La frase que más escucho en mis primeras reuniones con clientes es alguna variación de esta: “No hemos tenido ningún incidente, así que creo que estamos bien.”
Es una frase comprensible. Y casi siempre es falsa.
El problema con “no ha pasado nada”
La ciberseguridad tiene una característica que la diferencia de casi cualquier otro riesgo empresarial: los incidentes más graves suelen ser invisibles hasta que ya es demasiado tarde. Un intruso sofisticado no llega, roba información y se va con fanfarria. Llega, se instala, observa durante semanas o meses, y actúa cuando tiene todo lo que necesita.
El tiempo promedio entre que un atacante compromete un sistema y que la organización lo detecta supera los 200 días. Más de seis meses de exposición silenciosa.
Así que cuando una empresa me dice que nunca ha tenido un incidente, lo que realmente me está diciendo es una de estas tres cosas:
- Nunca ha sido objetivo de un ataque (cada vez menos probable)
- Ha sido atacada pero no lo sabe (más común de lo que se admite)
- Ha tenido suerte (no es una estrategia sostenible)
Lo que sí debería preocuparte
La pregunta correcta no es “¿nos han atacado?” sino “¿estamos en capacidad de detectarlo si nos atacan?”
¿Tienen visibilidad de lo que pasa en su red? No hablo de un antivirus. Hablo de saber qué dispositivos están conectados, qué tráfico sale de la organización, qué usuarios acceden a qué sistemas.
¿Tienen logs y los analizan? Los registros de actividad son el equivalente digital de las cámaras de seguridad. Tenerlas apagadas no sirve de nada.
¿Tienen un proceso definido para cuando algo falla? No un documento que nadie ha leído. Un proceso que el equipo ha practicado.
El costo real de no hacer nada
El costo de un incidente no es solo el rescate de un ransomware o la multa regulatoria. Es la interrupción operativa, el daño reputacional, la pérdida de confianza de clientes y el tiempo del equipo dedicado a resolver en lugar de producir.
La mayoría de empresas que han pasado por un incidente serio me dicen lo mismo después: “Ojalá hubiéramos invertido antes lo que gastamos resolviendo esto.”
Por dónde empezar
No estoy sugiriendo que toda empresa necesite un SOC 24/7. La seguridad efectiva es proporcional al riesgo y al contexto de cada organización.
Lo que sí sugiero es empezar con un diagnóstico honesto. Entender dónde están los activos más críticos, qué pasaría si esos activos se comprometieran, y qué controles básicos existen hoy para protegerlos.
Desde ahí, se construye una estrategia realista. No perfecta. Realista.
¿Quieres hacer ese diagnóstico en tu organización? Hablemos.