Ser director de seguridad de la información (CISO) puede parecer una batalla imposible de ganar.
Hoy en día, los CISO tienen la misión de ayudar a la empresa a comprender el riesgo cibernético, implantar controles adecuados a su apetito de riesgo y garantizar que esta pueda resistir o recuperarse rápidamente ante situaciones difíciles, sin dejar de alcanzar los resultados empresariales requeridos. Y, como ya he señalado en otras ocasiones, deben hacerlo en un mundo en el que a los ciberatacantes les basta con acertar una sola vez, mientras que de los defensores se espera que acierten siempre.
Esta es una lucha desigual. Pero también es la realidad.
El nuevo documental cibernético de Semperis, Midnight in the War Room, se estrenará en Black Hat USA el 5 de agosto de 2026. La película aborda una idea que muchos de nosotros llevamos años intentando transmitir: la ciberseguridad no es una cuestión técnica. Es una cuestión de resiliencia empresarial, de liderazgo y, en muchos sectores, una cuestión social.
Esa es la realidad que aborda «Midnight in the War Room ». Con demasiada frecuencia, se sigue hablando de la ciberseguridad como si fuera una cuestión que compete exclusivamente al departamento de TI. Según mi experiencia, eso es un error.
Los CISO están en primera línea de la guerra cibernética
Un ciberataque grave se convierte rápidamente en una crisis empresarial. Afecta a las operaciones, las comunicaciones, los aspectos jurídicos, las finanzas, la cadena de suministro, la confianza de los clientes y, en algunos sectores, incluso a la seguridad y al bienestar público. También supone una crisis personal para quienes se encuentran en primera línea de lo que puede parecer un ataque incesante. Los CISO no solo se enfrentan a menudo a ataques que pueden provocar auténticas catástrofes humanas —como en el caso del ransomware que amenaza con paralizar el funcionamiento de los hospitales o los ciberataques lanzados como parte de una guerra global—, sino que los atacantes han comenzado a recurrir a amenazas de violencia física contra los responsables y el personal de ciberseguridad.
Conscientes de estos retos, en Semperis no queríamos limitarnos a analizar únicamente los retos técnicos que plantean el malware o las intrusiones cibernéticas. Queríamos dar voz a los líderes y equipos que tienen la responsabilidad de mantener a flote a las organizaciones, incluso bajo la mayor presión posible.
¿Qué es la ciberresiliencia?
La resiliencia cibernética es sinónimo de resiliencia empresarial . En el panorama digital actual, los incidentes cibernéticos suelen ser solo el detonante de un suceso más amplio que afecta a la empresa. Esa distinción es importante.
«Midnight in the War Room» hace especial hincapié en el desgaste emocional y psicológico que supone la ciberdefensa, sobre todo para los CISO que protegen infraestructuras críticas y servicios esenciales. Creo que tiene toda la razón.
El papel actual del CISO es más amplio de lo que muchos ajenos a la profesión creen. Exige dominio técnico, pero también criterio, diplomacia, gestión de crisis cibernéticas, liderazgo en la respuesta a incidentes y la capacidad de explicar el riesgo cibernético en un lenguaje que permita a los consejos de administración y a los equipos ejecutivos tomar medidas. Requiere que los líderes tengan en cuenta las interrupciones prolongadas del servicio, las perturbaciones operativas transfronterizas, la fragilidad de la cadena de suministro y la resiliencia humana necesaria para gestionar un incidente que puede durar días o semanas, no horas.
Se estima que la ciberdelincuencia supone un coste anual de 10,5 billones de dólares. Hay 3,5 millones de puestos de trabajo sin cubrir en el ámbito de la ciberseguridad, y la permanencia media de un CISO es inferior a 11 meses. No se trata solo de temas de conversación. Describen un entorno en el que los defensores se encuentran bajo una presión constante.
Como ha señalado el general (retirado) David Petraeus: «Cada día se libra una guerra en el ciberespacio».
La verdadera resiliencia cibernética requiere algo más que la mera prevención
La comunidad de ciberseguridad sabe que, hoy en día, todas las organizaciones deben adoptar una postura basada en la «hipótesis de una brecha» ante las amenazas cibernéticas. La resiliencia cibernética no se mide únicamente por la capacidad de prevenir ataques. La cuestión más importante es si se puede recuperar la actividad empresarial con rapidez e integridad tras un incidente cibernético.
Esto es especialmente cierto en el ámbito de la seguridad de la identidad.
Los atacantes se centran sistemáticamente en los sistemas de identidad porque es ahí donde pueden causar el mayor impacto posible. En la mayoría de las organizaciones, la identidad es el alma del ecosistema digital, y Active Directory sigue siendo el núcleo de ese entorno. Si no se puede confiar en esa base ni restablecerla rápidamente, no se puede afirmar con credibilidad que se es resiliente.
La seguridad de la identidad, la resiliencia operativa y las decisiones más difíciles en una crisis cibernética
Un liderazgo sólido en materia de ciberseguridad no se limita únicamente a la respuesta técnica. En una crisis cibernética real, las decisiones más difíciles suelen ser las de carácter empresarial.
