Cybercompliance y resiliencia empresarial

En los últimos años, el escenario de la ciberseguridad y el cumplimiento normativo ha experimentado una transformación acelerada. El cloud y la inteligencia artificial (IA) han redefinido tanto las oportunidades como los riesgos y generado un panorama más complejo y exigente para empresas de todos los tamaños.

Sobre este escenario de complejidad creciente hemos hablado con Daniel Largacha, director del Global SOC en MAPFRE, y con Carlos A. Saiz, socio y responsable del área de Privacy, Risk & Compliance en Ecix Group y vicepresidente de ISMS Forum. En la conversación, cuestiones de inmediata actualidad, como el impacto de la IA en la seguridad, se entrelazan con preocupaciones tradicionales, como la regulación —motor y a veces freno para la innovación— o el papel de las personas y de la cultura organizacional como puntales de la resiliencia.

Un escenario cambiante

La ciberseguridad en el ámbito empresarial se ha visto sacudida por dos terremotos: la nube y, más recientemente, la inteligencia artificial. El cloud es ya casi un viejo conocido, pero su crecimiento se ha disparado en los últimos años y está transformando cómo las empresas consumen la tecnología.

.
En cuanto a la IA, si bien su adopción se encuentra todavía en un estado embrionario, ya empiezan a despuntar los beneficios que ofrece y los retos que plantea. Así, en lo tocante a la ciberseguridad, los expertos señalan que la influencia de la IA hay que analizarla desde dos perspectivas: por un lado, como herramienta para diseñar y perpetrar ataques; por otro, como medio para mejorar los mecanismos de defensa. Es más, seguramente los agentes IA se consoliden como un apoyo real y autónomo en el que delegar muchas actividades de ciberseguridad, aunque todavía queda camino por recorrer.

“Otra cuestión muy diferente es el catálogo de riesgos que incorpora emplear la IA en una organización; es decir, los riesgos a los que se expone una empresa por usar estas tecnologías”.

En este punto entran en escena los crecientes esfuerzos de las Administraciones Públicas para regular estas tecnologías, especialmente en sectores de alto impacto (sanidad, ámbito financiero, servicios públicos…) y con un especial énfasis en la transparencia, la gobernanza y la protección de los derechos digitales.

Los agentes de IA se van a consolidar como un apoyo real y autónomo en el que delegar las actividades de ciberseguridad

Aunque esta tendencia está imponiendo a las empresas crecientes esfuerzos en materia de compliance, también es cierto que, según indican ambos expertos, la normativa ha conseguido que la ciberseguridad ocupe un lugar central a la hora de emplear la IA, algo que muchas empresas no estaban teniendo en cuenta de forma adecuada.

Por otra parte, un escenario tan regulado amenaza con derivar en asimetrías legislativas con respecto a otras regiones, que pueden influir en la competitividad. Encontramos un claro ejemplo en la industria automovilística y el reto de la conducción autónoma: hay fabricantes que, por su ubicación geográfica, están sujetos a una regulación más laxa, lo que les permite experimentar la tecnología basada en IA en un entorno real y los sitúa en una situación privilegiada.

“Un ejecutivo de una conocida marca alemana de automoción ya enunció hace algunos años una frase para reflexionar: en Europa la legislación solo nos permite utilizar los coches para conducir por garajes, y en unos años tendremos coches que sabrán conducir por garajes, pero no por calles y autopistas”.

Riesgos, riesgos y más riesgos

De forma generalizada, los incidentes de ciberseguridad más graves los ocasionan amenazas cada vez más sofisticadas y persistentes. El ransomware continúa siendo el ataque más peligroso, por su capacidad de paralizar operaciones y ocasionar cuantiosas pérdidas económicas, a menudo combinado con la extorsión mediante la amenaza de publicar datos robados. A esto se suman las campañas de phishing avanzado, potenciadas ahora con IA para crear mensajes, voces o imágenes falsas mucho más convincentes, lo que aumenta la probabilidad de engañar incluso a usuarios experimentados.

En cualquier caso, según señalan los expertos, el principal reto al que se enfrentan las empresas reside en que los nuevos riesgos se añaden a los existentes para componer un escenario más complejo.

Si el ransomware, los DDoS (ataques de denegación de servicio) o los fraudes de tipo BEC (business email compromise) ya estaban entre los principales ataques sufridos por las organizaciones, ahora hay que añadirles nuevas dimensiones, como los ataques a la cadena de suministro (entorno cloud, proveedores de tecnología, terceros que realizan tratamientos) o los dirigidos contra elementos estratégicos (energía, red de telecomunicaciones, materias primas, etc.).

