Por Andrea Fernández, gerente general para la Región Sur de América Latina en Kaspersky
Cada octubre, el Mes de la Ciberseguridad vuelve a poner sobre la mesa una conversación indispensable para las empresas: cómo protegerse frente a amenazas cada vez más sofisticadas. Hablamos de ransomware, inteligencia artificial, robo de información y ataques capaces de detener operaciones completas. Pero este año quisiera proponer una pregunta diferente: ¿quién protege a la tecnología que hemos elegido para protegernos?
Pensemos por un momento en un guardaespaldas: su trabajo exige permanecer cerca de la persona que protege, conocer sus movimientos y anticiparse a cualquier amenaza. Precisamente por ese nivel de acceso, nadie lo contrataría sin comprobar sus credenciales, conocer cómo trabaja y asegurarse de que existen mecanismos para supervisar su actuación. Con la ciberseguridad empresarial ocurre algo parecido.
Las plataformas encargadas de proteger una organización ocupan hoy una posición privilegiada dentro de ella: vigilan sistemas, analizan información relacionada con posibles amenazas, reciben actualizaciones y pueden intervenir rápidamente cuando detectan un incidente. Les confiamos una tarea crítica para la continuidad del negocio y, justamente por eso, las empresas deberían poder conocer y verificar cómo funcionan.
Durante años, al elegir una solución de ciberseguridad la pregunta fundamental era: ¿puede proteger a mi organización? Hoy necesitamos agregar otras: ¿quién desarrolla esa tecnología?, ¿cómo se protege?, ¿dónde se procesan los datos?, ¿cómo llegan sus actualizaciones?, ¿qué podemos verificar sobre su funcionamiento? y ¿qué ocurriría con nuestra operación si las condiciones alrededor de ese proveedor cambiaran?
Estas preguntas son la base de una conversación que está cobrando relevancia: la soberanía en ciberseguridad. Y aunque el término pueda sonar complejo, su principio es bastante sencillo: una empresa nunca debería perder el control sobre aquello de lo que depende su seguridad.
Esto no significa que cada organización tenga que desarrollar su propia tecnología ni prescindir de proveedores internacionales o servicios en la nube. Sería poco realista. La ciberseguridad moderna necesita investigación constante, especialistas e inteligencia global sobre amenazas para identificar ataques que pueden originarse prácticamente en cualquier parte del mundo.
Tampoco significa asumir que una tecnología es confiable únicamente por su país de origen, su reputación o porque lleva muchos años en el mercado. La confianza, cuando hablamos de ciberseguridad, debe demostrarse.
¿Cómo? A través de transparencia y capacidad de verificación. Las organizaciones pueden preguntarse si sus proveedores permiten auditorías independientes; qué controles existen sobre el desarrollo y las actualizaciones de sus productos; cómo administran los datos; qué certificaciones externas poseen; y si ofrecen mecanismos para que clientes o terceros especializados puedan comprobar lo que ocurre detrás de la tecnología.
La inteligencia artificial hace esta conversación todavía más relevante, pues conforme delegamos más tareas de detección y respuesta a sistemas automatizados, necesitamos comprender mejor qué decisiones pueden tomar, qué información utilizan y qué control conserva la organización. Para sectores como energía, telecomunicaciones, finanzas, manufactura o infraestructura crítica, donde una interrupción tecnológica puede convertirse rápidamente en un problema de negocio, estas preguntas dejan de ser exclusivamente responsabilidad del CISO.
Por eso también necesitamos cambiar la manera en que entendemos la relación con nuestros proveedores de ciberseguridad. Contratar tecnología especializada permite acceder a capacidades que sería difícil desarrollar internamente, pero tercerizar una operación nunca debería significar tercerizar la responsabilidad.
En Kaspersky hemos trabajado durante años bajo esa premisa. Para nosotros, ser una empresa abierta y transparente parte de una convicción sencilla: la confianza no se pide; se demuestra y se gana. Eso implica estar dispuestos a abrir nuestra tecnología y nuestros procesos a revisión externa, someter nuestras prácticas a evaluaciones independientes y colaborar con organizaciones internacionales como INTERPOL. Nuestra Iniciativa Global de Transparencia es parte de ese compromiso y permite a clientes, socios y entidades gubernamentales revisar aspectos de nuestras tecnologías y procesos, incluido el código fuente y las actualizaciones de software.
Quizá esa sea una de las conversaciones que vale la pena impulsar durante este Mes de la Ciberseguridad. Más allá de preguntarnos cuánto estamos invirtiendo para proteger nuestras empresas o qué tecnología estamos utilizando, saber cuánto conocemos realmente sobre ella y qué tan dispuestos están nuestros proveedores a demostrar cómo trabajan. Porque cuando una tecnología tiene la responsabilidad de proteger aquello que mantiene en funcionamiento nuestro negocio, confiar es indispensable. Pero en ciberseguridad, la confianza más sólida es aquella que puede comprobarse.
