Ciberseguridad en el consejo
La ciberseguridad dejó de ser exclusivamente tecnológica. El consejo debe comprender exposición, información crítica, terceros, continuidad y respuesta a incidentes, estableciendo supervisión suficiente sin asumir funciones propias de especialistas operativos.
Durante años, la ciberseguridad fue tratada en numerosas organizaciones como un asunto reservado al responsable de sistemas: adquisición de antivirus, administración de contraseñas, respaldo de servidores y mantenimiento de infraestructura. Esa aproximación resulta insuficiente cuando prácticamente todas las funciones relevantes dependen de tecnología.
Facturación, pagos, producción, inventarios, comunicaciones, expedientes, propiedad intelectual, información de clientes y relaciones con proveedores pueden encontrarse conectados a sistemas cuya indisponibilidad durante unas horas produce efectos económicos significativos. El problema ya no consiste únicamente en evitar que alguien ingrese sin autorización a una computadora; consiste en preservar la capacidad de la empresa para operar, proteger información, cumplir compromisos y responder cuando los controles preventivos no funcionan.
Desde el gobierno corporativo, el reto consiste en encontrar el nivel correcto de supervisión. El consejo no debe administrar la infraestructura tecnológica ni seleccionar herramientas de seguridad; tampoco puede limitarse a preguntar una vez al año si “todo está protegido” y aceptar una respuesta afirmativa. Necesita comprender cuáles son los activos digitales críticos, qué amenazas podrían comprometerlos, qué controles reducen la exposición, qué riesgos permanecen y cómo responderá la organización ante un incidente. Supervisar ciberseguridad no significa dominar su complejidad técnica; significa convertirla en información empresarial susceptible de ser comprendida, discutida y relacionada con la tolerancia al riesgo.
La responsabilidad del consejo comienza por formular correctamente el problema
La Ley General de Sociedades Mercantiles (LGSM) contiene el régimen general relativo a administración, funcionamiento y responsabilidades de los administradores, pero no establece para toda sociedad anónima un comité obligatorio denominado de ciberseguridad ni prescribe una arquitectura tecnológica uniforme. Por ello, no corresponde presentar una determinada herramienta, certificación o estructura interna como obligación societaria general cuando no lo es.
La ausencia de una regla específica de esa naturaleza no vuelve irrelevante el riesgo. Si una exposición tecnológica puede comprometer continuidad, patrimonio, información o cumplimiento de obligaciones, forma parte de las materias que deben ser conocidas y administradas dentro de la estructura general de riesgos de la organización.
La primera tarea consiste en evitar una pregunta engañosamente sencilla: “¿estamos seguros?”. Ninguna organización puede responderla de manera absoluta. La pregunta correcta es cuál es la exposición, qué controles existen, qué vulnerabilidades se conocen y qué consecuencias tendría la materialización de determinados escenarios.
El consejo debe recibir respuestas comprensibles. Si la información se encuentra expresada exclusivamente en términos técnicos que impiden deliberar, existe un problema de comunicación de riesgo.
No toda información tiene el mismo valor
Una política razonable comienza identificando qué información y sistemas resultan críticos. Los controles deben guardar proporción con el impacto potencial de una pérdida de confidencialidad, integridad o disponibilidad.
La base de datos que contiene información estratégica no representa el mismo riesgo que un archivo público. Un sistema que controla operaciones esenciales requiere una protección distinta de una aplicación secundaria. Sin esta clasificación, la empresa puede gastar recursos protegiendo indiscriminadamente todo y, paradójicamente, prestar atención insuficiente a aquello que realmente podría paralizarla.
El consejo no necesita saber cómo configurar una red; necesita comprender qué información y operaciones dependen de ella, cuánto perdería la empresa si dejara de funcionar y quién respondería ante esa contingencia.
El consejo debería conocer cuáles son los denominados activos críticos y quién es responsable de ellos. También resulta conveniente saber qué sistemas carecen de sustitución inmediata y cuánto tiempo podría operar la organización sin utilizarlos.
Esta información permite traducir ciberseguridad a términos empresariales: pérdida potencial, tiempo de recuperación, interrupción operativa y exposición frente a terceros.
Los datos personales agregan obligaciones específicas
Cuando los sistemas contienen datos personales, la ciberseguridad se relaciona directamente con las obligaciones previstas en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su normativa aplicable. La organización debe considerar las medidas necesarias para proteger la información personal y actuar conforme al régimen correspondiente cuando se produzcan vulneraciones que afecten significativamente los derechos patrimoniales o morales de sus titulares.
Esto obliga a coordinar tecnología, jurídico y las áreas responsables del tratamiento de información. Un incidente no puede gestionarse exclusivamente desde sistemas si genera consecuencias respecto de titulares, contratos, autoridades o comunicaciones.
