Durante años, la ciberseguridad se ha basado en una idea relativamente sencilla: cuanto más invierta una organización en sus medidas de protección, menos expuesta estará a sufrir incidentes. Esta lógica ha marcado profundamente las estrategias, los presupuestos y los procesos de auditoría, orientando los esfuerzos hacia el refuerzo de los controles técnicos, la reducción de las vulnerabilidades, la mejora de las capacidades de detección y la construcción de una muralla cada vez más alta.

Este modelo sigue siendo válido. Sigue constituyendo la base de cualquier estrategia seria de gestión del riesgo cibernético. Sin embargo, ahora resulta insuficiente ante la evolución del contexto. Lo que está cambiando hoy en día no se debe únicamente a la intensidad de las amenazas o a la sofisticación de los atacantes, sino a la propia forma en que debe concebirse el riesgo cibernético. Estamos asistiendo progresivamente a un cambio: de un paradigma centrado en la protección a otro centrado en la resiliencia.

El modelo histórico: prevenir el incidente

Históricamente, la ciberseguridad se ha basado en una lógica puramente defensiva. Se trata de reducir la superficie de ataque, corregir las vulnerabilidades identificadas, supervisar los sistemas para detectar rápidamente cualquier actividad sospechosa y, en caso de intrusión, contener el incidente lo antes posible. El rendimiento se mide, por tanto, principalmente a través de indicadores técnicos: tasa de parches aplicados, número de incidentes bloqueados, tiempo medio de detección o nivel de cumplimiento de las normas vigentes.

Este enfoque ha sido coherente durante mucho tiempo, en un entorno en el que los sistemas estaban menos interconectados, las dependencias digitales eran menos críticas y los ataques seguían siendo relativamente oportunistas. La prioridad consistía en erigir un baluarte lo suficientemente robusto como para disuadir o detener al adversario.

Sin embargo, este marco de análisis muestra hoy en día sus limitaciones.

Los ataques actuales ya no son iniciativas aisladas. Están organizados, industrializados y, en ocasiones, perfectamente estructurados. Los grupos especializados en ransomware operan siguiendo lógicas casi empresariales, con reparto de funciones, modelos económicos probados y mecanismos de negociación. Por otra parte, la multiplicación de las interconexiones digitales (socios, proveedores, prestadores de servicios en la nube) amplía considerablemente la superficie de exposición, lo que hace ilusoria la idea de un perímetro perfectamente controlado.

En este contexto, incluso las organizaciones que cuentan con sistemas de seguridad avanzados pueden verse comprometidas. El objetivo de «cero incidentes», aunque ambicioso, ya no constituye una perspectiva realista a largo plazo. Por lo tanto, la cuestión central ya no se limita a saber cómo impedir cualquier ataque, sino a determinar cómo limitar sus consecuencias cuando, a pesar de las protecciones existentes, se produce una intrusión.

Es precisamente aquí donde se produce el cambio de paradigma.

La ciberresiliencia: integrar la hipótesis del fracaso

La ciberresiliencia se basa en un postulado fundamentalmente diferente: el incidente no se descarta por principio, sino que se integra como una hipótesis creíble, incluso muy probable. Este enfoque no supone una renuncia a la seguridad, sino que pone de relieve una forma de madurez que consiste en reconocer los límites de cualquier dispositivo técnico.

Desde esta perspectiva, el reto ya no se reduce a impedir el ataque, sino a preservar la capacidad de la organización para seguir funcionando a pesar de la perturbación. La ciberseguridad tiene como objetivo principal reducir la probabilidad de que se produzca un incidente; la ciberresiliencia, por su parte, busca reducir su impacto. Este cambio de enfoque es determinante, ya que amplía la reflexión más allá de los meros sistemas de información para incluir la continuidad de las actividades, la estabilidad operativa y la preservación del valor.

En otras palabras, ya no se trata únicamente de proteger las infraestructuras, sino de proteger y mantener la capacidad de actuación.

