Mes de la Concientización sobre la Ciberseguridad: fortaleciendo la resiliencia en diferentes sectores
En conversaciones con organizaciones de distintos sectores, desde proveedores de la industria automotriz hasta productores de alimentos, surge constantemente un mismo tema: la resiliencia cibernética se está volviendo tan importante para el desempeño del negocio como la seguridad operacional.
Durante este Mes de la Concientización sobre la Ciberseguridad, mi enfoque está en cómo las organizaciones pueden fortalecer su resiliencia frente al ransomware, las intrusiones en la cadena de suministro, las vulnerabilidades de las tecnologías conectadas y los riesgos emergentes relacionados con la inteligencia artificial, que pueden interrumpir las operaciones y socavar la confianza.
Un incidente de ciberseguridad puede interrumpir la producción y exponer información confidencial. Sus efectos pueden extenderse a las entregas a clientes, las cadenas de suministro y la confianza de las partes interesadas. Los servicios en la nube y los equipos conectados hacen que estos riesgos estén cada vez más interrelacionados. El acceso remoto y la inteligencia artificial añaden otras consideraciones.
La inteligencia artificial también está pasando a formar parte de las operaciones empresariales cotidianas. Las organizaciones utilizan IA para analizar información, automatizar actividades y respaldar decisiones. Estas aplicaciones pueden generar valor para el negocio. Al mismo tiempo, las organizaciones deben comprender dónde se utiliza la IA, qué información procesa y quién es responsable de supervisar su uso.
El Mes de la Concientización sobre la Ciberseguridad es una oportunidad para detenernos y plantearnos una pregunta importante:
¿Estamos gestionando la ciberseguridad como un tema técnico o como un riesgo para el negocio?
La tecnología es una parte importante de la ciberseguridad, pero por sí sola no es suficiente. Una ciberseguridad eficaz también depende de colaboradores informados y responsabilidades claramente definidas. Los procesos confiables, la supervisión de proveedores y los planes para responder a interrupciones son igualmente importantes.
Los riesgos específicos varían según el sector. Un proveedor automotriz puede estar preocupado por proteger información sobre prototipos. Un fabricante de alimentos puede estar más enfocado en mantener la producción. Una organización aeroespacial puede necesitar proteger datos técnicos sensibles a lo largo de una extensa red de proveedores.
Comprender este contexto de negocio es un primer paso importante para desarrollar una resiliencia cibernética efectiva.
La ciberseguridad comienza con la concientización
Muchos incidentes cibernéticos comienzan con actividades cotidianas. Un colaborador puede recibir un correo electrónico convincente que solicita una acción urgente. Las credenciales de un proveedor pueden verse comprometidas. Una organización puede continuar utilizando equipos sin soporte porque reemplazarlos afectaría la producción.
El riesgo también puede surgir cuando se introduce una nueva aplicación sin una revisión adecuada. Es posible que la organización no haya considerado plenamente cómo se accederá, almacenará o compartirá la información.
La IA añade otra consideración. Puede hacer que los correos electrónicos fraudulentos y los intentos de suplantación de identidad sean más convincentes. El uso inadecuado de herramientas de IA también puede exponer información confidencial o sensible.
Los colaboradores deben saber qué herramientas de IA están aprobadas y qué información puede introducirse en ellas. También deben comprender cuándo es necesario verificar un resultado generado por IA.
Los colaboradores no necesitan convertirse en especialistas en ciberseguridad o IA, pero deben comprender:
- Cómo reconocer y reportar solicitudes sospechosas
- Por qué son importantes una sólida protección de las cuentas y la autenticación multifactor
- Cómo sus decisiones pueden afectar la seguridad de la organización
- Dónde se almacena y comparte información sensible
- Qué herramientas de IA están aprobadas y cómo pueden utilizarse
- Qué hacer cuando ocurre algo inusual
- Por qué los procedimientos de ciberseguridad se aplican a sus funciones
Las prácticas fundamentales siguen siendo esenciales. Los colaboradores deben saber cómo reconocer intentos de phishing y utilizar contraseñas seguras. Las organizaciones también deben habilitar la autenticación multifactor y mantener actualizado el software.
Estas medidas preventivas deben estar respaldadas por planes para hacer frente a las interrupciones. Las organizaciones deben mantener copias de seguridad, preparar planes de respuesta a incidentes y estar listas para restaurar sistemas importantes.
Estas acciones proporcionan una base importante. A partir de ahí, cada organización debe considerar cómo se relaciona la ciberseguridad con sus operaciones y objetivos de negocio. Las expectativas de los clientes y las relaciones con los proveedores también deben formar parte de esa conversación.
Automotriz: proteger la información en una cadena de suministro conectada
La industria automotriz depende del intercambio continuo de información a través de una amplia red empresarial. Fabricantes y proveedores comparten información con empresas de ingeniería, compañías de tecnología y otros proveedores de servicios.
Esta información puede incluir prototipos, diseños de productos y resultados de pruebas. Los datos de producción y la información de clientes también requieren protección, al igual que los planes relacionados con tecnologías futuras.
A medida que los vehículos y las fábricas están cada vez más conectados, las organizaciones deben proteger esta información y, al mismo tiempo, responder a las crecientes expectativas de los clientes. Una vulnerabilidad en un proveedor puede generar consecuencias en otras partes del ecosistema automotriz.
Las organizaciones del sector automotriz deben considerar preguntas como:
- ¿Qué tan bien están protegidos los prototipos, diseños, información de clientes y otros datos sensibles?
- ¿Podría un incidente cibernético en la organización o en un proveedor interrumpir la producción o retrasar las entregas?
- ¿Las expectativas de ciberseguridad se comprenden y aplican de manera consistente en toda la cadena de suministro?
- ¿Cómo se gestionan el acceso, la conectividad remota, los equipos conectados y las dependencias de software?
- ¿Puede la organización demostrar a sus clientes prácticas eficaces de seguridad de la información?
El ransomware o un acceso comprometido de un proveedor pueden afectar la producción y los envíos. La pérdida de sistemas críticos también puede exponer propiedad intelectual y perjudicar la confianza de los clientes.
La IA se utiliza cada vez más en áreas como ingeniería e inspección de calidad. También puede apoyar la manufactura y el mantenimiento predictivo. Las organizaciones que adoptan estas aplicaciones deben establecer responsabilidades claras y una supervisión adecuada.
ISO/IEC 27001 proporciona un marco amplio para gestionar los riesgos de seguridad de la información. TISAX® se basa en elementos clave de ISO/IEC 27001 y aborda las expectativas de seguridad de la información específicas del ecosistema automotriz.
En conjunto, estos enfoques pueden ayudar a las organizaciones a establecer prácticas de seguridad consistentes y repetibles, así como a responder a los requisitos de los clientes. También pueden contribuir a generar confianza en toda la cadena de suministro.
Alimentos y bebidas: conectar la ciberseguridad con la continuidad del negocio
Las organizaciones de alimentos y bebidas dependen cada vez más de sistemas conectados de producción y monitoreo. Sus operaciones también dependen de plataformas de calidad y tecnologías de almacenamiento. Los proveedores de logística y las herramientas digitales de trazabilidad añaden nuevas conexiones.
La información se mueve entre la planta de producción y los sistemas empresariales más amplios. También puede compartirse con proveedores externos de servicios.
Esta conectividad mejora la eficiencia y brinda a las organizaciones mayor visibilidad de sus operaciones. Sin embargo, también puede permitir que un incidente cibernético afecte la producción y la calidad. Las consecuencias pueden extenderse a la distribución y al cumplimiento de los compromisos con los clientes.
Por lo tanto, la ciberseguridad en este sector está estrechamente relacionada con la resiliencia operacional.
Las empresas de alimentos y bebidas deben considerar preguntas como:
- ¿Podría un incidente cibernético interrumpir la producción, el almacenamiento o la distribución?
