La ciberresiliencia se ha convertido en un reto fundamental para las empresas globales, ya que la ciberdelincuencia industrializada, las tensiones geopolíticas, la expansión regulatoria y los rápidos cambios tecnológicos convergen para redefinir el riesgo. Tal y como explica Rebiah Bardot-Girard, Head of Cyber Risk Consulting Services de AXA XL, la rapidez de respuesta, la gobernanza y la resiliencia de todo el sistema son esenciales, junto con un asesor con experiencia.
La tecnología avanza constantemente y a un ritmo más rápido que nunca. Esto aporta enormes beneficios a empresas de todo tipo, pero también nos expone a todos al riesgo cibernético: todos estamos conectados.
A lo largo de mi carrera, he visto cómo la ciberdelincuencia se ha convertido en una operación global e industrializada. Desde hackers adolescentes en sus habitaciones hasta vastas y sofisticadas organizaciones criminales internacionales con funciones definidas que ofrecen «ciberdelincuencia como servicio», los riesgos son muy reales, muy presentes y están en constante evolución.
Para ayudar a nuestros clientes a desarrollar resiliencia frente a esta amenaza cambiante, mis colegas y yo buscamos continuamente cómo podemos mejorar nuestros propios conocimientos.
Aprendizaje continuo para comprender el riesgo
Afortunadamente, me encanta aprender. Tengo una licenciatura en Informática, un máster en Recursos Humanos, un MBA ejecutivo y, actualmente, estoy cursando un doctorado en Gobernanza de la toma de decisiones automatizada en Sistemas de Ciberseguridad.
Pero no es solo el aprendizaje teórico lo que resulta vital para comprender la ciberresiliencia. Mi equipo y yo sabemos que debemos dedicar tiempo a formarnos en las tecnologías más recientes para comprender los riesgos y las oportunidades que estas presentan.
Algunos de mis aprendizajes más importantes provienen de mis funciones protegiendo a empresas de los ciberdelincuentes a nivel mundial y preservando la continuidad del negocio en GIE AXA, en París, donde se coordinan la estrategia y la colaboración para todo el Grupo AXA. Definir estrategias de protección me ha proporcionado una visión importante sobre cómo podemos ayudar a los clientes a desarrollar resiliencia frente al riesgo cibernético en sus propias organizaciones.
Aunque la tecnología evoluciona rápidamente, sigue estando impulsada por las personas, ya que aproximadamente el 90 % de los incidentes cibernéticos se deben a errores humanos; por lo tanto, el riesgo cibernético y la resiliencia dependen, en última instancia, del comportamiento humano.
(Casi) todo gira en torno a las personas
Aunque la tecnología evoluciona rápidamente, en última instancia sigue siendo utilizada por personas, y el riesgo cibernético y la resiliencia tienen que ver principalmente con el comportamiento humano. Alrededor del 90 % de los incidentes cibernéticos se deben a errores humanos. Una parte fundamental de la labor de mi equipo consiste en ayudar a nuestros clientes a concienciar a todos los niveles de sus organizaciones sobre dónde se encuentran las vulnerabilidades. Hacemos hincapié constantemente en la importancia de la formación y de la adquisición de conocimientos.
Mi trabajo implica considerar siempre las consecuencias del peor de los casos. Durante mi etapa en AXA GIE como CSO and Crisis Coordinator, analizamos varios escenarios de riesgo clave y probamos nuestras respuestas ante ellos, y las probamos en numerosas ocasiones. Una pandemia mundial era uno de ellos. A pesar de ser uno de los riesgos que menos esperábamos, en 2020 el mundo entero la sufrió.
Proteger todo el ecosistema para desarrollar la ciberresiliencia
En muchos sentidos, la pandemia puso de relieve una importante lección que había aprendido unos años antes. En 2016, cuando el río Sena alcanzó su nivel más alto en más de 30 años, la ciudad se inundó rápidamente. Yo formaba parte del equipo que tuvo que decidir si había que evacuar el edificio de AXA GIE y, en caso afirmativo, cuándo hacerlo. Una de las principales consideraciones fue que esto no afectaría solo a una oficina. El edificio forma parte de un ecosistema de más de 20 entidades de AXA en París.
Fue una decisión compleja y estresante. Al final, optamos por no evacuar y, finalmente, el nivel de las aguas bajó. Nosotros —y las otras 20 entidades— pudimos seguir operando sin interrupciones. Estos sucesos nos recuerdan que, para desarrollar resiliencia ante el riesgo, todo el ecosistema debe ser consciente de la situación para poder protegerse de forma eficaz. Esto es especialmente cierto en lo que respecta al riesgo cibernético.
El futuro de la IA ya está aquí; todos debemos estar preparados
Cada vez que surge una nueva tecnología, hay un «bueno» y un «malo». La IA transforma la capacidad de todos para hacer ciertas cosas muy bien. Y ofrece a los malhechores un mayor margen para cometer delitos cibernéticos a escala industrial.
Recientemente, la empresa de investigación en IA Anthropic afirmó que no lanzaría públicamente un nuevo modelo —Mythos— porque sería demasiado peligroso si cayera en manos equivocadas.
Pero debemos recordar que la IA también nos proporciona herramientas para combatir algunos de estos riesgos. Las actualizaciones impulsadas por la IA, por ejemplo, pueden reducir enormemente el tiempo que transcurre entre el descubrimiento de una vulnerabilidad y la implementación de un parche, además de minimizar el riesgo de error humano en ese proceso.
Cuando hablamos con los clientes, reiteramos el sencillo mensaje de que ahora es el momento de trabajar en la base de la ciberseguridad. No se puede dirigir un negocio creíble sin contar con una estrategia sólida de ciberdefensa.
El ciberespacio evoluciona rápidamente, lo que genera un enorme riesgo potencial. La IA está acelerando el ritmo de esta evolución. Pero si todos desempeñamos nuestro papel en el ecosistema y seguimos aprendiendo y adaptándonos, podemos desarrollar una mayor resiliencia en todos los ámbitos de la vida, tanto en las grandes como en las pequeñas empresas. Con ese objetivo, hemos establecido los cuatro pilares —Prevenir, Preparar, Proteger y Prevalecer— para ofrecer un enfoque integral de ciberseguridad, al tiempo que los clientes reciben servicios complementarios como evaluaciones de seguridad, alertas, formación, simulacros de crisis y asesoramiento de expertos para aumentar su madurez cibernética.
Puede parecer que mi trabajo consiste en pensar siempre en lo peor que podría pasar. Es cierto que hay retos. Es emocionante y fascinante; siempre hay algo nuevo que aprender. Se puede decir sin miedo a equivocarse que nunca hay un momento aburrido.
