La transformación digital amplió las oportunidades de las organizaciones, pero también modificó su exposición a los riesgos. El trabajo remoto, los servicios en la nube, la conectividad con proveedores y clientes y la creciente dependencia tecnológica hacen que la ciberseguridad sea hoy un asunto central para la continuidad del negocio.
Durante el evento “Ciberseguridad: liderar en la era del riesgo digital”, realizado por Grant Thornton Uruguay en WTC Montevideo Free Zone, se analizaron los principales desafíos que enfrentan las organizaciones para conocer su exposición, priorizar riesgos y desarrollar capacidades de prevención, monitoreo y respuesta.
La instancia contó con la participación de Diego Licio, Socio Líder de Consultoría; Ignacio Lagomarsino, Director Líder de Ciberseguridad; y Gerardo Canedo, Consultor Senior Experto en Ciberseguridad.
De la seguridad percibida a la seguridad real
Durante su presentación, Diego Licio se refirió a los cambios que acompañaron la transformación digital y a la ampliación de la superficie de exposición de las organizaciones.
Uno de los principales desafíos, señaló, consiste en reconocer la diferencia entre la seguridad que una organización cree tener y la que efectivamente tiene. Disponer de herramientas, políticas o certificaciones no garantiza por sí solo una protección adecuada. Para conocer el nivel real de exposición es necesario evaluar los controles existentes, verificar su funcionamiento e identificar las vulnerabilidades que requieren atención prioritaria.
Esta evaluación permite transformar percepciones en evidencia y brindar a los equipos de dirección información más clara para tomar decisiones.
“La primera pregunta es quién lidera la ciberseguridad de nuestra organización. La segunda es si estamos bien o mal, según quién y comparados con qué.”
Diego Licio | Socio Líder de Consultoría
La ciberseguridad como responsabilidad de la dirección
Otro de los ejes centrales del encuentro fue la necesidad de integrar la ciberseguridad a la gestión general de las organizaciones y evitar que quede limitada al área de tecnología.
Ignacio Lagomarsino planteó algunas preguntas fundamentales para los equipos de dirección: ¿quién lidera la ciberseguridad?, ¿cómo se evalúa el nivel de preparación?, ¿la inversión es proporcional a la dependencia tecnológica?, ¿existe un plan concreto para mejorar?
Responder estas preguntas permite comenzar a definir responsabilidades, establecer prioridades y asegurar que las decisiones vinculadas con el riesgo digital formen parte de la estrategia del negocio.
Una gestión basada en riesgos
Los marcos y estándares de ciberseguridad ofrecen referencias valiosas, pero su aplicación debe responder a las necesidades y prioridades de cada organización.
En este sentido, Ignacio Lagomarsino destacó la importancia de realizar un análisis de riesgos que permita identificar los aspectos más relevantes, ordenarlos según su impacto y construir una hoja de ruta.
De esta forma, los recursos pueden concentrarse en las medidas que aportan mayor valor, en lugar de limitarse al cumplimiento formal de controles aislados. La gestión basada en riesgos también facilita la planificación de acciones en el corto y mediano plazo, con objetivos, responsables y prioridades definidos.
Preguntas para conocer el nivel de preparación
Gerardo Canedo propuso una serie de preguntas de autodiagnóstico orientadas a evaluar, con evidencia, el nivel real de preparación de una organización.
Entre otros aspectos, invitó a analizar cuántas vulnerabilidades existen y cuáles requieren mayor atención, cómo se recuperarían los sistemas a partir de un respaldo, cuántos usuarios operan sin autenticación multifactor y qué capacidad existe para reconstruir accesos y actividades a partir de los registros disponibles.
También destacó que no alcanza con contar con herramientas de detección. Es necesario verificar qué detectan y comprobar periódicamente que los controles funcionen de acuerdo con lo previsto.
“Nadie tiene cero vulnerabilidades. Lo importante es saber cuántas tenemos y en cuáles debemos poner el foco. Lo que se conoce puede gestionarse.”
Gerardo Canedo | Consultor Senior Experto en Ciberseguridad
¿Qué capacidades debería desarrollar una organización?
A lo largo del encuentro se analizaron las capacidades que debería contemplar una estrategia integral de ciberseguridad.
Ignacio Lagomarsino explicó que las organizaciones con una dependencia importante de la tecnología necesitan cubrir funciones de estrategia y gobierno, operación de seguridad, monitoreo permanente y respuesta a incidentes.
El liderazgo especializado permite alinear la seguridad con los objetivos del negocio. Los equipos de operación trabajan sobre accesos, configuraciones, actualizaciones y vulnerabilidades. El monitoreo ayuda a detectar comportamientos anómalos, mientras que la preparación para responder permite actuar de forma rápida y eficiente, reduciendo costos e impacto de los incidentes en las organizaciones.
Estas capacidades deben complementarse con respaldos verificados, autenticación multifactor, trazabilidad de accesos, actualización tecnológica y capacitación de las personas.
“La primera pregunta es quién lidera la ciberseguridad. La segunda es si estamos bien o mal, según quién y comparados con qué.”
Ignacio Lagomarsino | Director Líder de Ciberseguridad
Proveedores y cadena de suministro
La seguridad de una organización también depende de terceros.
Durante su exposición, Ignacio Lagomarsino señaló que, cuando proveedores o prestadores de servicios acceden a sistemas, procesan información o participan en funciones esenciales, su nivel de preparación puede incidir directamente en la continuidad del negocio.
Por eso, la evaluación del riesgo digital debe extenderse a la cadena de suministro e incorporar criterios de seguridad a la selección, contratación y seguimiento de proveedores críticos.
Liderazgo, evidencia y planificación
El encuentro permitió abordar la ciberseguridad desde una perspectiva de gestión, con foco en las decisiones que las organizaciones pueden adoptar para conocer su exposición y fortalecer su preparación.
Entre las principales conclusiones, los speakers destacaron la importancia de definir quién lidera la ciberseguridad, evaluar los controles con criterios objetivos, ordenar las prioridades a partir de un análisis de riesgos y sostener un plan de mejora.
Más que incorporar soluciones de forma aislada, las organizaciones necesitan integrar la seguridad a sus decisiones, verificar que los controles funcionen y desarrollar capacidades para prevenir, detectar, responder y recuperarse.
-
Nuestro equipo de Ciberseguridad queda a disposición para acompañar a las organizaciones en la evaluación de su nivel de exposición, la identificación y priorización de riesgos y el desarrollo de planes orientados a fortalecer sus capacidades de prevención, monitoreo, respuesta y recuperación.