Para complicar la situación, los entornos multicloud amplían la superficie de exposición y permiten a los atacantes comprometer a múltiples organizaciones a través de un único proveedor o una mala configuración.

El factor humano

Aspecto clave en este escenario de seguridad son las personas. A pesar de los avances en tecnologías y medidas de protección, los empleados continúan siendo una de las principales puertas de entrada para los ciberataques. Los atacantes aprovechan vulnerabilidades humanas que explotan la falta de formación, la confianza excesiva o el desconocimiento de los riesgos.

Y si bien es cierto que las organizaciones están reforzando la concienciación y la capacitación en ciberseguridad, con campañas de formación continua que enseñan a identificar amenazas y actuar ante ellas, aún queda camino por recorrer: la protección, más allá de la tecnología, depende de una cultura de seguridad compartida, en la que empleados, clientes y hasta gobiernos participen activamente en la educación y prevención de incidentes.

“La formación en ciberriesgos es un ámbito que se deja casi por completo a las empresas, y esto es un error. Los gobiernos, desde sus diferentes organismos, así como todas las entidades relacionadas con la educación, deben contribuir más en este ámbito”.

Cybercompliance y panorama regulatorio

Vivimos en un contexto normativo cada vez más exigente y armonizador, en el que se ha acelerado la creación de marcos normativos que buscan unificar criterios y obligaciones para reforzar la resiliencia de las organizaciones, proteger infraestructuras críticas y aumentar la transparencia y responsabilidad de las empresas.

De hecho, en opinión de los expertos, la normativa ha contribuido a mejorar la ciberseguridad en muchas organizaciones. La presión regulatoria, las importantes sanciones y, ahora también, la responsabilidad de los directivos, ayudan a concienciar sobre la importancia de implantar sistemas maduros de ciberseguridad en las compañías.

Hace años existían estándares voluntarios, o normas muy específicas o para sectores muy concretos. Pero la realidad se impone y, en el día a día de las organizaciones (de todos los tamaños), los riesgos de ciberseguridad han acaparado un protagonismo muy especial.

La formación en ciberriesgos es un ámbito que se deja casi por completo a las empresas, y esto es un error

Es cierto que las leyes suelen seguir y no preceder a los cambios en la realidad social, y la normativa de ciberseguridad no es una excepción. Europa está acelerando este proceso regulatorio, pero se ha optado por hacerlo de una forma muy segmentada.

“Uno de los retos a los que se enfrenta cualquier organización es comprender qué normas le afectan y en qué ámbito. Es lo que llamamos el mapa de cybercompliance: ¿Me afecta la NIS2? ¿En qué servicios, infraestructuras, sedes, filiales…? ¿Cómo convive con otras normas que también se me aplican, como el RGPD, el ENS o el Reglamento de IA?”.

En este escenario, muchas empresas están encontrando dificultades para cumplir con la creciente ola de regulaciones en ciberseguridad. El punto de partida varía en gran medida según el tamaño, sector y ubicación de la organización: mientras las grandes compañías y Administraciones Públicas pueden contar con estructuras y experiencias previas, las pymes o las entidades con recursos limitados enfrentan un desafío mayor.

“Queda mucho trabajo por hacer, no solo por las organizaciones que tienen que cumplir estas normativas, sino por el propio desarrollo de la actividad supervisora de las autoridades de control en cuanto a la publicación de líneas directrices, la imposición de sanciones, jurisprudencia… Estamos aún en el inicio de la era regulatoria en materia de ciberseguridad”.

Cultura de ciberseguridad

Ante un panorama de creciente complejidad, la tecnología, especialmente la IA, forma parte de la respuesta, pues permite automatizar algunas de las tareas que impone la gestión de un sistema de ciberseguridad y de cumplimiento regulatorio.

Pero también es muy importante promover una cultura de ciberseguridad apropiada, y hacerlo a todos los niveles: como padres, trabajadores, amigos y parejas, etc. En el ámbito corporativo, es fundamental que en las compañías se desarrollen labores de concienciación entre los directivos, y, por supuesto, impulsar planes de formación anuales para que los empleados sean capaces de detectar anomalías en su día a día.

“La inmersión en el mundo digital conlleva la necesidad de tener unos conocimientos mínimos que nos ayuden a comprender los riesgos intrínsecos de ese mundo tecnificado”.

Y, por supuesto, resulta también imperativo desarrollar evaluaciones regulares de riesgos y auditorías de seguridad. Esos instrumentos ayudarán a las organizaciones a conocer su estado de madurez y, sobre todo, a detectar en qué puntos pueden mejorar su sistema de protección.

“Tanto las normas jurídicas que hemos mencionado en materia de ciberseguridad como los principales estándares internacionales aluden a la necesidad de realizar revisiones y auditorías de ciberseguridad”.