La dirección de una empresa puede delegar la operación en especialistas internos o externos. Pero, lo que no puede delegar, es la responsabilidad de establecer prioridades, asignar recursos, aceptar riesgos de forma consciente y comprobar que las decisiones se ejecutan. Y es que un incidente de seguridad puede afectar a ingresos, operaciones, clientes, reputación y capacidad de cumplir compromisos, aunque el origen haya sido una cuenta comprometida o un servicio tecnológico.
La pregunta correcta no es «¿tenemos antivirus?»
Las conversaciones ejecutivas sobre seguridad suelen empezar por controles concretos. Sin embargo, la pregunta que necesita el comité de dirección es otra: ¿qué consecuencias tendría que dejaran de funcionar nuestros servicios esenciales o que se expusieran nuestros datos más sensibles? La respuesta conecta la ciberseguridad con la estrategia, las finanzas y la continuidad de negocio.
El marco NIST Cybersecurity Framework 2.0 organiza la gestión en seis funciones: gobernar, identificar, proteger, detectar, responder y recuperar. Para un directivo, la idea clave es que “gobernar” ocupa el centro: define el contexto, las responsabilidades, la política, la supervisión y el riesgo de la cadena de suministro. Las herramientas son medios; el gobierno determina para qué se usan y cómo se mide su resultado.
Qué riesgos de ciberseguridad para empresas requieren una decisión directiva
No todos los activos tienen la misma importancia. Un comité de dirección debe identificar los procesos cuya interrupción impediría vender, fabricar, prestar el servicio, pagar nóminas, atender a clientes o cumplir obligaciones contractuales. Después debe relacionar cada proceso con datos, sistemas, personas, instalaciones y proveedores.
Datos: decidir su valor y su uso
La dirección debe saber qué información es estratégica, quién puede acceder a ella, durante cuánto tiempo se conserva y qué terceros la tratan. Esto incluye datos de clientes y empleados, propiedad intelectual, información financiera, credenciales, diseños, contratos y registros operativos. Una política de datos no debería limitarse a prohibiciones: debe aclarar qué usos son legítimos, quién aprueba excepciones y cómo se retira el acceso cuando cambia una función. También conviene revisar cómo se gobiernan las nuevas aplicaciones de IA, una cuestión relacionada con el debate sobre chatbots generativos y empresa.
Proveedores: externalizar no elimina el riesgo
La nube, el software como servicio, la asesoría y la logística pueden ser críticos para la operación. Antes de contratar, dirección y compras deben conocer la dependencia real: qué servicio se detiene si el proveedor falla, qué datos salen de la organización, cuánto tardaría una sustitución y qué evidencias de seguridad se exigirán. El contrato debe reflejar niveles de servicio, gestión de accesos, notificación de incidentes, devolución o eliminación de datos y colaboración en la recuperación.
Personas y cultura: la seguridad también es una decisión organizativa
La cultura se demuestra cuando una persona puede comunicar un correo sospechoso, una pérdida de información o un error sin temor a ocultarlo. Dirección debe respaldar formación periódica, canales de aviso claros y una respuesta proporcionada. La formación no reemplaza los controles, pero reduce la distancia entre una política escrita y la conducta cotidiana.
Gobierno de la ciberseguridad: qué debe quedar en el comité
El gobierno de la ciberseguridad convierte la seguridad en un asunto de gestión. El comité no necesita aprobar cada regla técnica, pero sí debe recibir información comparable y tomar decisiones explícitas sobre prioridades. Un cuadro de mando útil puede incluir servicios críticos identificados, riesgos fuera del umbral, dependencias de terceros, pruebas de recuperación realizadas, incidentes abiertos y acciones atrasadas.
La dirección debe aprobar al menos cinco elementos:
- Apetito y tolerancia al riesgo: qué pérdidas, indisponibilidades o exposiciones son asumibles y cuáles exigen actuación inmediata.
- Responsables con autoridad: quién responde por la información, el servicio, la seguridad y la operación, y cómo se resuelven conflictos.
- Prioridades de inversión: qué brechas se corrigen primero según impacto y probabilidad, no según la visibilidad de la tecnología.
- Modelo de terceros: qué proveedores son críticos y qué controles se revisan durante la relación.
- Supervisión: qué evidencias se revisan, con qué frecuencia y qué ocurre cuando una acción no se completa.
La responsabilidad directiva no implica sustituir al CISO o al equipo técnico. Implica proporcionarles mandato, presupuesto, acceso al comité y capacidad para escalar riesgos. El especialista recomienda y ejecuta; la dirección decide el nivel de exposición que la empresa está dispuesta a aceptar.
Marco práctico de primeras acciones en 90 días
Si la organización no dispone de una visión común, conviene empezar por decisiones manejables. El objetivo no es crear una arquitectura perfecta, sino obtener claridad suficiente para priorizar.
- Días 1-30: mapa de negocio y dependencias. Reúne a dirección, operaciones, finanzas, legal, personas, tecnología y comunicación. Identifica entre cinco y diez servicios críticos, sus datos, proveedores, responsables y consecuencias de una interrupción.
- Días 31-60: riesgo y capacidad actual. Compara la situación real con el nivel de protección que necesita cada servicio. Comprueba accesos privilegiados, copias de seguridad, contratos, registros de actividad, canales de aviso y capacidad de detectar un incidente. No aceptes un “está controlado” sin evidencia comprensible.
- Días 61-90: decisiones y pruebas. Aprueba un pequeño conjunto de acciones de alto impacto, designa el comité de crisis y realiza un ejercicio de mesa. Simula, por ejemplo, la indisponibilidad del sistema comercial o la sospecha de exposición de datos y observa quién decide, qué información falta y cómo se mantiene el servicio.