- ¿Los sistemas más antiguos, los equipos conectados y el acceso remoto de proveedores están adecuadamente protegidos?
- ¿Puede recuperarse información crítica sobre calidad, trazabilidad, saneamiento y condiciones ambientales?
- ¿Por cuánto tiempo podrían continuar las operaciones si una planta, sistema, proveedor o proveedor de tecnología dejara de estar disponible?
- ¿Los planes de respuesta a incidentes de ciberseguridad y continuidad del negocio están coordinados y se someten a pruebas?
Una interrupción puede afectar la disponibilidad de los productos y los compromisos con los clientes. También puede poner en riesgo inventarios perecederos. Si varias instalaciones dependen de la misma tecnología o proveedor de servicios, la recuperación puede ser más compleja.
La IA puede apoyar actividades como la elaboración de pronósticos y la planificación de la producción. También puede utilizarse para inspección de calidad o logística. Cuando la IA influye en una decisión operacional importante, sus resultados deben someterse a una revisión adecuada.
ISO/IEC 27001 ayuda a las organizaciones a gestionar los riesgos de seguridad de la información de forma estructurada. ISO 22301 les ayuda a identificar actividades críticas y prepararse para interrupciones. También apoya la continuidad y recuperación de operaciones críticas.
Utilizadas conjuntamente, estas normas pueden apoyar tanto la protección de la información como la continuidad del negocio.
Aeroespacial: proteger la información sensible y la confianza de los clientes
Las organizaciones aeroespaciales intercambian información sensible a lo largo de extensas cadenas de suministro. Estas redes pueden incluir fabricantes y empresas de ingeniería. Los proveedores de mantenimiento y socios tecnológicos especializados también pueden tener acceso a información o sistemas importantes.
La información compartida puede incluir diseños de productos y especificaciones técnicas. Los resultados de pruebas, las instrucciones de fabricación y las comunicaciones relacionadas con programas también pueden requerir protección.
Proteger esta información exige más que controles dentro de una sola organización. Las expectativas de ciberseguridad a menudo deben extenderse a los proveedores y subcontratistas que respaldan operaciones esenciales.
Entre las preocupaciones más comunes se encuentran:
- ¿Dónde se almacena la información sensible y quién puede acceder a ella?
- ¿Los proveedores y subcontratistas aplican prácticas consistentes de seguridad de la información?
- ¿Podría un incidente cibernético interrumpir actividades de ingeniería, producción, mantenimiento o entregas a clientes?
- ¿Cómo se gestionan los sistemas más antiguos, los equipos conectados, el acceso remoto y las dependencias tecnológicas?
- ¿Puede la organización demostrar que cumple los requisitos de ciberseguridad de clientes, contratos y otros requisitos relevantes?
La ciberseguridad en la cadena de suministro continúa siendo una preocupación importante porque un incidente que afecte a un proveedor puede tener consecuencias para múltiples organizaciones.
Los proveedores más pequeños pueden manejar información sensible aunque dispongan de menos recursos de ciberseguridad. Al mismo tiempo, las organizaciones más grandes pueden tener una visibilidad limitada de cómo se gestionan los riesgos en una extensa red de proveedores.
Por lo tanto, las organizaciones necesitan comprender qué proveedores y proveedores de tecnología son más críticos. También deben considerar cómo continuarían las actividades esenciales si uno de ellos sufriera una interrupción.
La IA puede utilizarse en ingeniería o mantenimiento. También puede apoyar actividades de inspección y planificación. Cuando un sistema de IA contribuye a una decisión importante, la responsabilidad de revisar su uso y sus resultados debe estar claramente definida.
ISO/IEC 27001 puede proporcionar un marco consistente para identificar riesgos y proteger información sensible. También puede apoyar la gestión de proveedores y la asignación de responsabilidades relacionadas con la seguridad.
Un enfoque estructurado ayuda a una organización a mantener y mejorar sus prácticas de seguridad de la información. También puede brindar a los clientes una mayor confianza en la forma en que se gestiona la información sensible.
Manufactura: gestionar la ciberseguridad donde los sistemas digitales se conectan con las operaciones
Los fabricantes dependen cada vez más de equipos conectados y sistemas digitales. Las plataformas en la nube y la automatización respaldan actualmente muchas actividades de producción. El análisis de datos y la IA también son cada vez más comunes.
Estas tecnologías pueden mejorar la productividad y proporcionar mejor información sobre las operaciones. También crean conexiones más estrechas entre los sistemas empresariales y los equipos utilizados para operar la producción.
En este entorno, la ciberseguridad no consiste únicamente en proteger los datos. También se trata de mantener la disponibilidad y confiabilidad de sistemas y equipos importantes.
Los fabricantes deben considerar preguntas como:
- ¿Qué sistemas, equipos y servicios digitales son más críticos para la producción?
- ¿Podrían el acceso no autorizado o el ransomware interrumpir las operaciones?
- ¿Cómo se gestionan los sistemas más antiguos, los equipos conectados y el acceso remoto de terceros?
- ¿Pueden los procesos esenciales continuar de manera segura mientras se restauran los sistemas afectados?
- ¿Están claras las responsabilidades y prioridades de recuperación entre TI, ingeniería, operaciones, mantenimiento y calidad?
Un incidente de ciberseguridad puede exponer información o detener la producción. Los efectos pueden incluir retrasos en los pedidos de clientes y problemas de calidad. También pueden surgir preocupaciones de seguridad y una interrupción operacional más amplia.
Gestionar estos riesgos puede ser especialmente difícil cuando los equipos más antiguos no pueden actualizarse fácilmente. El reemplazo puede ser complejo si requiere detener la producción.
El acceso remoto crea otra posible fuente de exposición. Los proveedores de equipos y otros terceros pueden necesitar acceso a los sistemas de producción, pero ese acceso debe gestionarse cuidadosamente.
Las actividades respaldadas por IA también deben tener responsabilidades claramente definidas y una adecuada supervisión humana. Algunos ejemplos incluyen el mantenimiento predictivo y la inspección visual. La IA también puede respaldar la planificación de la producción o la optimización de procesos.
Las organizaciones deben comprender cómo se revisan los resultados importantes respaldados por IA. También deben saber cómo continuarían las operaciones si la tecnología dejara de estar disponible o funcionara de forma inesperada.
La planificación de la ciberseguridad debe involucrar a las funciones operacionales y de negocio, además de TI. Los equipos de operaciones e ingeniería pueden ayudar a identificar dependencias críticas. Mantenimiento, calidad y la dirección de las instalaciones pueden explicar las consecuencias prácticas de una interrupción.
ISO/IEC 27001 puede ayudar a los fabricantes a establecer un enfoque estructurado para la seguridad de la información. Este enfoque puede abarcar los sistemas empresariales y los entornos de producción. También puede abordar las personas y los proveedores.
ISO 22301 complementa este enfoque al ayudar a las organizaciones a identificar operaciones y dependencias críticas. Apoya la preparación para interrupciones y la recuperación controlada de la producción.
Cuando se utiliza IA en actividades operacionales, ISO/IEC 42001 puede proporcionar una estructura adicional. Puede ayudar a establecer responsabilidades claras, gestionar riesgos y asegurar una revisión adecuada.
Las preocupaciones sobre ciberseguridad se extienden a todos los sectores
Aunque las consecuencias varían según el sector, muchas organizaciones se plantean preguntas similares:
- ¿Comprendemos qué información, sistemas, servicios y proveedores son más críticos para el negocio?
- ¿Las responsabilidades relacionadas con la ciberseguridad están claramente asignadas y comprendidas en toda la organización?
- ¿Los colaboradores saben cómo proteger información sensible, reportar actividades sospechosas y utilizar responsablemente las herramientas de IA aprobadas?
- ¿Pueden continuar las operaciones esenciales si un sistema crítico, proveedor o servicio tecnológico deja de estar disponible?
