Durante años, la ciberseguridad se ha basado en una idea relativamente sencilla: cuanto más invierta una organización en sus medidas de protección, menos expuesta estará a sufrir incidentes. Esta lógica ha marcado profundamente las estrategias, los presupuestos y los procesos de auditoría, orientando los esfuerzos hacia el refuerzo de los controles técnicos, la reducción de las vulnerabilidades, la mejora de las capacidades de detección y la construcción de una muralla cada vez más alta.

Con la entrada en vigor de las nuevas normas de la SEC (Securities and Exchange Commission, el organismo federal estadounidense encargado de la regulación y la supervisión de los mercados financieros) en materia de ciberseguridad, las empresas que cotizan en bolsa se ven cada vez más obligadas a aplicar un enfoque integral para la evaluación de riesgos, la mitigación de pérdidas y la notificación de incidentes.