El consejo no necesita revisar cada aviso de privacidad ni cada control técnico, pero sí debería saber si existe una estructura responsable, cómo se escalan incidentes relevantes y qué tipo de información sensible mantiene la organización.
La ciberseguridad y la privacidad se relacionan, aunque no son conceptos idénticos. Puede existir un incidente tecnológico sin afectación de datos personales y una práctica deficiente de privacidad sin ataque informático. Confundirlos puede llevar a controles incompletos.
El error humano sigue siendo parte central de la exposición
Una organización puede invertir significativamente en tecnología y mantener vulnerabilidades derivadas de comportamientos cotidianos. Correos fraudulentos, reutilización de contraseñas, envío incorrecto de documentos, uso de dispositivos no autorizados o divulgación accidental de credenciales pueden superar controles sofisticados.
Por ello, la capacitación del personal forma parte de la gestión del riesgo. Debe adaptarse a las funciones y actualizarse conforme cambian las amenazas. Los ejecutivos y consejeros tampoco deben considerarse fuera del problema; precisamente por el acceso que poseen, pueden constituir objetivos especialmente atractivos.
El consejo puede preguntar por resultados de simulaciones, incidentes y tendencias sin solicitar nombres innecesarios. Lo relevante es conocer si la organización aprende de los errores y modifica controles.
Una cultura que castiga automáticamente cualquier reporte puede producir el efecto contrario al deseado: empleados que ocultan incidentes pequeños hasta que se convierten en problemas mayores.
Los proveedores pueden introducir riesgos que la empresa no controla directamente
La dependencia tecnológica de terceros ha aumentado considerablemente. Servicios en la nube, procesamiento de pagos, plataformas administrativas, soporte, telecomunicaciones y proveedores especializados pueden acceder a información o sostener funciones críticas.
Esto significa que una empresa puede sufrir una interrupción importante aunque sus propios sistemas no hayan sido directamente comprometidos. La gestión de terceros debe considerar qué proveedores resultan críticos, qué información reciben, qué obligaciones contractuales existen y qué alternativas se encuentran disponibles.
No todos los proveedores requieren el mismo nivel de revisión. El análisis debe concentrarse en aquellos cuya falla pueda producir un impacto material.
Los contratos pueden abordar confidencialidad, medidas de seguridad, notificación de incidentes, continuidad, subcontratación y terminación, dependiendo del servicio. Sin embargo, una cláusula contractual no sustituye la evaluación del riesgo. Transferir jurídicamente determinadas responsabilidades no garantiza que la operación pueda continuar cuando el proveedor deja de funcionar.
La respuesta al incidente debe prepararse antes del incidente
Aceptar que ningún sistema es invulnerable conduce a una conclusión fundamental: la empresa necesita capacidad de respuesta además de prevención.
Un plan debería identificar responsables, mecanismos de escalamiento, asesoría disponible, criterios de comunicación y prioridades de recuperación. También conviene determinar quién puede ordenar determinadas acciones extraordinarias y cuándo debe informarse al director general o al consejo.
Las simulaciones permiten comprobar si el plan funciona. Un ejercicio puede plantear que los sistemas de facturación y pagos se encuentran indisponibles un lunes por la mañana. ¿Quién confirma el incidente? ¿Qué operaciones continúan manualmente? ¿Cómo se comunica con clientes? ¿Qué información recibe el consejo?
Las respuestas obtenidas suelen revelar dependencias que los documentos no muestran.
Pagar o no pagar frente a una extorsión no debería improvisarse
Los ataques mediante secuestro de información pueden colocar a la organización ante decisiones extremadamente difíciles. La posibilidad de realizar un pago no debe analizarse únicamente como comparación entre el monto exigido y el costo de interrupción.
Existen consideraciones jurídicas, financieras, operativas y de cumplimiento que requieren asesoría especializada según las circunstancias concretas. Además, pagar no garantiza necesariamente la recuperación completa de la información ni evita que los datos hayan sido copiados.
El consejo no necesita adoptar anticipadamente una regla absoluta aplicable a cualquier escenario, pero debe asegurarse de que exista un proceso para evaluar la decisión bajo presión y que la organización sepa a quién consultar.
Las copias de seguridad y mecanismos de recuperación pueden modificar sustancialmente la capacidad de negociación. Por ello, deben ser probados y no simplemente declarados existentes.
El seguro es una capa de protección, no un sistema de seguridad
Las pólizas relacionadas con riesgos cibernéticos pueden ayudar a absorber determinadas pérdidas y facilitar acceso a especialistas. Sin embargo, no sustituyen controles, continuidad ni respuesta.
El consejo debería conocer de manera general qué exposiciones se encuentran cubiertas, principales exclusiones y condiciones relevantes. Una póliza adquirida años atrás puede haber dejado de corresponder con la escala o naturaleza del negocio.
