En todo el Reino Unido, los incidentes de seguridad cibernética se han convertido en una característica familiar del panorama empresarial.
Las interrupciones que afectaron la fabricación y la logística durante el año pasado han demostrado cómo las organizaciones pueden quedar expuestas cuando las operaciones físicas están conectadas y digitalizadas.
A pesar de esta creciente conciencia, las conversaciones en las juntas directivas sobre el riesgo cibernético todavía se centran en la TI corporativa y no en la tecnología operativa (OT).
Vicepresidente Internacional de Dragos.
Eso deja una brecha significativa en el enfoque. La tecnología operativa, los sistemas que hacen funcionar las fábricas, gestionan las cadenas de suministro y sustentan los servicios esenciales, son ahora los principales objetivos de los atacantes. Cuando estos entornos se ven comprometidos, las consecuencias van más allá de la pérdida de datos y afectan la seguridad, los ingresos y, en algunos casos, la capacidad operativa de la organización.
Para muchas juntas directivas, esto es menos una cuestión de apatía y más de encuadre. El riesgo cibernético todavía se entiende comúnmente a través de una lente de TI, moldeada por la experiencia de filtraciones de datos o ataques de malware que destruyen sitios web o sistemas de TI empresariales. La interrupción operativa se comporta de manera diferente tanto en escala como en impacto y exige un nivel diferente de atención administrativa.
¿Por qué se subestima habitualmente el riesgo de OT?
Gran parte de la infraestructura operativa actual se diseñó mucho antes de que la conectividad y el acceso remoto se convirtieran en estándar. Estos sistemas fueron creados para brindar confiabilidad y seguridad, no para defenderse contra actores hostiles. A medida que se han vuelto más conectados y digitalizados, la exposición ha aumentado sin que siempre coincidan las mismas prácticas de seguridad.
El resultado es que muchos riesgos empresariales graves se encuentran ahora dentro del entorno operativo que los consejos rara vez examinan en detalle. Esto crea un punto ciego estructural. Si bien los incidentes de TI a menudo se miden en horas o días, las fallas en los entornos OT pueden tardar más en mitigarse cuando se detiene la producción, se interrumpen los servicios críticos y se crean pérdidas que se agravan rápidamente con el tiempo.
Los directorios tienden a involucrarse más efectivamente cuando el riesgo se basa en términos comerciales reales. Comprender lo que produce una instalación en un día, o lo que significa un cierre de una semana para los clientes y socios, pone de relieve el riesgo operativo. Sin ese contexto, la seguridad OT puede seguir siendo abstracta y de baja prioridad.
Las operaciones cesan cuando ocurren incidentes cibernéticos
Los acontecimientos recientes han demostrado la rapidez con la que los acontecimientos de ciberseguridad pueden convertirse en crisis operativas. El año pasado, una marca automovilística británica líder confirmó públicamente un incidente cibernético que provocó un cierre preventivo de los sistemas. Las operaciones de fabricación y venta minorista estuvieron cerradas durante semanas e interrumpidas a través de proveedores, socios logísticos y concesionarios.
Se pueden extraer lecciones similares de los incidentes cibernéticos que afectaron al sector del agua del Reino Unido, donde los atacantes atacaron entornos conectados a sistemas operativos que controlan el tratamiento y la distribución. A partir de 2024, múltiples incidentes afectaron a sistemas lo suficientemente cercanos a los controles operativos como para generar preocupación sobre la operación segura.
En conjunto, estos ejemplos apuntan a cuestiones a nivel de la junta directiva que van más allá del tiempo o la prevención de interrupciones del servicio. También tienen que ver con el mantenimiento de la continuidad operativa, la comprensión de la rapidez con la que las interrupciones localizadas pueden afectar a una organización y se basan en preocupaciones de seguridad y riesgos para la reputación.
Un panorama de riesgo moldeado por la geopolítica
Los riesgos tecnológicos operativos están cada vez más determinados por fuerzas globales. Las tensiones geopolíticas, las sanciones comerciales y la incertidumbre de la cadena de suministro ahora afectan la forma en que las organizaciones planifican y priorizan las inversiones en seguridad.
Al mismo tiempo, los gobiernos están generando expectativas en torno a la resiliencia y la notificación de incidentes, particularmente en sectores vinculados a la infraestructura nacional. Por lo tanto, las juntas deben considerar los riesgos tecnológicos, así como las presiones regulatorias y geopolíticas, agregando otra capa de complejidad a la cibergobernanza.
Aportar dirección y disciplina a la gobernanza
Una supervisión fuerte depende de la educación y la estructura. Las juntas directivas deben esperar que los líderes cibernéticos expliquen los riesgos operativos en términos comerciales y hagan referencia a las mejores prácticas aceptadas. Centrarse en un control crítico priorizado y manejable que proporcione la máxima reducción de riesgos proporciona una base tangible sin abrumar a la organización.
La cadencia de la gobernanza es tan importante como el control de las elecciones. El compromiso regular y estructurado con la alta dirección crea espacio para realizar un seguimiento de cómo las inversiones en seguridad respaldan la resiliencia operativa y los resultados comerciales más amplios. Tratar el riesgo cibernético como una cuestión de gobernanza continua, en lugar de una actualización ocasional, fortalece la rendición de cuentas y la atención sostenida.
Los modelos de prioridades claros pueden respaldar aún más la toma de decisiones. Categorizar las acciones en aquellas que deben suceder ahora, las que pueden seguir más adelante y las que no deberían seguir ayuda a alinear las perspectivas técnicas, operativas y financieras. Un lenguaje de preferencia compartido reduce la ambigüedad y respalda una ejecución más consistente en todos los sitios.
Un imperativo de liderazgo
La seguridad de la tecnología operativa ya no puede considerarse un nicho técnico. Se ha convertido en una responsabilidad de liderazgo moldeada por dependencias operativas, presiones externas y adversarios cada vez más capaces. Las juntas directivas que reconocen este cambio están mejor posicionadas para proteger la continuidad, los ingresos y la confianza.
De cara al futuro, las organizaciones resilientes estarán dirigidas por equipos que estén directamente comprometidos con las realidades de su entorno industrial. Hacer preguntas agudas, exigir ideas claras y garantizar que las estructuras de gobernanza sigan el ritmo del riesgo operativo se encuentran entre las salvaguardas más efectivas que los líderes pueden brindar.
Hemos clasificado y revisado el mejor software antivirus..
Este artículo fue producido en parte Perspectiva profesional de TechRadarNuestro canal para mostrar las mejores y más brillantes mentes de la industria tecnológica actual.
Las opiniones expresadas aquí son las del autor y no necesariamente las de TechRadarPro o Future plc. Si está interesado en contribuir, obtenga más información aquí:
