Cumplir no es suficiente: el futuro de la gestión del ciber-riesgo según Edna Conway
Introducción
En un contexto digital cada vez más complejo y bajo un marco regulatorio en constante evolución, las organizaciones tienden a ver el cumplimiento normativo como el principal escudo frente a las amenazas cibernéticas. Sin embargo, Edna Conway, referente global en seguridad de la cadena de suministro y ciberseguridad con más de 40 años de experiencia en empresas como Cisco y Microsoft, advierte: “El compliance no basta para proteger a las empresas de los riesgos reales”. En un reciente podcast, Conway expuso su visión sobre los desafíos contemporáneos en la gestión del ciber-riesgo, enfatizando la necesidad de ir más allá de la simple conformidad para construir resiliencia real.
Contexto del Incidente o Vulnerabilidad
El auge de los ataques supply chain y la sofisticación de las amenazas avanzadas han puesto en jaque los modelos tradicionales de gestión del riesgo, que han estado históricamente orientados al cumplimiento de estándares como ISO 27001, GDPR o la nueva Directiva NIS2. Los recientes incidentes de alto perfil, como los ataques a SolarWinds y Kaseya, han demostrado que el cumplimiento normativo, aunque necesario, no garantiza la protección ante amenazas que explotan vulnerabilidades en terceros o proveedores críticos. Según Conway, la excesiva dependencia en checklists regulatorios desvía la atención de los riesgos emergentes y de la necesidad de una vigilancia activa y adaptativa.
Detalles Técnicos: Vectores, TTPs e Indicadores
Las amenazas modernas apuntan especialmente a la cadena de suministro digital, explotando debilidades en procesos de desarrollo, integraciones de software y flujos de datos entre organizaciones. Conway señala que los adversarios emplean técnicas alineadas con los marcos MITRE ATT&CK como:
– Initial Access: explotación de vulnerabilidades zero-day (CVE-2023-34362 en MOVEit, CVE-2023-46604 en Apache ActiveMQ) para obtener acceso inicial;
– Lateral Movement: uso de herramientas legítimas como Cobalt Strike o Metasploit para desplazarse por la red;
– Defense Evasion: ofuscación de cargas maliciosas y abuso de credenciales privilegiadas;
– Impact: despliegue de ransomware (LockBit, BlackCat) o exfiltración masiva de datos.
Los indicadores de compromiso (IoC) más frecuentes incluyen dominios maliciosos registrados ad hoc, hashes de ejecutables personalizados y actividad anómala en logs de integración CI/CD. Según datos de ENISA, cerca del 62% de las brechas relacionadas con supply chain en 2023 implicaron la manipulación maliciosa de software legítimo distribuido a través de proveedores.
Impacto y Riesgos
El impacto de este tipo de ataques es especialmente grave: interrupciones operativas, pérdidas económicas (en 2023, el coste medio de una brecha supply chain superó los 4,7 millones de euros), daño reputacional y posibles sanciones regulatorias. Con la entrada en vigor de NIS2, se incrementan tanto las obligaciones de reporte como las multas administrativas, que pueden alcanzar el 2% del volumen de negocio global. Además, la exposición a ataques dirigidos a la cadena de suministro coloca en riesgo la confidencialidad, integridad y disponibilidad de datos críticos y procesos esenciales.
Medidas de Mitigación y Recomendaciones
Edna Conway insiste en que la defensa eficaz requiere una aproximación holística y proactiva. Entre las recomendaciones técnicas más relevantes destacan:
– Evaluación continua de proveedores críticos mediante auditorías técnicas, análisis de dependencias software y monitorización de riesgos;
– Implementación de soluciones de seguridad en la cadena de CI/CD, como escaneo de código fuente y verificación de integridad en pipelines DevSecOps;
– Segmentación de redes, control de acceso privilegiado (PAM) y autenticación multifactor (MFA) robustos;
– Adopción de frameworks como NIST CSF v2.0 y Zero Trust Architecture para minimizar el impacto de brechas;
– Simulaciones periódicas de incidentes y ejercicios de respuesta (tabletop exercises) para mejorar la preparación ante amenazas supply chain;
– Integración de inteligencia de amenazas (CTI) para identificar IoCs relevantes y adaptar las defensas a TTPs emergentes.
Opinión de Expertos
Distintos analistas SOC y CISOs coinciden con Conway en la necesidad de madurar la gestión del riesgo cibernético. Según Javier Plaza, responsable de ciberseguridad en una multinacional tecnológica, “el cumplimiento normativo marca el mínimo necesario, pero la resiliencia se construye con visibilidad, gobernanza y colaboración activa con el ecosistema de proveedores”. Otros expertos recalcan la importancia de la automatización en la detección y respuesta, así como de la formación continua de equipos técnicos y de negocio.
Implicaciones para Empresas y Usuarios
Para las empresas, el mensaje es claro: limitarse al compliance puede dejar expuestos puntos ciegos críticos. La nueva regulación europea obliga a adoptar controles más estrictos y a demostrar una gestión efectiva del riesgo, con especial foco en proveedores y socios tecnológicos. Para los usuarios, la transparencia y la capacidad de respuesta ante incidentes son factores clave de confianza en los servicios digitales. El futuro de la ciberseguridad estará marcado, según Conway, por la gestión colaborativa del riesgo y la adaptación constante frente a un entorno de amenazas en evolución.
Conclusiones
Edna Conway subraya que el cumplimiento es solo el punto de partida de una estrategia de ciberseguridad moderna. La resiliencia frente a los riesgos digitales, especialmente en la cadena de suministro, exige una visión integral, inteligencia contextual y una cultura de mejora continua. Solo así podrán las organizaciones anticiparse a los ataques sofisticados y evitar el coste —tanto económico como reputacional— de una gestión reactiva y meramente formalista.
(Fuente: www.securityweek.com)