Cuando los ciberataques son inevitables, concéntrese en la resiliencia cibernética
P
rotegernos de posibles ciberataques es una parte fundamental de nuestro trabajo. Aun así, es imposible estar completamente protegidos contra todas las vulnerabilidades.
Entonces, ¿qué deben hacer los expertos en ciberseguridad y las empresas que los emplean? Abandonar su mentalidad de prevención y adoptar una centrada en la resiliencia.
¿Qué es la resiliencia cibernética? ¿Y en qué se diferencia de la protección cibernética?
Una mentalidad de prevención implica hacer todo lo posible para mantener alejados a los atacantes. Una mentalidad de resiliencia agrega una capa adicional: mientras hace todo lo posible para prevenir un ataque, también trabaja con la expectativa de que podrían atravesar sus defensas e invierte mucho en prepararse para responder y recuperarse cuando ocurra lo peor. Las organizaciones resilientes destinan recursos significativos a elaborar planes sobre lo que harán si ocurre un ataque, diseñar procesos para ejecutarlos cuando llegue el momento y practicar cómo poner estos planes en acción. La prevención es fundamental, pero no es suficiente.
En una encuesta a 30 ejecutivos de ciberseguridad que realicé durante una reunión en el programa Cybersecurity at MIT Sloan (CAMS), donde soy directora ejecutiva, estos líderes definieron la resiliencia cibernética como “prepararse para poder recuperarse de un evento cibernético”, “contar con recursos y procesos listos para cuando algo salga mal” y “la capacidad de una organización para minimizar el daño de un incidente cibernético y maximizar la recuperación”. Un encuestado simplemente explicó que la resiliencia era “cuando nadie sabe que lo han hackeado”.
Lo que las organizaciones con una mentalidad de resiliencia hacen de manera diferente
En mis conversaciones con ejecutivos de ciberseguridad, tanto los involucrados en el consorcio de investigación de CAMS como los externos, he descubierto que los líderes de organizaciones resilientes hacen algunas cosas de manera diferente.
1. Han construido una cultura de ciberseguridad.
Han invertido en mecanismos para que todos en la organización, desde el empleado de nivel más bajo hasta la junta directiva, tengan un rol que desempeñar para ayudar a que la organización sea segura y resiliente. Como no sabemos de dónde vendrá el próximo ataque, necesitamos que todos estén atentos. Las barreras tecnológicas no son suficientes.
2. Preparan sus respuestas ante un ciberataque y practican.
Vemos que estas organizaciones realizan cosas como ejercicios de simulación y simulacros en todos los niveles, para que todos sepan qué hacer en caso de un incidente. Los líderes pueden poner a prueba los procesos, las estructuras y la tecnología para responder más rápidamente.
3. Son “seguras por diseño”.
Estas organizaciones utilizan principios de “seguridad por diseño” que van mucho más allá de simplemente diseñar su tecnología de manera segura. El concepto de seguridad por diseño normalmente se refiere a la práctica de considerar la seguridad de un sistema o aplicación digital desde las primeras etapas del proceso de diseño, pero las empresas pueden aplicar esta práctica en toda la organización.
4. Cuentan con los procesos de comunicación adecuados, por lo que están preparadas para responder, independientemente de qué (o cuándo) ocurra.
La preparación de las comunicaciones en caso de crisis es habitual, pero revisar estos planes en el contexto de una vulneración cibernética puede revelar componentes inesperados o faltantes. Por supuesto, el tiempo es esencial en una crisis cibernética, por lo que cualquier retraso puede tener consecuencias no deseadas.
© 2025 Harvard Business School Publishing Corp. | De: hbr.org | Distribuido por: The New York Times Syndicate.
Artículo en inglés
Protecting ourselves from potential cyber breaches is a critical part of the job. Even so, it’s impossible to be completely protected from every vulnerability.
So, what should cybersecurity experts and the companies that employ them do? Let go of their prevention mindset and adopt one focused on resilience.
WHAT IS CYBER RESILIENCY? AND WHY IS IT DIFFERENT THAN CYBER PROTECTION?
A prevention mindset means doing all you can to keep the bad guys out. A resilience mindset adds a layer: while you do all you can to prevent an attack, you also work with the expectation that they still might break through your defenses and invest heavily preparing to respond and recover when the worst happens. Resilient organizations specifically devote significant resources to drawing up plans for what they will do if an attack happens, designing processes to execute them when the time comes and practicing how to put these plans into action. Prevention is critical — but it’s not enough.
In a survey of 30 cyber executives I ran during a meeting at a Cybersecurity at MIT Sloan (CAMS), where I’m the executive director, these leaders defined cyber resilience as “preparing for, so you can recover from, a cyber event,” “having resources and processes in place for when something goes wrong,” and “the ability of an organization to minimize harm from a cyber incident and maximize recovery.” One respondent simply explained that resilience was “when no one knows you’ve been hacked.”
WHAT ORGANIZATIONS WITH A RESILIENCY MINDSET DO DIFFERENTLY
In my conversations with cyber executives — both those involved in CAMS’ research consortium and those outside of it — I’ve found that leaders of resilient organizations do a few things differently.
1. They’ve built a culture of cybersecurity.
They have invested in mechanisms where everyone in the organization, from the lowest level entry employee to the board of directors, have a role in helping the organization both be secure and resilient. Since we don’t know where the next attack will come from, we need everyone’s eyes and ears on it to some degree. Technology-based barriers are not enough.
2. They prepare their responses to a cyberattack — and practice.
We see these organizations doing things like table top exercises and fire drills at every level, so that everyone knows what to do in the event of an incident. Leaders can stress-test processes, structures and technology so they respond more quickly in the event of an incident.
3. They’re “secure by design.”
These organizations use “secure by design” principles that go way beyond just designing their technology securely. The concept of secure by design normally refers to the practice of thinking about security of a digital system or application at the earliest stages of the design process, but companies can apply the practice to their entire organization.
4. They have the right communications processes in place, so they are ready to respond regardless of what, or when, something happens.
Crisis communications preparation is common, but reviewing these plans in the context of a cyber breach can uncover unexpected or missing components. Of course, time is of the essence in a cyber crisis, so any delay can cause unintended consequences.
Las claves para tener éxito con un nuevo jefe
Saber que tendrá un nuevo jefe puede despertar una mezcla de emociones: desde alivio y entusiasmo hasta frustración, inquietud y sensación de pérdida.
Nuestros consejos favoritos de gestión sobre cómo dar retroalimentación
A continuación, presentamos una selección de nuestros consejos favoritos sobre cómo dar (y pedir) retroalimentación.
Lo que las empresas internacionales pierden cuando la toma de decisiones gira en torno a la sede central
Cuando las organizaciones cierran la brecha entre la sede central y el resto, se generan mejores decisiones, mayor flujo de información y menos frustración derivada de trabajar alrededor del mundo.