También debe evitarse la idea de que transferir financieramente parte del riesgo elimina el impacto operativo y reputacional. El seguro puede cubrir ciertos costos; no necesariamente recupera clientes, reconstruye información o restablece confianza.
La decisión sobre aseguramiento debe integrarse al mapa general de riesgos y no tratarse como solución aislada.
Los reportes al consejo deben medir exposición, no actividad
Contar cuántos ataques fueron bloqueados puede producir cifras impresionantes y aportar poca información para decidir. Un millón de intentos irrelevantes no necesariamente representa mayor exposición que una sola vulnerabilidad crítica.
Los indicadores deberían concentrarse en asuntos que permitan observar tendencias y capacidad de respuesta: activos críticos pendientes de protección, vulnerabilidades relevantes, tiempos de corrección, incidentes materiales, resultados de pruebas, recuperación de respaldos, riesgos de terceros y avance de programas prioritarios.
El formato debe ser suficientemente estable para comparar periodos, aunque flexible para incorporar amenazas nuevas.
El Código de Principios y Mejores Prácticas de Gobierno Corporativo (Código) enfatiza la administración integral de riesgos, el control interno y la información necesaria para la adecuada supervisión del consejo. La ciberseguridad debe insertarse en esa lógica y no permanecer aislada como una conversación exclusivamente tecnológica.
El consejo también necesita capacitación
La dificultad técnica puede provocar dos comportamientos igualmente problemáticos: deferencia absoluta frente al especialista o intervenciones basadas en conceptos superficiales. La capacitación busca un punto intermedio.
Los consejeros deberían comprender términos esenciales, escenarios de riesgo y preguntas básicas que permitan evaluar los reportes. No necesitan seleccionar arquitecturas tecnológicas.
El riesgo cibernético se vuelve un problema de gobierno cuando la organización depende de sistemas que nadie en el consejo comprende suficientemente para cuestionar cómo están siendo protegidos.
Una sesión anual puede ser insuficiente en organizaciones altamente dependientes de sistemas. La periodicidad debe guardar relación con la exposición y velocidad de cambio.
También conviene que, ocasionalmente, el consejo escuche directamente al responsable de seguridad o tecnología y no únicamente una síntesis preparada por la dirección general. Esto mejora la visibilidad sin alterar la cadena de mando.
La inteligencia artificial amplía la superficie de riesgo
La incorporación de herramientas de inteligencia artificial agrega nuevas preguntas sobre información. Empleados pueden introducir datos confidenciales en servicios externos, utilizar resultados incorrectos o adoptar herramientas sin revisión corporativa.
La respuesta no debería consistir necesariamente en prohibir toda utilización. Debe definirse qué usos son aceptables, qué información no puede proporcionarse, qué herramientas están autorizadas y cuándo se requiere revisión humana.
También debe conocerse si proveedores incorporan inteligencia artificial en servicios existentes y qué consecuencias puede tener respecto de información, confidencialidad o propiedad intelectual.
Esta materia ilustra nuevamente por qué la ciberseguridad no puede permanecer estática: la tecnología modifica simultáneamente productividad y exposición.
La prueba definitiva es la capacidad de recuperación
Durante años, la conversación se concentró en impedir incidentes. Aunque la prevención continúa siendo indispensable, el consejo debe preguntar también cuánto tardará la empresa en recuperarse cuando un control falle.
Esta pregunta cambia la perspectiva. Obliga a conocer respaldos, procesos alternativos, proveedores, comunicaciones, seguros, facultades y responsables. También obliga a reconocer que determinados sistemas pueden permanecer indisponibles durante un periodo.
La resiliencia no significa evitar todo daño; significa limitarlo y restaurar funciones esenciales con suficiente rapidez.
Una organización puede tener controles tecnológicos sofisticados y seguir siendo frágil si no sabe operar cuando éstos dejan de funcionar.
Por ello, el consejo debe mirar la ciberseguridad como parte de continuidad, estrategia y riesgo empresarial. No necesita decidir qué herramienta instalar, pero sí comprender cuánto depende la organización de su infraestructura digital y qué ocurriría si esa dependencia se vuelve temporalmente en su contra.
La pregunta útil ya no es “¿pueden atacarnos?”. La respuesta será siempre afirmativa. La verdadera pregunta de gobierno es más exigente: “si ocurre un incidente importante mañana, ¿sabemos qué debemos proteger primero, quién tiene que decidir y cuánto tiempo necesitamos para volver a operar?”
Cuando el consejo puede responderla con claridad, la ciberseguridad deja de ser un asunto encerrado en el departamento de tecnología y se convierte en lo que realmente es: una cuestión de continuidad y gobierno empresarial.
Sobre el autor
Mtro. Benjamín Serna Liogol
Sigue leyendo