- ¿Podemos demostrar a clientes y partes interesadas que los controles de ciberseguridad se implementan de manera consistente y se mejoran continuamente?
Estas preguntas se aplican a muchos sectores. Son relevantes para organizaciones de energía y atención de la salud, así como para tecnología y transporte. Las organizaciones de servicios profesionales enfrentan muchas de las mismas consideraciones.
La respuesta adecuada dependerá de los riesgos y obligaciones de la organización. Su entorno operacional y su nivel actual de madurez también determinarán sus prioridades.
La ciberseguridad no debe separarse del resto del negocio. Afecta la forma en que las organizaciones gestionan proveedores y capacitan a los colaboradores. También influye en cómo adoptan tecnología, protegen a los clientes, mantienen las operaciones y generan confianza.
Convertir la concientización en acciones prácticas
El Mes de la Concientización sobre la Ciberseguridad puede ayudar a las organizaciones a iniciar una conversación, pero la concientización debe llevar a la acción.
Las organizaciones pueden utilizar este mes para concentrarse en varias prioridades prácticas.
1. Hacer que la ciberseguridad sea relevante para cada función
La concientización general es útil, pero es más probable que los colaboradores actúen cuando comprenden cómo se relaciona la ciberseguridad con su trabajo.
La capacitación debe reflejar las situaciones que probablemente encontrarán. Las necesidades de los equipos de producción e ingeniería pueden diferir de las de ventas o compras. Los profesionales de calidad y la alta dirección pueden enfrentarse a decisiones diferentes.
Los colaboradores que utilizan herramientas de IA deben saber cuáles están aprobadas. También deben entender qué información no debe introducirse y cuándo los resultados requieren una verificación adicional.
2. Identificar la información y las operaciones críticas
Las organizaciones deben identificar la información y los sistemas más importantes. También deben comprender qué servicios y procesos operacionales son esenciales.
Esto permite dirigir los esfuerzos de ciberseguridad y continuidad hacia las áreas donde una interrupción tendría el mayor impacto en el negocio.
3. Revisar las dependencias de proveedores y tecnología
Los proveedores pueden almacenar información o acceder a sistemas importantes. También pueden brindar soporte a equipos o proporcionar servicios digitales esenciales.
Por eso es importante saber qué proveedores son críticos. Las organizaciones deben considerar qué ocurriría si alguno sufriera un incidente cibernético o una interrupción del servicio.
4. Probar los planes de respuesta a incidentes y continuidad
Un plan documentado es valioso, pero un ejercicio puede revelar si las responsabilidades realmente se comprenden. También puede comprobar si los supuestos de la organización son realistas.
Los ejercicios deben examinar cómo los equipos se comunican y toman decisiones. También deben abordar soluciones temporales, obligaciones con los clientes y prioridades de recuperación.
5. Incorporar la seguridad en las decisiones de negocio
La ciberseguridad debe considerarse al seleccionar proveedores e introducir nuevos sistemas. También debe formar parte de las decisiones sobre equipos conectados, cambios en los procesos y adopción de IA.
Antes de implementar una aplicación de IA, la organización debe comprender su propósito y la información que procesará. También deben definirse la responsabilidad y el nivel adecuado de supervisión.
Considerar estas cuestiones desde el principio puede reducir la probabilidad de que surjan problemas posteriormente. Estos pueden involucrar seguridad y privacidad, así como la gobernanza más amplia de la tecnología.
6. Crear un enfoque de gestión consistente
Las actividades de ciberseguridad pueden fragmentarse. Pueden gestionarse mediante proyectos técnicos separados o introducirse en respuesta a solicitudes específicas de clientes. En otros casos, pueden depender de los esfuerzos de equipos individuales.
Un enfoque basado en sistemas de gestión puede integrar estas actividades. Puede conectar los riesgos y las responsabilidades con controles apropiados y también respaldar la capacitación, el monitoreo y la mejora continua.
El mismo principio se aplica a la IA. Una gobernanza clara puede ayudar a evitar que diferentes equipos introduzcan herramientas sin expectativas o supervisión comunes. Esa gobernanza debe ser proporcional a la forma en que se utiliza la tecnología y a los riesgos involucrados.