De una lógica de protección a una lógica de continuidad.

En un modelo exclusivamente defensivo, la atención se centra naturalmente en el grosor de la muralla, las herramientas, las vulnerabilidades y los mecanismos de control. Por el contrario, un enfoque resiliente lleva a plantearse cuestiones operativas de forma más amplia: ¿cuáles son las actividades realmente críticas? ¿Cuánto tiempo pueden permanecer inactivas sin comprometer la viabilidad de la organización? ¿Se prueban periódicamente los sistemas de respaldo en condiciones realistas? ¿Existen escenarios que permitan funcionar temporalmente en modo degradado?

Estas preguntas desplazan el debate hacia la continuidad del negocio y la gestión de crisis. Implican una coordinación entre las dimensiones técnica, organizativa y de toma de decisiones. La ciberresiliencia no se limita, por tanto, a un conjunto de soluciones tecnológicas adicionales; supone una reflexión estructurada sobre la capacidad de absorber un impacto y recuperar el funcionamiento normal en plazos controlados.

Las implicaciones concretas de este cambio

Un cambio de paradigma nunca es puramente teórico. Tiene consecuencias en la forma en que se aborda y se gestiona el riesgo en las direcciones.

En primer lugar, el riesgo cibernético debe integrarse en la gestión global de riesgos, al igual que los riesgos financieros, climáticos, industriales, operativos o normativos. Ya no puede tratarse como un tema técnico aislado, ya que sus consecuencias trascienden con creces el ámbito informático.

En segundo lugar, los indicadores de rendimiento están evolucionando. Ya no basta con evaluar la solidez de los controles; ahora es necesario medir la capacidad de recuperación, el tiempo de restauración de los sistemas críticos y el impacto potencial de una interrupción prolongada. El rendimiento ya no se juzga únicamente en función de la protección, sino también de la capacidad de absorción.

En tercer lugar, la preparación para la gestión de crisis adquiere un papel central. Un incidente grave exige decisiones rápidas, una coordinación clara y una comunicación controlada. Sin una preparación previa, la desorganización puede agravar los efectos del propio ataque. Por lo tanto, la resiliencia se basa en funciones definidas de antemano, procedimientos formalizados y simulacros periódicos que permitan poner a prueba los mecanismos en condiciones realistas.

Por último, las inversiones están cambiando. Además de las herramientas de protección tradicionales, las organizaciones deben dedicar recursos a copias de seguridad aisladas y probadas, a arquitecturas redundantes, a planes de continuidad operativa y a simulacros de crisis. El objetivo ya no es únicamente levantar barreras, sino garantizar la capacidad de recuperación.

Seguridad y resiliencia: una relación indispensable

Sería un error oponer la ciberseguridad y la ciberresiliencia, como si se tratara de dos enfoques contrapuestos. La seguridad sigue siendo indispensable para contener la frecuencia de los incidentes y limitar la exposición. La resiliencia interviene de forma complementaria, con el fin de reducir su gravedad y duración.

La primera actúa sobre la probabilidad; la segunda, sobre el impacto. Juntas, conforman una estrategia coherente y adaptada a un entorno digital que se ha vuelto incierto e interconectado.

El paso de la ciberseguridad a la ciberresiliencia no es un simple ajuste semántico. Refleja una evolución más profunda en la forma de abordar el riesgo digital. Mientras que el modelo tradicional se basaba en la idea de un control máximo y una protección exhaustiva, el nuevo marco acepta la posibilidad de un fallo y organiza la capacidad de adaptación.

En un mundo en el que el ataque constituye una hipótesis creíble, la madurez de una organización ya no se mide únicamente por la solidez de sus defensas, sino por su capacidad para seguir funcionando cuando estas se ven eludidas. 

Es precisamente este cambio de perspectiva, de la protección absoluta a la continuidad controlada, lo que constituye el verdadero cambio de paradigma.