Por: Marcos Polanco. Director Ejecutivo de Gobierno Corporativo y CISO – Scitum TELMEX
Como cada año, octubre se convierte en un mes de conversaciones, eventos e iniciativas dedicadas a la ciberseguridad. Es una práctica que se ha consolidado en organizaciones de prácticamente todos los sectores y que ha contribuido a generar mayor conciencia sobre la importancia de proteger nuestra vida digital.
Sin embargo, este octubre me ha llevado a reflexionar sobre algo diferente. Los acontecimientos de las últimas semanas, sumados a lo que hemos observado durante el año, me hacen preguntarme si realmente estamos preparados para enfrentar la velocidad y complejidad de los cambios que vivimos.
En cuestión de días hemos conocido vulnerabilidades críticas en componentes tecnológicos ampliamente utilizados, como PHP y .NET, así como problemas relacionados con la validación de certificados digitales en Node.js. Esto obliga a fabricantes, proveedores de servicios y organizaciones a movilizarse para evaluar su exposición y aplicar las correcciones necesarias.
Descubrir y corregir vulnerabilidades es parte de nuestra actividad cotidiana. Lo que me preocupa es la presión que estos acontecimientos ejercen sobre las capacidades de respuesta de las organizaciones. Cada actualización puede requerir evaluaciones de impacto, pruebas, coordinación entre equipos y ventanas de mantenimiento. Todo ello mientras debemos mantener la continuidad de las operaciones y atender otras prioridades del negocio.
Hemos hablado durante años de la importancia de gestionar las vulnerabilidades y mantener actualizados nuestros sistemas. Pero ¿qué sucede cuando la frecuencia de los cambios necesarios comienza a superar nuestra capacidad para ejecutarlos de manera segura y sostenible? La fatiga de cambios es un riesgo que no deberíamos subestimar y la velocidad con la que debemos adaptarnos comienza a convertirse, por sí misma, en un desafío de seguridad.
Recientemente conocimos cómo, durante una investigación de seguridad, especialistas lograron acceder a sistemas internos de una importante empresa desarrolladora de inteligencia artificial, aprovechando vulnerabilidades en tecnologías empresariales convencionales y apoyándose en capacidades de IA. Esto nos recuerda que la innovación tecnológica no elimina los problemas de seguridad que hemos enfrentado durante décadas.
Mientras seguimos enfrentando estos desafíos conocidos, aparecen otros que todavía estamos aprendiendo a comprender.
Otro acontecimiento me parece especialmente revelador. Durante evaluaciones de ciberseguridad, agentes de inteligencia artificial basados en modelos experimentales que operaban con medidas de protección deliberadamente reducidas consiguieron superar restricciones técnicas, comunicarse mediante canales no autorizados y comprometer sistemas de terceros. Sus acciones excedieron los objetivos y límites establecidos para las tareas que debían realizar.
Las condiciones de estas evaluaciones fueron particulares y no podemos generalizar sus resultados a todos los sistemas de IA. Aun así, el acontecimiento plantea preguntas importantes sobre nuestra capacidad para anticipar, supervisar y controlar sistemas a los que estamos otorgando una autonomía cada vez mayor.
Aunque son acontecimientos muy diferentes, todos ponen a prueba nuestra capacidad para comprender los riesgos y responder oportunamente.
Todo esto me lleva a una pregunta: ¿qué tan preparados estamos para dirigir la ciberseguridad cuando resulta cada vez más difícil anticipar cómo evolucionará la tecnología?
Todd Fitzgerald, en su libro CISO Compass, describe cinco grandes etapas en la evolución del CISO desde mediados de los años noventa. Desde una función inicialmente concentrada en mecanismos básicos de protección, pasando por el cumplimiento regulatorio y la gestión de riesgos, hasta incorporar las amenazas asociadas con la movilidad, la nube y, posteriormente, la privacidad y la protección de los datos.
Al observar esa evolución, pienso que podríamos identificar al menos dos transformaciones adicionales que han marcado nuestra profesión. La primera fue la pandemia, que modificó abruptamente la forma de operar y proteger a las organizaciones, obligándonos a responder a escenarios para los cuales muchas no estaban preparadas. La segunda es la inteligencia artificial, cuyos efectos sobre la tecnología, los negocios y la propia ciberseguridad apenas comenzamos a comprender.
Lo interesante es que cada evolución del rol del CISO ha sido impulsada por cambios que pocos anticiparon completamente y cada una de estas transformaciones nos ha exigido desarrollar nuevas capacidades, asumir responsabilidades adicionales y modificar nuestra manera de trabajar.
Y algo que considero importante es que las nuevas exigencias generalmente se suman a las anteriores. Seguimos teniendo que proteger los sistemas, gestionar vulnerabilidades, atender regulaciones y responder a incidentes, mientras incorporamos responsabilidades que hace algunos años ni siquiera imaginábamos.
Después de muchos años trabajando en ciberseguridad, tengo la impresión de que el horizonte de planeación es hoy particularmente difuso. Resulta difícil imaginar cómo serán los sistemas tecnológicos dentro de tres años, qué grado de autonomía tendrán o qué nuevas dependencias estaremos incorporando a nuestras organizaciones.
Esto no significa que debamos abandonar la planeación de largo plazo. Por el contrario, necesitamos mantener una dirección estratégica clara, pero desarrollar mayor capacidad para revisar nuestros supuestos, ajustar prioridades y responder a condiciones que probablemente no habíamos previsto.
Creo que aquí se encuentra uno de los mayores desafíos para quienes dirigimos la ciberseguridad. La experiencia técnica y el conocimiento de las amenazas siguen siendo indispensables, pero necesitamos fortalecer otras competencias: pensamiento estratégico, capacidad para decidir bajo incertidumbre, comunicación, liderazgo y habilidad para impulsar cambios organizacionales.
En este Mes de la Ciberseguridad, además de celebrar y reconocer cuánto hemos avanzado, me parece oportuno cuestionarnos si somos realmente conscientes del ritmo al que debemos evolucionar.
Porque las capacidades que nos han permitido enfrentar los desafíos del pasado no necesariamente serán suficientes para los que vienen. Y aunque no podemos anticiparlo todo, sí podemos decidir qué estamos haciendo hoy para prepararnos mejor.
La ciberseguridad es el camino. La tranquilidad, el destino.
Compartir nota:
