**Los consejos directivos suelen subestimar el riesgo tecnológico hasta que se convierte en crisis: causas y consecuencias**
1. Introducción
En el actual entorno empresarial, la gestión de riesgos tecnológicos debería ocupar un lugar prioritario en la agenda de los consejos directivos. Sin embargo, la experiencia demuestra que muchas juntas de dirección continúan subestimando estos riesgos hasta que se produce una crisis significativa, como una brecha de datos, un ransomware devastador o una sanción regulatoria por incumplimiento del GDPR o la NIS2. Este artículo analiza en profundidad las razones detrás de esta tendencia, las implicaciones para la ciberseguridad corporativa y las mejores prácticas para revertir la situación.
2. Contexto del Incidente o Vulnerabilidad
En los últimos años, se han multiplicado los ejemplos de grandes organizaciones que han sufrido incidentes críticos de ciberseguridad tras años de advertencias ignoradas. Casos como el ransomware de Colonial Pipeline, la brecha de datos de Equifax (CVE-2017-5638, Apache Struts), o los ataques de supply chain a SolarWinds, pusieron de manifiesto cómo riesgos tecnológicos largamente identificados no recibieron la atención estratégica necesaria por parte de los órganos de gobierno corporativo.
Según un informe reciente de Gartner, el 88% de los consejos directivos considera la ciberseguridad un riesgo empresarial, pero solo el 12% la trata como una prioridad recurrente en sus reuniones. Este desajuste se traduce en infrafinanciación, carencia de talento especializado y una respuesta reactiva ante incidentes.
3. Detalles Técnicos
El desconocimiento técnico es una de las principales causas de la falta de acción de los consejos. Conceptos como CVE, TTPs (Tactics, Techniques and Procedures) del framework MITRE ATT&CK, indicadores de compromiso (IoC) o la explotación de vulnerabilidades mediante herramientas como Metasploit o Cobalt Strike, suelen estar fuera del vocabulario habitual de la alta dirección. Por ejemplo, la explotación del CVE-2021-44228 (Log4Shell) mostró que muchos consejos ignoraban la criticidad del software de código abierto en su stack tecnológico.
Los ataques avanzados suelen seguir una cadena de kill chain bien documentada: acceso inicial (phishing, exploits), movimiento lateral (herramientas como Mimikatz, Cobalt Strike), escalada de privilegios, exfiltración de datos y despliegue de ransomware. Sin un conocimiento del ciclo de vida del ataque o de las métricas de exposición (porcentaje de sistemas con el último parche, tiempo medio de detección -MTTD- y de respuesta -MTTR-), la percepción del riesgo se ve distorsionada.
4. Impacto y Riesgos
El impacto de la subestimación del riesgo tecnológico es cada vez más elevado. Según IBM, el coste medio de una brecha de datos en 2023 ascendió a 4,45 millones de dólares. Además, los daños reputacionales y regulatorios pueden poner en jaque la viabilidad de la empresa. En Europa, el incumplimiento del GDPR puede acarrear sanciones de hasta el 4% de la facturación anual global, mientras que la nueva directiva NIS2 endurece los requisitos y sanciones para infraestructuras críticas y proveedores TIC.
Las consecuencias incluyen interrupciones del negocio, pérdida de propiedad intelectual, caída en bolsa, litigios y pérdida de clientes. La falta de resiliencia tecnológica puede ser letal en mercados altamente competitivos y regulados.
5. Medidas de Mitigación y Recomendaciones
Para revertir esta tendencia, es esencial que los consejos directivos:
– Integren la ciberseguridad en la gestión global del riesgo empresarial.
– Exijan informes periódicos y comprensibles sobre exposición, amenazas y controles (usando métricas objetivas como CVSS, cobertura de parches, resultados de pentest y análisis SOC).
– Designen a CISOs con autonomía y reporting directo al consejo.
– Promuevan la formación continua en riesgos tecnológicos para directivos no técnicos.
– Simulen escenarios de crisis (table-top exercises, red team) para evaluar la preparación real.
– Inviertan en soluciones de detección y respuesta (EDR, XDR, SIEM) y en inteligencia de amenazas (Threat Intelligence).
6. Opinión de Expertos
Expertos como Ciaran Martin, ex director del National Cyber Security Centre (NCSC) del Reino Unido, coinciden en que «la ciberseguridad deja de ser un asunto meramente técnico para convertirse en una cuestión estratégica de negocio». Según Martín Vigo, consultor y formador en ciberseguridad, “los consejos tienden a subestimar lo intangible: el riesgo tecnológico no se ve hasta que el incidente es tangible y costoso”.
7. Implicaciones para Empresas y Usuarios
Para las empresas, la falta de preparación puede traducirse en pérdidas económicas, sanciones y pérdida de confianza. Los usuarios finales ven comprometida la privacidad de sus datos y la continuidad de los servicios digitales críticos. La presión regulatoria y del mercado está empujando hacia una cultura de “zero trust” y de ciberresiliencia, donde la gestión proactiva del riesgo tecnológico es ineludible.
8. Conclusiones
La subestimación del riesgo tecnológico por parte de los consejos directivos es una de las principales debilidades de la seguridad corporativa. Romper este ciclo requiere alfabetización digital estratégica, liderazgo del CISO, métricas objetivas y una cultura de anticipación, no de reacción. Solo así las empresas podrán afrontar el futuro digital con garantías.
(Fuente: www.darkreading.com)