Opinión
Durante años nos hemos relacionado con la tecnología según la lógica que ella imponía. Pulsábamos botones, rellenábamos formularios y recorríamos pantallas en un orden prefijado. Para pedir una cita médica, comprar un billete o realizar una transferencia, debíamos traducir nuestra necesidad al lenguaje del sistema. La inteligencia artificial generativa empezó a invertir esa relación. Los chatbots nos permitieron expresar en lenguaje natural lo que necesitábamos. Pero estos sistemas se limitaban, en gran medida, a proporcionarnos información: podían decirnos cómo hacer algo, pero no hacerlo por nosotros. Los agentes añaden ahora un paso decisivo: no solo responden o recomiendan, sino que pueden interpretar un objetivo, planificar, utilizar herramientas y ejecutar determinadas acciones en nuestro nombre. Conviene no confundir esa capacidad con una autonomía plena ni con una inteligencia infalible. Un agente actúa a partir de las instrucciones recibidas, la información a la que accede y las herramientas que tiene permitidas. Puede decidir cómo avanzar hacia un objetivo, pero carece de criterio propio sobre lo conveniente, justo o aceptable. Tampoco responde moralmente por sus actos. Además, un error pequeño puede trasladarse a las siguientes acciones: una fecha mal interpretada, una preferencia tomada como una orden o una información incorrecta pueden alterar todo el proceso. La velocidad del cambio obliga, sin embargo, a mirar más allá de las limitaciones actuales. Deloitte -“Autonomous generative AI agents: Under development”- señala que los agentes pueden dividir una tarea compleja en distintas etapas, ejecutarlas, recurrir a herramientas y tratar de superar obstáculos inesperados. McKinsey -–“Seizing the agentic AI advantage-apunta que la IA agéntica puede automatizar procesos empresariales con múltiples pasos, personas y sistemas. Ambas consultoras subrayan también que la tecnología sigue necesitando supervisión, fiabilidad y una gobernanza adecuada. Ya estamos conviviendo con sistemas capaces de actuar. Nuestra relación con la tecnología cada vez es más natural y conversacional. Pedimos a nuestros agentes que, con las autorizaciones necesarias, preparen una reunión, comparen alternativas, organicen un viaje o tramiten una gestión. Estamos dejando de darles únicamente instrucciones aisladas para encomendarles objetivos. También normalizaremos que actúen en nuestro nombre. Y ahí comienza el verdadero reto. Tendremos que decidir qué les permitimos hacer, con qué autonomía y dentro de qué límites. No es lo mismo ordenar documentos que realizar un pago, formalizar una contratación o responder a un cliente. Cuanto más difícil sea revertir una acción y mayor sea su impacto, más necesaria es la supervisión humana. Delegar una acción no equivale a delegar la responsabilidad. Necesitaremos permisos graduados, trazabilidad, capacidad para detener los procesos y espacios reservados a la decisión humana. Es fundamental proteger los datos, las credenciales y los sistemas a los que accedan. El riesgo no consiste solo en que se equivoquen, sino en que dejemos de cuestionarlos. Los agentes nos están llevando, además, a entender mejor cómo decidimos. Las personas nos apoyamos en la experiencia, la intuición, los valores y un contexto que muchas veces no sabemos explicar. Para orientarlos tendremos que definir qué queremos conseguir, qué riesgos no estamos dispuestos a asumir y qué criterio debe prevalecer cuando varios objetivos entren en conflicto. El éxito de la colaboración con la IA dependerá de cómo se repartan las funciones y de cuándo sepamos confiar, comprobar o intervenir. La era de los agentes no será solo la de unas máquinas capaces de hacer más. Será también la de las personas, que tendrán que aprender a expresar de forma más consciente y explícita sus propósitos. Quizá la competencia más valiosa no sea aprender a dar órdenes a una inteligencia artificial, sino conservar el criterio para decidir cuáles merece la pena dar. Amparo Sánchez-Rey Data &AI Lead Iberia en Coca-Cola Europacific Partners
31 Agosto 2026
Opinión
Han pasado ya dos meses desde el movimiento sistémico que, para la ciberseguridad, ha supuesto el anuncio de Anthropic Mythos. Recientemente tuve la oportunidad de participar en el foro anual de ciberseguridad del World Economic Forum, donde se abordaron algunas de las cuestiones más estratégicas de nuestro tiempo: el impacto de la inteligencia artificial y la creciente influencia de la geopolítica. A raíz de esas conversaciones, he vuelto mentalmente a dos libros que leí el verano pasado y que recomendaría a cualquiera con interés por comprender, con algo más de profundidad, el trasfondo de la actualidad: La guerra de los chips, de Chris Miller, y La hora de los depredadores, de Giuliano da Empoli. Desde perspectivas muy distintas, ambos ayudan a entender las lógicas de poder que explican buena parte de lo que hoy está ocurriendo en el mundo. Sin desvelar en exceso el contenido de estas dos obras —y sin restarles, en absoluto, interés para su lectura—, ambas convergen en una idea de fondo: el poder sistémico que hoy ejercen las grandes compañías tecnológicas sobre el orden global y viceversa. Un poder que se ha intensificado todavía más con la irrupción de la que probablemente sea la innovación más transformadora de lo que llevamos de siglo XXI: la entrada de