De cara a 2030, las organizaciones deben prepararse no solo para prevenir incidentes, sino también para mantener sus operaciones y recuperarse ante escenarios críticos. En conversación con ZonaCISO, César Pallavicini, CEO de Pallavicini Consultores y Presidente de la Comunidad Riesgo Operacional, aborda el papel del directorio, las nuevas exigencias regulatorias, las capacidades de continuidad y la irrupción de la inteligencia artificial en el escenario de amenazas. También advierte sobre la brecha entre las nuevas responsabilidades de los CISOs y los recursos disponibles.
Cuando hablamos de “ciberresiliencia 2030”, ¿qué cambios deberían comenzar a implementar hoy las organizaciones para estar preparadas?
Deben dejar de pensar solamente en prevenir incidentes y prepararse para operar ante escenarios catastróficos, incluido el efecto de la crisis climática. Eso implica conocer muy bien los activos de información críticos, fortalecer la gestión de riesgos, contar con planes probados de continuidad operativa y de respuesta, y revisar periódicamente la dependencia de terceros y proveedores. La resiliencia se construye antes de una interrupción de uno o más procesos de negocio, no durante la crisis.
¿Qué diferencia existe entre contar con herramientas de ciberseguridad y ser realmente una organización ciberresiliente?
Una herramienta puede detectar, bloquear o alertar, pero por sí sola no hace resiliente a una organización. La ciberresiliencia combina tecnología, procesos, personas y capacidad de respuesta. En mi experiencia, la diferencia está en saber qué hacer cuando las defensas fallan: cuánto tardamos en detectar, contener, recuperar y volver a operar, y qué tan preparados estamos para tomar esas decisiones.
¿Qué rol debe asumir el directorio en esta materia?
El directorio debe asumir la gobernanza de ciberseguridad como un riesgo empresarial y de negocio, no como un problema meramente tecnológico. Las áreas de TIC pueden implementar herramientas y controles, pero el impacto de una interrupción, una fuga de información o un ataque puede afectar al negocio, a los clientes, a la reputación y hasta a la continuidad operativa de la organización.
Una recomendación relevante es desarrollar un protocolo, aprobado por el directorio y/o la alta gerencia, para cuando la empresa sea paralizada por un “secuestro de datos”. Este debe resolver, al menos, la pregunta: ¿pago un rescate antes de negociar con ciberdelincuentes o aplico mi Plan de Continuidad de Negocio, o DRP, con la ayuda de una empresa especializada o previamente definida?
¿Qué información e indicadores debería presentar un CISO al directorio para comunicar los riesgos y apoyar la toma de decisiones?
El CISO debe comunicar los riesgos en términos del negocio, no de la cantidad de alertas o herramientas implementadas. El directorio necesita saber cuál es la pérdida monetaria y/o de imagen estimada ante la caída de uno o más procesos de negocio críticos.
El directorio tiene un deber fiduciario con los accionistas, por lo que debe establecer los lineamientos estratégicos que aseguren la permanencia y creación de valor de la compañía en el largo plazo.
Frente a un ciberataque, ¿qué capacidades debería tener una organización para mantener sus operaciones?
Las capacidades clave para afrontar un ciberataque comienzan por mantener las operaciones -resistencia y continuidad- con alta disponibilidad y planes de continuidad del negocio (BCP) que incluyan un DRP.
Para responder oportunamente -detección y contención- y recuperarse -restauración y aprendizaje-, se requieren respaldos inmutables o backups: copias de seguridad cifradas y desconectadas de la red principal (air-gapped) para evitar que el ransomware las destruya. También se necesita capacidad forense para investigar el origen del ataque y cerrar la vulnerabilidad antes de levantar los sistemas, junto con una estrategia de remediación que priorice el restablecimiento de los servicios: primero los críticos para el negocio y luego los secundarios.
¿Qué importancia tienen los ejercicios de simulación en esta preparación?
Los ejercicios de simulación son cada vez más importantes y se inscriben en la mejora continua. Me refiero a los tabletop o a los entrenamientos de Red Team v/s Blue Team: son vitales porque el papel lo aguanta todo, pero la realidad no.
