Cerrar la brecha de la ciberresiliencia: el manual de la C-suite

Con la superficie de ataque en continua expansión a través de los avances en IA, dispositivos conectados y tecnologías en la nube, sumado a un entorno normativo en constante cambio, lograr la resiliencia cibernética a nivel empresarial es fundamental.

Sin embargo, a pesar de la concienciación generalizada sobre los retos, siguen existiendo importantes brechas. Para salvaguardar sus organizaciones, los ejecutivos deben tratar la ciberseguridad como un punto permanente de la agenda empresarial, integrarla en todas las decisiones estratégicas y exigir la colaboración de los directivos.

La Encuesta Global de Confianza Digital 2025 de PwC, realizada a 4.042 ejecutivos empresariales y tecnológicos de 77 países, reveló la existencia de importantes brechas que las empresas deben superar antes de alcanzar la ciberresiliencia.

• Brechas en la implementación de la ciberresiliencia: a pesar de la mayor preocupación por el riesgo cibernético, solo el 2% de los ejecutivos afirma que su empresa ha implementado acciones de ciberresiliencia en toda su organización en todas las áreas encuestadas.
  
• Brechas en la preparación: las organizaciones se sienten menos preparadas para enfrentar las ciberamenazas que consideran más preocupantes, como los riesgos relacionados con la nube y las infracciones de terceros.
• Brechas en la participación de los CISO: menos de la mitad de los ejecutivos afirman que sus CISO participan en gran medida en la planificación estratégica, la presentación de informes al Directorio y la supervisión de la implementación de tecnología..
• Brechas en la confianza en el cumplimiento regulatorio: los CEO y los CISO/CSO tienen diferentes niveles de confianza en la capacidad de su empresa para cumplir con las regulaciones, particularmente en lo que respecta a la IA, la resiliencia y la infraestructura crítica.
• Brechas en la medición del ciberriesgo: aunque los ejecutivos reconocen la importancia de medir el riesgo cibernético, menos de la mitad lo hace de manera eficaz, y sólo el 15% mide el impacto financiero de los riesgos cibernéticos en un grado significativo.

Todo esto apunta a la necesidad de una mejor colaboración entre la C-Suite y una inversión estratégica para reforzar la ciberresiliencia. Al abordar estas brechas y hacer de la ciberseguridad una prioridad empresarial, los ejecutivos pueden tender un puente hacia un futuro más seguro. Los CISO pueden ayudar a impulsar este resultado compartiendo conocimientos tecnológicos y explicando las prioridades cibernéticas en términos empresariales (costo, oportunidad, riesgo).

Mientras el panorama de la ciberseguridad sigue evolucionando, las organizaciones se enfrentan a amenazas cada vez más volátiles e impredecibles. Una superficie de ataque en expansión -estimulada por la creciente dependencia de la nube, la IA, los dispositivos conectados y terceros- exige un enfoque ágil y de toda la empresa para la resiliencia. Alinear las prioridades y la preparación de la organización es esencial para mantener la seguridad y la continuidad del negocio.

Sin preparación para las amenazas más preocupantes

Lo que más preocupa a las organizaciones es aquello para lo que están menos preparadas. Las cuatro ciberamenazas más preocupantes -las relacionadas con la nube, las operaciones de pirateo y filtración, las infracciones de terceros y los ataques a productos conectados- son las mismas para las que los ejecutivos de seguridad se sienten menos preparados. Esta brecha pone de manifiesto la urgente necesidad de mejorar las inversiones y reforzar las capacidades de respuesta.

Aunque el rápido avance de la IA generativa (GenAI) está abriendo nuevas oportunidades en todos los sectores, también presenta riesgos de ciberseguridad. A medida que las organizaciones adoptan la GenAI y otras tecnologías emergentes, los directivos deben sortear vectores de ataque más complejos e impredecibles, obstáculos de integración y la naturaleza de doble filo de la GenAI tanto en la ciberdefensa como en el ataque. 

Aprovechamiento de la GenAI para la ciberdefensa: Oportunidades y retos

Aunque GenAI está aumentando la superficie de ataque del riesgo cibernético para la mayoría de las organizaciones, los ejecutivos también están utilizando esa misma tecnología para la defensa cibernética. Las tres formas principales en que están aprovechando GenAI incluyen la detección y respuesta a amenazas, la inteligencia de amenazas y la detección de malware/phishing.

Los marcos regulatorios están pidiendo a las empresas que cumplan rápidamente con una creciente variedad de requisitos. Una oleada de nuevas normativas -DORA, Ley de Ciberresiliencia, Ley de IA, CIRCIA, Ley de Ciberseguridad de Singapur, etc.- subraya la urgencia de que las organizaciones adapten sus prácticas a estas mayores expectativas. Abordar estos retos es esencial para construir una postura de ciberseguridad resistente y conforme que pueda resistir tanto el escrutinio normativo como las amenazas emergentes.

Brecha de confianza: Los CISO se sienten menos seguros que los CEO sobre el cumplimiento cibernético

A pesar de la creencia de que las regulaciones cibernéticas están ayudando a la organización, existe una diferencia significativa entre la confianza de los CEO y los CISO/CSO en su capacidad para cumplir con estas regulaciones.