Esta lógica coincide con las recomendaciones de INCIBE sobre gestión de crisis de ciberseguridad: identificar activos críticos, evaluar riesgos, definir roles, mantener planes de continuidad y realizar simulacros. La periodicidad y el alcance deben ajustarse a la realidad de cada organización.
Tabla de decisión: riesgo, decisión y señal
| Riesgo empresarial | Decisión de dirección | Señal que debe vigilarse |
|---|---|---|
| Indisponibilidad de un servicio crítico | Definir prioridad de recuperación, alternativa operativa y tiempo máximo tolerable. | Pruebas de restauración incompletas o dependencia de una única plataforma. |
| Acceso indebido a datos sensibles | Establecer propietarios del dato, criterios de acceso y revisión de permisos. | Cuentas compartidas, privilegios que no caducan o inventario de datos incompleto. |
| Fallo o ataque a un proveedor | Clasificar proveedores críticos y exigir garantías, contactos y plan de salida. | Contrato sin requisitos de incidentes, subcontratación desconocida o pruebas no verificadas. |
| Fraude por suplantación | Separar funciones de aprobación y reforzar controles sobre pagos y cambios bancarios. | Urgencias atípicas, cambios de cuenta sin verificación independiente o excepciones frecuentes. |
| Respuesta descoordinada | Nombrar comité de crisis, suplentes, autoridad de comunicación y criterios de escalado. | Nadie sabe quién convoca, qué información es fiable o qué decisión corresponde a cada área. |
Gestión de incidentes: decidir con presión y con información incompleta
La gestión de incidentes no empieza cuando aparece un comunicado público. Empieza con la preparación: contactos actualizados, criterios de severidad, respaldos utilizables, proveedores de apoyo, canales alternativos y un modelo de decisiones. INCIBE describe fases de preparación, identificación, contención, mitigación, recuperación y recapitulación en su guía para empresas.
Durante un incidente, el equipo técnico analiza y contiene. La dirección protege el negocio: decide qué operaciones se priorizan, qué riesgo temporal se acepta, qué mensajes se envían, cuándo se informa a clientes o socios y qué apoyo jurídico o asegurador se activa. La comunicación no debe prometer certezas que todavía no existen; debe distinguir hechos confirmados, hipótesis y próximas actualizaciones.
Después de recuperar el servicio, el comité debe revisar causas y decisiones, no buscar culpables. La pregunta útil es qué barrera falló, qué señal se ignoró, qué dependencia no estaba documentada y qué cambio evitaría repetir el impacto. La recapitulación convierte un incidente en aprendizaje de gobierno.
Continuidad de negocio: la prueba está en la recuperación
La continuidad de negocio no equivale a tener una copia de seguridad. Requiere saber qué procesos se recuperan primero, con qué datos, por quién y mediante qué alternativa si la tecnología habitual no está disponible. Una copia que nunca se ha restaurado no es una capacidad demostrada.
Dirección debe pedir evidencias: resultados de pruebas, tiempos observados, dependencias manuales, contactos de emergencia y decisiones que siguen pendientes. También conviene revisar escenarios distintos: ransomware, caída de un proveedor, pérdida de una sede, indisponibilidad de personal clave o exposición de información. Cada escenario revela carencias diferentes.
En el sector público español, el Real Decreto 311/2022 del Esquema Nacional de Seguridad establece un marco específico para su ámbito de aplicación. No debe extrapolarse automáticamente a cualquier empresa; sirve, eso sí, como referencia oficial para entender principios como prevención, detección, respuesta, vigilancia continua y diferenciación de responsabilidades.
Checklist para la próxima reunión del comité
- ¿Qué tres servicios no pueden detenerse y quién responde por cada uno?
- ¿Qué datos causarían mayor daño si se perdieran, alteraran o expusieran?
- ¿Qué proveedor podría detener nuestra operación y cuál es la alternativa?
- ¿Qué riesgos están por encima del umbral aprobado y qué fecha tiene cada tratamiento?
- ¿Cuándo se revisaron por última vez los accesos privilegiados?
- ¿Cuándo se restauró una copia en un entorno de prueba y qué resultado tuvo?
- ¿Quién puede activar el comité de crisis y quién le sustituye?
- ¿Qué información recibiría el comité durante las primeras horas de un incidente?
- ¿Qué formación necesita la dirección para interpretar riesgos tecnológicos?
Preguntas y respuestas sobre ciberseguridad para directivos
¿La dirección debe entender los detalles técnicos?
No necesita administrar sistemas, pero sí comprender impacto, dependencias, incertidumbre y alternativas. Si no puede explicar qué servicio está en riesgo, qué decisión se solicita y qué evidencia la respalda, la conversación todavía no está preparada para el comité.
¿Es suficiente contratar un seguro cibernético?
No. Un seguro puede formar parte de la transferencia financiera del riesgo, pero no sustituye controles, continuidad, gestión de incidentes ni decisiones sobre proveedores y datos. Además, sus condiciones deben entenderse antes de un incidente.
¿Qué puede delegarse en especialistas?
Puede delegarse el diseño técnico, la monitorización, las pruebas especializadas, la investigación forense y la operación diaria. No deben delegarse la definición de prioridades empresariales, la aceptación del riesgo, la asignación de presupuesto, la coordinación de crisis ni la supervisión de terceros críticos.
Prepárate para dirigir en entornos tecnológicos
La dirección necesita unir estrategia, negocio y tecnología para tomar decisiones responsables. Consulta el Máster en Dirección Tecnológica e Inteligencia Artificial Aplicada de Euncet y explora también los programas online para profesionales y directivos. Son vías para desarrollar criterio de gestión en transformación digital, datos, innovación y tecnologías emergentes, ámbitos inseparables de una buena agenda de ciberseguridad.