- ¿Quién tiene la facultad delegada para actuar?
- ¿A qué servicios empresariales se da prioridad?
- ¿Cuándo te comunicas con las autoridades reguladoras, los empleados, los proveedores, los clientes o los accionistas?
- ¿Durante cuánto tiempo puede la empresa soportar la pérdida de sus sistemas fundamentales?
- ¿Cuáles son las implicaciones legales, reputacionales, operativas y de seguridad de la vía de respuesta que elijas?
Estas cuestiones constituyen el núcleo de la resiliencia operativa.
En los ejercicios de simulación, he observado a menudo que las organizaciones tienden instintivamente a centrarse en los aspectos tecnológicos, dejando de lado las dimensiones humanas, jurídicas y de reputación. Sin embargo, la tecnología solo es tan eficaz como el proceso y las personas que la gestionan.
En la era de la proliferación de la inteligencia artificial, es fácil perder de vista este aspecto. Sin embargo, en el fondo, un liderazgo sólido en materia de ciberseguridad gira en torno a las personas.
Como ha dicho Jen Easterly: «Para hacer frente a los ciberataques maliciosos que amenazan nuestro modo de vida se necesitará algo más que tecnología diseñada para ser segura; se necesitará la creatividad y la curiosidad de la mente humana. Esas cualidades permiten a los defensores ser más astutos y superar en estrategia a los adversarios, y es un honor formar parte de Midnight in the War Room para impulsar esa misión».
Los mejores líderes en ciberseguridad dan cabida a perspectivas diversas, se aseguran de que se escuche incluso a la voz más tímida de la sala y mantienen a los equipos centrados en garantizar la continuidad del negocio mientras los responsables técnicos se ocupan de lo que tienen que hacer.
Voces reales, retos reales
«Midnight in the War Room» reúne a más de 50 expertos, entre los que se encuentran responsables de seguridad de la información (CISO), antiguos hackers, líderes del ámbito militar y de la seguridad nacional, psicólogos especializados en ciberseguridad, periodistas y víctimas. Entre los nombres más conocidos se encuentran:
- Chris Inglis
- Jen Easterly
- General (retirado) David Petraeus
- Marcus Hutchins
- Profesora Mary Aiken
El reparto general incluye a Marene Allison, Krista Arndt, Alan Berry, Roger Brotz, Grace Cassy y Chase Cunningham, entre otros.
La diversidad de opiniones que se recogen en la película es importante. La ciberresiliencia no es competencia exclusiva de un único ámbito. Requiere las aportaciones de profesionales, responsables políticos, investigadores y líderes que comprendan cómo la presión cibernética influye en la toma de decisiones en el mundo real.
Chris Inglis lo expresó sin rodeos: «La mayor amenaza a la que nos enfrentamos no es solo la sofisticación de los ciberataques perpetrados por Estados-nación, sino la complacencia. La resiliencia se forja cuando nos negamos a dar por suficientes las defensas actuales y nos preparamos para las batallas que aún están por venir».
Las personas que están detrás de la lucha por la resiliencia
Los responsables de ciberseguridad operan en un entorno caracterizado por una complejidad cada vez mayor de las amenazas, presupuestos más ajustados, una escasez persistente de personal cualificado y una dependencia digital cada vez mayor. En este contexto, las organizaciones deben tener mucho más claro qué es lo que realmente requiere la resiliencia cibernética.
No basta con dar por hecho que la tecnología estará disponible cuando la necesites. No basta con dar por hecho que los canales de comunicación habituales seguirán funcionando durante una crisis cibernética. No basta con dar por hecho que el problema es responsabilidad de otra persona.
Los líderes deben ser capaces de explicar el riesgo cibernético en términos empresariales, definir los servicios críticos, establecer prioridades en la recuperación, dotar a los equipos de respuesta de los recursos adecuados y garantizar que la organización haya ensayado cómo actuar ante lo impensable, en lugar de limitarse a documentarlo.
Cualquier responsable de la respuesta ante incidentes reconocerá la veracidad de la afirmación de Marcus Hutchins: «Al fin y al cabo, todo se reduce a lo siguiente: ¿Estaba la persona adecuada en el lugar adecuado en el momento adecuado?».
Si «Midnight in the War Room» ayuda a más equipos directivos a comprender eso, habrá cumplido su cometido.
Únete a la sala de operaciones
No creo que los responsables de seguridad necesiten otro relato sensacionalista sobre los riesgos cibernéticos. Lo que necesitan es que el público comprenda de forma más clara y honesta en qué consiste realmente su trabajo y cuáles son los retos a los que se enfrentan cada día.
¿Listo para entrar en la «War Room»? Si vas a asistir a Black Hat USA el mes que viene, únete a Semperis en el estrenode «Midnight in the War Room» el 5 de agosto. No te pierdas tampoco las simulaciones de mesa «Enter the War Room», centradas en la sanidad, las infraestructuras críticas y el comercio minorista, organizadas conjuntamente con WWT y disponibles en el Business Hall. Mientras tanto, puedes ver el tráiler del documental aquí. Después, únete a la conversación en Instagram o LinkedIn.
