El día después del ciberataque

Escucho cada vez más quejas sobre lo difícil que se está volviendo hacer cosas sencillas con una computadora en el trabajo. Autenticaciones para acceder cada dos por tres. Muchas más restricciones para compartir un documento. Cada vez más herramientas están prohibidas. ¿Se han vuelto locos los de IT?

Hasta cierto punto, hay razones para elevar la guardia. La IA permite a los atacantes hacer más con menos conocimientos y recursos. Según CrowdStrike, los ataques de adversarios que emplean IA aumentaron un 89 % en 2025 respecto al año anterior ¹. La amenaza crece y las empresas refuerzan sus defensas.

Pero esa protección tiene un coste que va más allá de las licencias y los equipos de seguridad. También se paga en tiempo, interrupciones y pérdida de autonomía para resolver tareas cotidianas. Aceptamos esa fricción para reducir el riesgo. ¿Estamos dedicando una atención comparable a cómo recuperarnos si el ataque tiene éxito?

Una encuesta de Accenture a 1.000 directivos muestra una brecha reveladora: el 54% considera que unos controles de protección sólidos bastan para asegurar la continuidad después de un ataque. Solo el 35% declara probar regularmente su resiliencia mediante ejercicios reales de recuperación y continuidad ².

Reducir la probabilidad de una crisis no equivale a estar preparado para gestionarla. Podemos añadir controles cada día y seguir sin haber demostrado qué seríamos capaces de hacer si los sistemas habituales dejaran de estar disponibles.

Ahí hay una responsabilidad que corresponde a la dirección. Qué parte del negocio debe seguir funcionando. Quién puede decidir qué se detiene y qué se recupera primero. Cómo vamos a informar a empleados y clientes si el correo y los canales corporativos están comprometidos.

El NCSC británico recomienda preparar esas decisiones, ensayarlas bajo presión y disponer de canales alternativos de comunicación ^{3 4}. La capacidad de respuesta tiene que existir antes de necesitarla. Un plan aprobado no demuestra que podamos ejecutarlo cuando faltan las herramientas, la información es incompleta y cada hora de interrupción añade daño.

Iván Pino lleva tiempo defendiendo una ambición adicional: pasar de la resiliencia a la antifragilidad, de resistir las crisis a mejorar con los desafíos ⁵. En este terreno, podemos empezar utilizando cada ensayo para descubrir dependencias, corregir fragilidades y preparar una respuesta mejor.

La IA está elevando el riesgo de ciberataque a niveles sin precedentes. Pero nos equivocaremos si dedicamos toda nuestra energía a tratar de evitar que pase. Es vital también preparar y ensayar cómo nos recuperaremos cuando el ataque tenga éxito. Porque, tal y como avanzan las cosas, la pregunta no es si sucederá. La pregunta es cuándo.