se tenga constancia de la brecha; y el artículo 34 exige comunicarla a los interesados cuando exista alto riesgo para sus derechos. Desde una lógica de ERM y marcos como COSO, gestionar el riesgo cyber no consiste solo en evitar incidentes, sino en decidir con conocimiento qué proteger, qué aceptar y qué transferir.
El seguro cyber: mucho más que indemnizar
El seguro cyber no sustituye a la prevención, y tampoco debería entenderse como se entendía hace cinco años: una póliza contratada al final del proceso para «cubrirse» si ocurría algo. Hoy forma parte de una estrategia madura de gestión del riesgo, en la que la asegurabilidad depende cada vez más de la calidad de los controles: MFA, backups probados, EDR, gestión de parches y madurez para contener un incidente. Las aseguradoras ya no miran solo el sector o la facturación de la empresa.
Trabajar el seguro cyber de RibéSalat con una visión preventiva permite acceder a servicios de alto valor —evaluaciones de madurez, simulaciones de phishing, ejercicios de crisis o cuantificación del impacto financiero de un ransomware— que convierten la póliza en una palanca de resiliencia, no solo en una respuesta financiera posterior al siniestro. Conviene también revisar el ciclo completo de gestión de un incidente: detección y aviso, análisis forense, contención, aspectos legales y RGPD, recuperación y comunicación a grupos de interés. Contar con un plan de respuesta ante incidentes bien ensayado marca la diferencia entre una respuesta ordenada y una crisis improvisada.
«El seguro cyber no sustituye a la prevención, pero forma parte de una estrategia madura de gestión del riesgo. La clave está en revisar si las coberturas, límites y sublímites están alineados con la realidad tecnológica y operativa de la empresa», explica Montserrat Recio.
Mirada a 2027: hacia dónde va el riesgo cyber
De cara a 2027, varias tendencias marcarán la agenda de riesgo de cualquier empresa: más ataques autónomos y coordinados; IA generativa al servicio tanto del atacante como del defensor; una superficie de ataque en expansión por el cloud, las APIs, el IoT y los propios agentes de IA; y una presión regulatoria creciente, agravada por un contexto de tensión geopolítica que también se traslada al riesgo cibernético en las pólizas de seguro. En este escenario, la resiliencia, la confianza y el seguro cyber se consolidan como pilares del negocio, más que como una casilla de cumplimiento normativo.
La resiliencia empresarial en ciberseguridad no es un destino: es una capacidad. Gobernar el riesgo, proteger a las personas y transferir inteligentemente el riesgo con el seguro cyber marcará la diferencia entre las empresas que crecen y las que no sobreviven a la próxima crisis.
