El nuevo mapa de la ciberseguridad: del riesgo empresarial al impacto social

Los cambios profundos tanto en los activos que se protegen como en las amenazas a las que se enfrentan han provocado la evolución hacia el término “ciberseguridad” desde conceptos más tradicionales como “seguridad lógica”, “seguridad de la información” o “seguridad informática”. Esos activos que se deben preservar pueden ser tangibles (por ejemplo, datos, servidores, terminales, redes aplicaciones) o intangibles (por ejemplo, reputación, confianza), mientras que las amenazas pueden ser internas o externas, intencionadas o no intencionadas.

Mientras que la seguridad tradicional trataba de proteger eminentemente sistemas informáticos (hardware, software, redes) y la información almacenada o procesada en ellos, la ciberseguridad necesita abarcar un ecosistema digital complejo y mucho menos controlado o localizado, en el que aparecen todo tipo de dispositivos conectados a Internet, infraestructuras digitales críticas, servicios en la nube o redes sociales, por mencionar solo algunos ejemplos. Además, las amenazas de las que hay que protegerlos han pasado a ser transnacionales, muy organizadas y con fuertes motivaciones económicas o geopolíticas.

A pesar de esta evolución, hay algo que se ha mantenido en el tiempo: tanto la seguridad tradicional como la ciberseguridad forman parte esencial de la gestión del riesgo de las organizaciones, un proceso estructurado para identificar, evaluar y mitigar riesgos que puedan afectar a sus objetivos. Y se han centrado sobre todo en los riesgos relacionados con activos digitales y con amenazas que pueden afectar, principalmente, a su confidencialidad, integridad y disponibilidad.

La seguridad tradicional tenía un enfoque más bien preventivo, ya que casi todos los esfuerzos se centraban en evitar que se materializaran las amenazas. Sin embargo, la ciberseguridad se practica en un contexto donde se da por hecho que esto ya no es posible: hay que invertir los mismos esfuerzos en prevenir que en detectar y responder cuando no sea posible evitar que las amenazas se materialicen.

La ciberseguridad ha pasado de un ámbito más técnico u operativo al ámbito estratégico, algo que se demuestra, por ejemplo, con la presencia de roles específicos en los consejos de dirección (CIO, CISO, CSO), equipos especializados e inversiones propias. En algunos casos, se han comenzado a considerar no solo los riesgos con un impacto potencial en la cuenta de resultados de la propia organización, sino...