Generar confianza mediante un enfoque estructurado
Los sistemas de gestión pueden ayudar a las organizaciones a pasar de actividades individuales de ciberseguridad a un enfoque consistente. Proporcionan una estructura para gestionar riesgos y asignar responsabilidades. También respaldan controles eficaces, las competencias de los colaboradores, el monitoreo del desempeño y la mejora continua.
ISO/IEC 27001 es la norma internacional para los sistemas de gestión de seguridad de la información. Proporciona un marco basado en riesgos para proteger la información a través de las personas y los procesos. También aborda la tecnología utilizada para crear, almacenar y compartir esa información.
La norma puede ayudar a las organizaciones a aclarar responsabilidades y gestionar riesgos de seguridad. También puede respaldar las expectativas de los clientes y los requisitos contractuales. Su estructura de sistema de gestión fomenta el monitoreo y la mejora continua de las prácticas de seguridad de la información.
ISO/IEC 42001 es la norma internacional de sistemas de gestión para la inteligencia artificial. Ayuda a las organizaciones a gestionar la IA de forma estructurada.
La norma apoya la asignación de responsabilidades y la evaluación de los riesgos relacionados con la IA. También aborda la supervisión adecuada y el monitoreo del desempeño de la IA. ISO/IEC 42001 complementa ISO/IEC 27001 al centrarse en la gobernanza más amplia de la IA, y no únicamente en la seguridad de la información y la tecnología involucradas.
TISAX®, o Trusted Information Security Assessment Exchange, es un mecanismo de evaluación e intercambio desarrollado para la industria automotriz. Se basa en elementos clave de ISO/IEC 27001 y se centra en la información compartida en todo el ecosistema automotriz.
Esta información puede incluir prototipos e información sobre proyectos. Los datos de procesos y la información personal también forman parte de su alcance. Para muchos proveedores automotrices, TISAX ofrece una manera reconocida de demostrar madurez en seguridad de la información y responder a los requisitos de los clientes.
ISO 22301 es la norma internacional para sistemas de gestión de continuidad del negocio. Ayuda a las organizaciones a identificar actividades críticas y los recursos de los que dependen.
La norma respalda la preparación ante interrupciones y la continuidad de operaciones críticas. También ayuda a las organizaciones a planificar una recuperación controlada. En un contexto de ciberseguridad, esto conecta la respuesta técnica a incidentes con las decisiones de negocio más amplias necesarias para continuar atendiendo a los clientes.
Estas normas y marcos abordan necesidades diferentes pero relacionadas. ISO/IEC 27001 se centra en la seguridad de la información, mientras que ISO/IEC 42001 apoya una gobernanza responsable de la IA. TISAX aborda las expectativas de seguridad de la información del sector automotriz e ISO 22301 respalda la continuidad del negocio.
No eliminan el riesgo. Sin embargo, pueden ayudar a las organizaciones a establecer un enfoque disciplinado y repetible para la resiliencia. También respaldan la mejora continua a medida que cambian los riesgos y las necesidades del negocio.
La capacitación puede ayudar a los colaboradores a comprender sus responsabilidades y desarrollar las competencias necesarias. Las evaluaciones pueden identificar brechas, mientras que la certificación independiente puede brindar a clientes y otras partes interesadas mayor confianza en la forma en que se gestionan los riesgos.
Las siguientes preguntas resumen algunas consideraciones clave para las organizaciones que buscan fortalecer la concientización y la resiliencia en materia de ciberseguridad.
Preguntas frecuentes
¿Qué es el Mes de la Concientización sobre la Ciberseguridad?
El Mes de la Concientización sobre la Ciberseguridad es una oportunidad para que las organizaciones refuercen la concientización, aclaren responsabilidades y conecten la ciberseguridad con las decisiones cotidianas del negocio. Puede ayudar a involucrar a distintas funciones en la conversación y fomentar que los colaboradores comprendan cómo sus acciones afectan la seguridad y la resiliencia.
