Cinco mitos que evitan avanzar hacia la ciberresiliencia
Por: María Luisa Acuña, Managing Director Cybersecurity de Accenture Chile
A medida que los ciberataques se vuelven más frecuentes y difíciles de detener, la ciberresiliencia debería ocupar un lugar central en la estrategia de cualquier empresa. Sin embargo, los líderes aún están divididos respecto de qué significa realmente la resiliencia y quién debe asumir su responsabilidad. Para sobrevivir en un entorno de disrupción constante, las organizaciones deben alinearse y pasar de una mentalidad centrada exclusivamente en la protección a otra que priorice también su capacidad de recuperación.
Abordar y desmontar cinco mitos comunes puede despejar el camino hacia una verdadera ciberresiliencia. El primero es “estamos cumpliendo con la normativa vigente”. Eso demuestra que la organización sigue las reglas, pero no garantiza que pueda continuar operando cuando ocurre una interrupción. La conformidad regulatoria y la ciberresiliencia no son lo mismo: mientras la primera valida el cumplimiento de requisitos establecidos, la segunda mide la capacidad de la empresa para mantener operaciones críticas y recuperarse rápidamente frente a incidentes o ataques.
Sin embargo, de acuerdo cifras de Accenture, 87% de las organizaciones cree que el cumplimiento regulatorio garantiza la ciberresiliencia, mientras solo 35% realiza pruebas periódicas de resiliencia mediante ejercicios reales de recuperación y continuidad operativa, no solo a través de auditorías.
El segundo mito es “estamos protegidos, así es que podemos recuperarnos”. De acuerdo con cifras de Accenture, 87% de las organizaciones confía en que sus controles de seguridad son suficientes para mantener las operaciones críticas durante una interrupción cibernética importante. Sin embargo, la protección reduce la probabilidad de una falla de detección de un ciberataque, pero es la resiliencia la que determina si el negocio puede seguir operando cuando ocurre lo inevitable.
El tercer mito es que “los proveedores y socios se protegen a sí mismos”. La realidad es que las terceras partes pueden ser responsables desde el punto de vista contractual, pero los contratos no mitigarán las consecuencias operativas compartidas en caso de un ciberataque. Es vital que las empresas construyan resiliencia a lo largo de toda la cadena de valor, porque las interrupciones no respetan los límites organizacionales y las dependencias externas pueden ser tan críticas como los sistemas internos.
El cuarto mito es “contamos con respuesta a ciberataques, así es que somos resilientes”. La respuesta a incidentes se centra en contener y remediar el evento disruptivo en sí. La resiliencia, en cambio, determina cómo el negocio continúa operando y cómo se recupera durante y después de la interrupción. Es fundamental que las compañías desarrollen la capacidad de absorber el impacto, no solo de responder a él, y esto necesariamente implica que esto debe ser probado mediante ejercicios ambiciosos de recuperación ante desastres que incorporen a todas las áreas.
Finalmente, el último mito es que “la ciberseguridad es un tema solo del departamento de TI”. Dado que las disrupciones afectan procesos, personas, socios y cadenas de valor completas, la preparación y la capacidad de recuperación deben ser una responsabilidad compartida entre todas las áreas del negocio. Actualmente, solo 43% de las empresas gestiona la ciberresiliencia como un resultado de negocio cuya responsabilidad es compartida por todo el equipo directivo.
Estos cinco mitos evidencian la necesidad de actualizar las estrategias de ciberseguridad, ya que prevenir ataques es indispensable, pero no basta. La ciberresiliencia consiste en mantener la capacidad de generar valor incluso ante una disrupción inevitable.
