Durante años, la resiliencia cibernética se ha definido en función de la tecnología: controles de seguridad, capacidades de detección sofisticadas y estrategias de «copia de seguridad» cada vez más sólidas, diseñadas para prevenir ataques o recuperarse más rápido. Esas inversiones siguen siendo esenciales, pero ya no bastan. La inteligencia artificial ha cambiado radicalmente la naturaleza de los ciberataques, que ahora se producen a una velocidad que supone un reto incluso para las organizaciones más consolidadas. A medida que el margen de tiempo entre la intrusión y la interrupción de la actividad empresarial sigue reduciéndose, la resiliencia ya no consiste tanto en prevenir todos los ataques como en mantener la empresa en funcionamiento cuando la prevención, inevitablemente, falla.
Ese cambio constituye el núcleo del nuevo informe de IDC, «Resilience Operations: The Discipline that Makes Readiness Provable» (Operaciones de resiliencia: la disciplina que hace demostrable la Readiness). Basándose en una encuesta realizada a más de 500 organizaciones estadounidenses, el informe sostiene que la resiliencia se está convirtiendo en una disciplina operativa multifuncional que conecta las prioridades empresariales con la ciberseguridad, las operaciones de TI y la recuperación ante desastres. Y lo que es más importante, pone de manifiesto varias carencias que sugieren que muchas organizaciones siguen preparándose para un panorama de amenazas que ya no existe. Estas son las conclusiones más destacadas.
La recuperación debería partir de los resultados empresariales, no de los técnicos.
Históricamente, la planificación de la recuperación se ha centrado en restablecer la infraestructura lo antes posible, y el éxito se ha medido en función de los objetivos de tiempo de recuperación, las tasas de finalización de las copias de seguridad y la disponibilidad de las aplicaciones. Aunque esas medidas siguen siendo importantes, no responden necesariamente a la pregunta que más preocupa a los directivos: ¿Cuándo podremos volver a poner en marcha el negocio?
IDC sostiene que la resiliencia debería basarse en los resultados empresariales más que en hitos técnicos: se trata de recuperar las capacidades que permiten a la organización atender a los clientes, generar ingresos y cumplir con sus obligaciones. Puede que esto suene a mera semántica, pero cambia la forma en que se establecen las prioridades de recuperación. La tecnología se convierte en un medio para alcanzar un fin, en lugar de ser un fin en sí misma.
La mayoría de las organizaciones aún no han definido qué es lo más importante.
Casi 6 de cada 10 empresas aún no han definido del todo su negocio mínimo viable (MVB), es decir, el conjunto más reducido de funciones, sistemas, procesos y datos necesarios para seguir funcionando tras una interrupción.
Sin un entendimiento común de aquello de lo que realmente depende el negocio, cada paso que des durante la recuperación será una mera reacción. Si defines tu MVB antes de que se produzca una crisis, podrás tomar decisiones más rápidas, mejorar la coordinación durante la recuperación y, en última instancia, conseguir una organización más resiliente.
La automatización se está convirtiendo en la línea divisoria entre la resiliencia y la deuda de recuperación.
Aunque los atacantes automatizan cada vez más el reconocimiento, la explotación y el movimiento lateral, muchas organizaciones siguen recurriendo a procesos de recuperación manuales. Ese desequilibrio es cada vez más difícil de ignorar. La IA está reduciendo la duración de los ataques, pero los plazos de recuperación no han seguido el mismo ritmo. Las organizaciones que no logren automatizar estas tareas de recuperación pueden verse obligadas a dedicar días a elaborar y ejecutar planes, mientras que el daño ya se habrá producido. La gestión automatizada de la recuperación, la identificación clara de los puntos de recuperación y la validación coordinada se están convirtiendo en capacidades fundamentales para recuperarse a la velocidad que exigen los ataques actuales.
La tecnología no es el mayor reto en materia de resiliencia; lo es la coordinación dentro de la organización.
