Ningún informe sustituye al contexto

Detrás del criterio — 04

Adrián Romero Lecina

Director de Arquitectura de Seguridad en kritero

De encontrar fallos a evitar que los exploten

Adrián empezó en ciberseguridad por la parte ofensiva. «Me fascinaba entender cómo funcionaban los sistemas, encontrar sus puntos débiles y comprobar cómo, con relativamente poco esfuerzo, era posible comprometer organizaciones que parecían protegidas.» Con el tiempo, trabajando con responsables de seguridad y equipos directivos, cambió el enfoque: «Descubrí que lo realmente interesante no era romper las cosas, sino utilizar ese conocimiento para ayudar a las empresas a tomar mejores decisiones y reducir su exposición al riesgo.»

El ranking que no conocía el negocio

«He aprendido que ningún informe sustituye al contexto.» Adrián recuerda un cliente que llegó a una reunión decidido a incorporar una nueva tecnología de ciberseguridad, respaldada por rankings, recomendaciones de analistas y numerosos casos de éxito.

Durante la conversación le pregunté cuáles eran sus tres principales riesgos de negocio. Tras unos segundos de silencio, la sala empezó a hablar de problemas muy distintos: activos que no estaban correctamente identificados, vulnerabilidades pendientes durante meses y dependencias críticas que apenas habían sido analizadas. La tecnología seguía siendo una buena idea, pero dejó de ser la prioridad.

Aquella conversación, dice, le recordó algo que aplica desde entonces: «Las soluciones suelen ser fáciles de comprar; entender el problema correcto requiere mucho más esfuerzo.»

La pregunta que ningún consejo se hace

Si tuviera 30 segundos con un consejo de administración, Adrián no hablaría de vulnerabilidades técnicas. Hablaría de una pregunta muy concreta: «Les preguntaría si conocen realmente el impacto que tendría para su negocio la materialización de sus principales riesgos de ciberseguridad.» Muchas organizaciones conocen sus fallos técnicos, pero nunca han evaluado el impacto operativo, económico, regulatorio y reputacional que tendría que ese fallo se materializara. «Sin esa visibilidad es muy difícil priorizar correctamente.»

Más rápido de lo que nadie está midiendo

Sobre lo que el mercado todavía no entiende de su territorio, Adrián apunta a la velocidad, no al volumen: «Muchas organizaciones siguen sin ser conscientes de cuál es su nivel real de exposición tecnológica, especialmente en aquello que es visible desde internet.» El problema no es solo la superficie de ataque que existe hoy, dice, sino la rapidez con la que los actores maliciosos están incorporando capacidades basadas en inteligencia artificial para identificar vulnerabilidades, automatizar análisis y escalar ataques. «La capacidad ofensiva está evolucionando más rápido que la capacidad de muchas empresas para entender su propia exposición.»

Cuando el problema dejó de ser técnico

Durante años, cuenta Adrián, pensó que los principales retos de la ciberseguridad eran tecnológicos. Ya no. «Cada vez veo más organizaciones en las que el verdadero desafío está en la gobernanza, la coordinación y la toma de decisiones.» Regulaciones como NIS2, añade, están ayudando a que la seguridad deje de tratarse como un asunto exclusivamente técnico para convertirse en una cuestión de gestión y negocio.

Percepción no es evidencia

Cerramos preguntándole qué es lo primero que busca al analizar un sector para distinguir el riesgo real del ruido. Su método: buscar una relación clara entre la amenaza y una consecuencia real para el negocio. «Cualquier organización tiene recursos limitados, así que el objetivo no es reducir todos los riesgos, es priorizar dónde actuar para conseguir la mayor reducción posible con lo que tienes disponible.» Si no puede conectar una amenaza con un impacto operativo, económico o regulatorio tangible, dice, normalmente está ante ruido, no ante una prioridad real.