¿Por qué es importante la ciberseguridad para los fabricantes?
Los fabricantes dependen de equipos conectados, sistemas digitales, plataformas en la nube, automatización y acceso de terceros. Un incidente cibernético puede exponer información, interrumpir la producción, retrasar pedidos de clientes y afectar la calidad, la seguridad y la continuidad operacional.
¿Cómo ayuda ISO/IEC 27001 a las organizaciones a gestionar los riesgos de ciberseguridad?
ISO/IEC 27001 proporciona un marco basado en riesgos para un sistema de gestión de seguridad de la información. Ayuda a las organizaciones a asignar responsabilidades, gestionar los riesgos de seguridad de la información relacionados con personas, procesos y tecnología, monitorear el desempeño y mejorar continuamente las prácticas de seguridad.
¿Qué es TISAX y quién puede necesitarlo?
TISAX es un mecanismo de evaluación e intercambio desarrollado para la industria automotriz. Se centra en la información compartida en todo el ecosistema automotriz y puede ayudar a los proveedores del sector a demostrar su madurez en seguridad de la información y responder a los requisitos de los clientes.
¿Cómo apoya la ciberseguridad la continuidad del negocio?
La ciberseguridad y la continuidad del negocio están conectadas porque un incidente cibernético puede interrumpir sistemas, proveedores y operaciones críticas. La coordinación de la respuesta a incidentes y la planificación de la continuidad ayuda a las organizaciones a mantener actividades esenciales y recuperarse de manera controlada.
¿Cómo está cambiando la IA los riesgos de ciberseguridad?
La IA puede hacer que los correos electrónicos fraudulentos y los intentos de suplantación de identidad sean más convincentes, mientras que el uso inadecuado de herramientas de IA puede exponer información confidencial o sensible. Las organizaciones deben saber dónde se utiliza la IA, qué información procesa, qué herramientas están aprobadas y quién es responsable de su supervisión y verificación.
¿Qué primeros pasos pueden tomar las organizaciones para mejorar la resiliencia cibernética?
Las organizaciones pueden hacer que la ciberseguridad sea relevante para cada función, identificar información y operaciones críticas, revisar las dependencias de proveedores y tecnología, probar los planes de respuesta a incidentes y continuidad, incorporar la seguridad en las decisiones de negocio y crear un enfoque de gestión consistente.
El Mes de la Concientización sobre la Ciberseguridad es un punto de partida
La resiliencia cibernética se construye mediante las decisiones cotidianas. Depende de cómo los colaboradores responden ante actividades sospechosas y de cómo los líderes priorizan el riesgo. La gestión de proveedores y la introducción de nuevas tecnologías también desempeñan un papel importante.
Las organizaciones también deben estar preparadas para las interrupciones. Esto requiere que las personas comprendan sus responsabilidades y sepan cómo responder cuando algo sale mal.
El Mes de la Concientización sobre la Ciberseguridad brinda una oportunidad para reforzar estas conexiones. Puede involucrar a diferentes áreas de la organización en la conversación y ayudar a los colaboradores a comprender cómo se relaciona la ciberseguridad con su trabajo.
El objetivo no es convertir a cada colaborador en un especialista en ciberseguridad o IA. Es crear una organización en la que las personas comprendan sus responsabilidades y los líderes tengan la información necesaria para tomar decisiones fundamentadas.
La ciberseguridad debe convertirse en parte de las prácticas normales del negocio, en lugar de tratarse como una actividad técnica independiente.
La concientización inicia la conversación. Un enfoque estructurado y centrado en el negocio ayuda a transformar esa concientización en una resiliencia duradera.
Sobre el autor:
Cavan Leung es Head of ICT, Business Assurance, North America en DNV. Trabaja con organizaciones de múltiples sectores en temas relacionados con ciberseguridad, gobernanza, riesgos, assurance, cumplimiento, continuidad del negocio y tecnologías emergentes.
19-10-2026 2:00:00 p. m.