Los equipos de seguridad se centran en la contención, los de infraestructura en la recuperación, los directivos en el impacto en los clientes y los de cumplimiento normativo en las obligaciones legales. Ninguna de estas prioridades es incorrecta en sí misma, pero cuando se abordan de forma independiente, las organizaciones se enfrentan a una crisis sin un modelo operativo común.
Aquí entra en juego ResOps. En lugar de considerar la resiliencia como una responsabilidad del departamento de TI, el informe la plantea como una disciplina que aúna de forma deliberada los ámbitos empresarial, de seguridad, de infraestructura y de planificación de la recuperación. El mensaje es claro: la resiliencia depende menos de herramientas concretas que de establecer prioridades comunes antes de que un incidente te obligue a tomar decisiones difíciles.
Las pruebas siguen siendo uno de los indicadores más sólidos de la resiliencia.
IDC ha descubierto que son relativamente pocas las organizaciones que realizan con frecuencia ejercicios de simulación o simulaciones en campos de entrenamiento cibernéticos, a pesar de que desde hace décadas se ha demostrado que los ensayos mejoran sistemáticamente el rendimiento durante los incidentes reales.
Los ejercicios sacan a la luz dependencias ocultas, ponen de manifiesto las deficiencias en la comunicación y permiten a los equipos tomar decisiones sin que ello tenga consecuencias reales. Las organizaciones que validan repetidamente sus procesos de recuperación desarrollan un nivel de confianza que va más allá de la mera planificación.
Los retos de resiliencia del futuro ya se están perfilando. Te lo cuento…
El ransomware sigue acaparando los titulares, pero ya han surgido los próximos retos en materia de resiliencia: desde la IA con capacidad de acción y las identidades de máquina hasta la criptografía poscuántica.
Estas amenazas nos recuerdan que la planificación de la resiliencia no puede centrarse únicamente en la infraestructura actual. La recuperación implica cada vez más servicios en la «nube», aplicaciones «SaaS», modelos de IA, identidades de máquina, proveedores externos y ecosistemas digitales distribuidos que no existían hace una década.
La resiliencia se está volviendo medible.
El modelo de madurez ResOps de IDC es una herramienta inestimable para evaluar la situación actual de tu organización. En lugar de considerar la resiliencia como algo que las organizaciones tienen o no tienen, este marco describe una evolución desde operaciones reactivas y aisladas hasta una resiliencia madura y adaptativa, basada en la gobernanza, la automatización y la mejora continua. Para mí, esa progresión reconoce una realidad importante: la resiliencia nunca está terminada. No se trata de adquirir una plataforma ni de completar un proyecto. Las organizaciones se vuelven resilientes al mejorar continuamente la forma en que la tecnología, las personas y los procesos de negocio colaboran bajo presión. Visto desde esa perspectiva, la resiliencia se parece menos a un seguro y más a la excelencia operativa: una capacidad que se puede evaluar, reforzar y demostrar con el tiempo.
Estamos viviendo un cambio más amplio en la forma en que las organizaciones perciben la resiliencia.
Los debates sobre la resiliencia están pasando de centrarse en proteger la infraestructura a centrarse en proteger el propio negocio. Esto significa que la planificación de la recuperación empieza por los clientes en lugar de por los servidores, que la gobernanza cobra tanta importancia como la tecnología, y que la confianza se gana demostrando capacidades en lugar de documentando intenciones. ResOps no es realmente un marco nuevo; más bien, es un reconocimiento más amplio de que la ciberresiliencia se ha convertido en una disciplina operativa. A medida que los ataques se vuelven más rápidos y complejos, la resiliencia no se medirá por la ausencia de incidentes, sino por la capacidad de una organización para seguir prestando servicio a los clientes, apoyando a los empleados y manteniendo la confianza a pesar de las interrupciones. En definitiva, eso es lo que ResOps está diseñado para demostrar. Te lo cuenta Rajiv Kottomtharayil, director de productos de Commvault.