Su importancia radica en validar los planes teóricos, identificando brechas, herramientas que no funcionan o datos de contacto desactualizados en los planes de emergencia; entrenar la memoria muscular, reduciendo el pánico y el caos para que los equipos aprendan a reaccionar con calma bajo presión real; evaluar la toma de decisiones, permitiendo a la alta dirección practicar la gestión de dilemas críticos, como decidir si se paga o no un rescate; y medir los tiempos de respuesta para calcular cuánto tardaría realmente la organización en volver a la normalidad.
La IA está fortaleciendo tanto los ataques como las herramientas de defensa. ¿Cómo cambiará este escenario de aquí a 2030?
Para el año 2030, la ciberseguridad dejará de ser una disciplina reactiva gestionada por humanos para convertirse en una guerra de desgaste automatizada entre sistemas de inteligencia artificial (IA) autónoma. Expertos predicen una guerra entre la IA buena y la IA mala, controlada por el cibercrimen.
¿De qué manera la Ley Marco de Ciberseguridad y las nuevas exigencias regulatorias impulsan una mayor participación de los directorios?
La Ley Marco de Ciberseguridad, la creación de la Agencia Nacional de Ciberseguridad (ANCI) y el anuncio de multas por incumplimiento han aumentado la toma de conciencia de los altos directivos. Parecería ingenuo atribuirlo a un interés real por proteger la información que permite generar ingresos para los accionistas; la mayoría pensamos que se debe, más bien, al gran temor de ser multados y de poner en riesgo la imagen reputacional de la compañía.
Desde su experiencia liderando la Plataforma Estratégica CISOs de la Alianza Chilena de Ciberseguridad, ¿cuáles son hoy las principales preocupaciones de estos profesionales?
Creo que hoy una de las principales preocupaciones de los CISOs está relacionada con las nuevas exigencias regulatorias, particularmente con la entrada en vigencia de la Ley Marco de Ciberseguridad y la Ley de Protección de Datos Personales. Ambas generan una presión adicional sobre estos profesionales, que deben implementar cambios importantes en procesos, tecnología, gobierno y gestión de riesgos.
El desafío es que, en muchos casos, estas nuevas responsabilidades no vienen acompañadas de los recursos humanos y financieros necesarios. Esto puede deberse, en parte, a una falta de comprensión por parte de la alta gerencia respecto de los tiempos y esfuerzos que requieren estos proyectos, o bien a una visión de ahorro de corto plazo que termina siendo un ahorro mal entendido.
Desde mi perspectiva, invertir adecuadamente en ciberseguridad y protección de datos no debería verse solamente como un gasto o una exigencia de cumplimiento, sino como una inversión en la continuidad y sostenibilidad del negocio. El costo de no hacerlo puede ser muchísimo mayor: desde sanciones y pérdida de confianza hasta interrupciones operacionales, daño reputacional y, en los casos más extremos, poner en riesgo la propia continuidad o supervivencia de la organización.
¿Qué decisiones estratégicas deberían impulsar los directorios para fortalecer la ciberseguridad de sus organizaciones hacia 2030?
De aquí a 2030, el escenario de la ciberseguridad se convertirá en una guerra de desgaste automatizada y de alta velocidad, donde la Inteligencia Artificial (IA) operará en ambos bandos sin intervención humana constante: la evolución del ataque -IA maliciosa- frente a la evolución de la defensa -IA defensiva-.
El panorama no tendrá un ganador absoluto, sino un cambio de paradigma. Las batallas de ciberseguridad se librarán a una velocidad de máquina contra máquina, imposible de gestionar para los humanos. Al volverse la tecnología más segura, el factor humano será el eslabón más débil y los atacantes se enfocarán casi exclusivamente en manipular psicológicamente a las personas mediante deepfakes. Además, la ventaja inicial podría ser de los atacantes, debido al costo asimétrico: desarrollar una defensa global con IA suele ser más costoso que ejecutar un ataque dirigido.
Finalmente, no es fácil decir por dónde empezar. Creo que hay que dar una visión de gobernanza desde el directorio -si ya tomó conciencia- o preguntarse si forma parte del directorio algún profesional de inteligencia artificial o de ciberseguridad, para luego tener un buen plan estratégico a cuatro años con un presupuesto acorde al plan. Se requiere educación en todos los niveles de la compañía y un cambio de paradigma en la ejecución de sus procesos de negocio.