Las mayores brechas se refieren al cumplimiento de los requisitos en materia de IA, resistencia e infraestructuras críticas. Los CISO, que están en primera línea de la ciberseguridad, son menos optimistas que los CEO sobre la capacidad de su organización para cumplir estos requisitos normativos.

Liberar el potencial de la cuantificación del ciberriesgo: ¿Qué frena a las organizaciones?

A medida que las amenazas cibernéticas evolucionan rápidamente en alcance y sofisticación, la cuantificación del riesgo cibernético se ha convertido en una herramienta crítica que las organizaciones no pueden permitirse pasar por alto. Sin embargo, a pesar de sus ventajas ampliamente reconocidas, varios retos (problemas de calidad de los datos, fiabilidad de los resultados, etc.) han impedido una adopción más amplia.

Medir el riesgo cibernético es fundamental, pero limitado

Mientras que los ejecutivos están de acuerdo en que la medición del ciberriesgo es crucial para priorizar las inversiones en ciberriesgos (88%) y asignar recursos a las áreas de mayor riesgo (87%), sólo el 15% de las organizaciones lo están haciendo en gran medida (por ejemplo, cuantificación exhaustiva del ciberriesgo con automatización y elaboración de informes exhaustivos).

A medida que la ciberseguridad sigue evolucionando hasta convertirse en una prioridad empresarial fundamental, las organizaciones empiezan a ver su potencial como elemento diferenciador clave y como forma de mejorar su reputación y fiabilidad. Para prepararse, muchas están aumentando sus presupuestos cibernéticos, centrándose especialmente en la protección de datos y la confianza. Al invertir estratégicamente en estas áreas, las empresas no sólo están creando resiliencia, sino que se están posicionando positivamente ante sus clientes.

Invertir en lo que más importa: La nube y la confianza en los datos van de la mano

En los próximos 12 meses, las organizaciones darán prioridad a la protección/confianza en los datos y a la seguridad en la nube por encima de otras inversiones cibernéticas. Entienden que proteger la información sensible es vital para mantener la confianza de los stakeholders y la integridad de la marca.

Los ejecutivos empresariales y tecnológicos clasifican una lista diferente de prioridades en función de las áreas específicas de sus funciones.

• Los ejecutivos empresariales afirman que la protección de datos/confianza es su principal prioridad de inversión cibernética (48%), seguida de la modernización y optimización de la tecnología (43%).

• Para los ejecutivos tecnológicos, la seguridad en la nube sigue siendo su principal prioridad (34%), siguiendo la misma tendencia del año pasado. La protección de datos y la confianza es la siguiente prioridad (28%).

Ciberseguridad y confianza: La nueva ventaja competitiva

Las organizaciones ven cada vez más la ciberseguridad como un diferenciador clave para una ventaja competitiva, con el 57% de los ejecutivos citando la confianza del cliente y el 49% citando la integridad de la marca y la lealtad como áreas de influencia. A medida que se intensifican las amenazas cibernéticas, una postura de ciberseguridad sólida no es sólo cuestión de protección, sino de construir una reputación en la que los clientes y stakeholders puedan confiar.

Desde el retraso en los esfuerzos de resiliencia hasta las brechas en la participación del CISO en las decisiones estratégicas, hay áreas claras en las que se necesita una alineación estratégica. Para conseguirlo, las organizaciones deben emular las prácticas de ciberseguridad de sus homólogas con mejores resultados. También deben ir más allá de abordar las amenazas conocidas y aplicar un enfoque ágil y seguro desde el diseño del negocio, que se esfuerce por generar confianza y resistencia duradera.

La implementación parcial no es suficiente

A pesar de la creciente preocupación por los riesgos cibernéticos, la mayoría de las empresas tienen dificultades para implementar plenamente la ciberresiliencia en sus prácticas básicas. Un análisis de 12 acciones de resiliencia entre personas, procesos y tecnología indica que el 42% o menos de los ejecutivos creen que sus organizaciones han implantado plenamente alguna de esas acciones. Y lo que es más preocupante, sólo el 2% afirma haber implementado las 12 medidas de resiliencia en su organización. Esto deja una vulnerabilidad evidente: sin capacidad de recuperación en toda la empresa, las compañías siguen peligrosamente expuestas a las crecientes amenazas que podrían comprometer toda la operación.

He aquí algunas áreas clave que se beneficiarían de la atención de toda la organización.

• Creación de un equipo de resiliencia (sólo el 34% afirma que se ha implementado en toda la organización).
• Desarrollar un manual de ciberrecuperación para situaciones de pérdida de TI (sólo el 35% afirma haberlo implantado en toda la organización).
• Trazar un mapa de dependencias tecnológicas (sólo el 31% afirma haberlo hecho en toda la organización).

Elevar al CISO: alinear la estrategia con la seguridad

Muchas organizaciones pierden oportunidades críticas al no implicar plenamente a sus CISO en iniciativas clave. Menos de la mitad de los ejecutivos nos dicen que sus CISO participan en gran medida en la planificación estratégica de las inversiones cibernéticas, la presentación de informes al Directorio y la supervisión de la implementación de tecnología. Esta brecha hace que las organizaciones sean vulnerables a estrategias desalineadas y posturas de seguridad más débiles.