Erika Botero

CEO BOWI Group

La semana pasada escribí sobre cómo el riesgo se devalúa con el tiempo. Hoy quiero hablar de su cómplice: la sensación de que, mientras eso pasa, seguimos teniendo todo bajo control.

No es cierto. Y hay un dato que lo deja bastante claro: según el último Data Breach Investigations Report de Verizon, en la enorme mayoría de los incidentes es el propio atacante quien termina revelando que estuvo ahí, no el equipo de seguridad que se suponía debía encontrarlo. No lo descubrimos nosotros. Nos avisan, casi siempre demasiado tarde.

Entro a una sala de operaciones y siempre veo lo mismo. Pantallas grandes, gráficos moviéndose, todo en verde. Es una escenografía que funciona: transmite que alguien está mirando y que no hay de qué preocuparse.

Pero un tablero verde no mide si estamos protegidos. Mide si los sistemas que alimentan ese tablero siguen reportando. Y eso no es lo mismo. Un servidor comprometido puede seguir mandando su señal de “todo bien” cada cinco segundos, como un piloto automático que nunca se enteró de que el motor se apagó.

IBM lo puso en números este año: a nivel global, las organizaciones tardan en promedio 241 días en identificar y contener una brecha. Ocho meses viendo un tablero en verde mientras alguien ya estaba adentro. Y no es porque nadie estuviera mirando la pantalla. Es que la pantalla no estaba mostrando lo que importaba.

He visto directorios tomar decisiones de inversión mirando un dashboard hecho para verse bien, no para decir la verdad. No es mala fe de nadie. Un tablero muestra lo que fue programado para mostrar. Lo que queda afuera, simplemente no existe para quien lo mira. Hay una encuesta reciente entre analistas de seguridad —de esas que a veces incomodan más que cualquier informe de amenazas— donde siete de cada diez admiten sospechar que su propia organización ya está comprometida sin que ellos lo sepan. No es un dato de un país lejano ni de una industria exótica. Es lo que piensa, en silencio, la gente que se sienta frente al tablero todos los días.

Acá hay una confusión de fondo que veo todo el tiempo, incluso en gente muy capaz: usamos “control” para dos cosas distintas.

Tener controles es tener políticas, firewalls, un plan de respaldo, un procedimiento de acceso. Eso se compra, se instala, se certifica.

Tener control es otra cosa. Es saber, hoy, a esta hora, si esos controles están funcionando de verdad. Eso no se compra. Se gana todos los días y se pierde con la misma facilidad.

Una empresa puede tener quince controles documentados y cero visibilidad real de si funcionan ahora mismo. Es tener un extintor en cada piso sin haber revisado nunca si están cargados. El extintor está. El control, no.

Esto tiene un costo. Cada decisión que se toma creyendo que hay un control que en realidad no existe —entrar a un mercado nuevo, sumar un proveedor, lanzar algo digital— es una apuesta hecha con información falsa. Y esas apuestas se pagan, tarde o temprano, con intereses.

Es la misma deuda de la que vengo hablando en esta serie. Cada vez que confundimos que un control exista con que un control funcione, estamos pidiendo tiempo prestado. Ese préstamo no aparece en ningún balance. No genera alerta. Se acumula calladamente detrás del tablero en verde, hasta el día en que alguien pregunta algo simple —¿esto funciona de verdad?— y nadie tiene una respuesta con nombre y apellido.

No estoy diciendo que hay que sacar los dashboards. Estoy diciendo que hay que dejar de creerles como si fueran la realidad. Son un resumen, hecho por alguien, con lo que había disponible ese día. Un resumen se puede cuestionar. Lo peligroso es cuando se convierte en verdad revelada solo porque tiene una luz verde y una animación bonita.

La pregunta que debería hacerse cualquier directorio no es “¿está todo en verde?”.

Es esta: ¿quién verificó esta semana que lo que dice el tablero es cierto?

Si nadie puede contestar eso con un nombre y una fecha, el control no existe. Existe la ilusión del control. Y como toda ilusión, se devalúa con el tiempo, igual que el riesgo que tapa.

La deuda de ciberresiliencia no solo crece cuando ignoramos un riesgo. Crece también cuando dejamos de mirar detrás del tablero que nos dice que ya no hace falta mirar.