la inteligencia artificial en casi todos los ámbitos de nuestra vida. Desde la responsabilidad de la ciberseguridad, esta realidad genera una inquietud legítima y, al mismo tiempo, exige un análisis desapasionado. Sin minusvalorar el riesgo, cuesta pensar que sea casual que la noticia sobre el potencial impacto de Anthropic Mythos y del proyecto Glasswing haya irrumpido precisamente después de meses de tensión entre la compañía y el Gobierno de Estados Unidos, en un momento en el que, además, la empresa aspira a reforzar su posición de mercado de cara a una futura salida a bolsa. También resulta evidente que el mercado ha interpretado este anuncio como una nueva oportunidad de posicionamiento estratégico y de expansión comercial. En este terreno, tecnología, influencia y narrativa rara vez avanzan por separado. Quienes trabajamos en ciberseguridad sabemos bien que las cifras con las que convivimos no dejan de crecer: más ciberataques, más incidentes, más escaneos del perímetro, más vulnerabilidades. Pero, además, en los últimos meses esa presión se ha vuelto por momentos asfixiante. ¿Cuánto de esta aceleración puede atribuirse realmente a la inteligencia artificial? No es posible determinarlo con precisión. Sin embargo, sí existen señales reveladoras. En los programas de bug bounty, por ejemplo, los hackers éticos están identificando vulnerabilidades críticas y sofisticadas con una rapidez inédita, y algunos reconocen abiertamente que ya se apoyan en herramientas de IA para hacerlo. ¿Qué inteligencia artificial utilizan? En realidad, cualquiera que les permita ganar eficiencia. No hace falta esperar a Mythos para comprobar que la IA ya está elevando tanto las capacidades ofensivas como las defensivas. Y conviene no olvidar una idea esencial: estamos viendo todavía versiones incipientes de estas tecnologías; no van a dejar de mejorar. Llegados a este punto, la pregunta relevante es qué hacer. En ciberseguridad, la efectividad importa más que la retórica, por lo que la respuesta pasa por concentrarse en medidas con impacto real sobre la defensa. Eso significa reforzar la higiene de TI, robustecer la gestión de vulnerabilidades con una priorización y remediación mucho más eficaz, elevar la madurez de las operaciones del SOC, revisar con seriedad los planes de continuidad, intensificar las capacidades de seguridad ofensiva y, sobre todo, acelerar la incorporación de inteligencia artificial a las operaciones defensivas. Pretender responder manualmente a la escala y velocidad del problema ya no parece una opción realista. Estamos plenamente inmersos en una partida en la que geopolítica y tecnología se entrelazan de forma cada vez más difícil de separar, y todo indica que esto no ha hecho más que empezar. Con el tiempo, es probable que Mythos sea recordado como un nuevo punto de inflexión para la ciberseguridad, del mismo modo que lo fueron WannaCry, la pandemia o el ataque a Colonial Pipeline. Nos dirigimos hacia un entorno en el que la intensidad y la peligrosidad de las amenazas superarán ampliamente las referencias actuales. Del mismo modo ¿acabará la inteligencia artificial empujándonos hacia un mundo con software y hardware más seguros, operaciones más autónomas y un mercado de ciberseguridad menos tensionado? Es posible. Pero la respuesta dependerá de factores políticos, económicos y tecnológicos que hoy, en buena medida, escapan al control de todos. Javier García Quintela CISO de Repsol
30 Junio 2026
Opinión
Pocas veces una herramienta tecnológica ha generado tanta expectación y tanta inquietud en los pasillos de la comunidad internacional de ciberseguridad como Claude Mythos. Anthropic ha anunciado Claude Mythos Preview, un modelo de IA en fase de prueba, que puede analizar y encontrar vulnerabilidades en el código informático a un nivel que supera a cualquier experto o herramienta existente. Su capacidad para detectar fallos invisibles hasta ahora ha sido tal, que la propia compañía ha decidido no liberarlo al público y, en su lugar, articular el Proyecto Glasswing: una “task force” de emergencia en la que participan más de 40 organizaciones consideradas críticas, incluyendo gigantes tecnológicos como Amazon Web Services, Apple, Google, Microsoft, Cisco o NVIDIA, así como centros de innovación en ciberseguridad como Palo Alto. No ha habido conversación, panel o café durante el Foro Económico Mundial, que ha reunido en Ginebra a los principales expertos de ciberseguridad, en el que Mythos no haya sido el tema central. También se ha escuchado de primera mano la visión de algunos de los participantes activos en el proyecto Glasswing, que compartieron en público y en privado lo que están viendo, y el mensaje fue inequívocamente claro. Lo que se está cociendo en Glasswing Lo primero que conviene saber es que lo que se está leyendo en la prensa no es una exageración. Los socios del proyecto comentaron que disponen de una ventana de pruebas que se extiende hasta “aproximadamente finales de mayo”, pero que no conocen la fecha en que se producirá una liberación más amplia del modelo. A partir de ahí, el reloj empezará a correr en serio: una vez que Mythos se libere, hay que actuar rápidamente. La buena noticia es que las grandes tecnológicas estarán preparadas. Han tenido acceso anticipado, recursos y equipos dedicados. La mala noticia —y aquí está el verdadero punto ciego del ecosistema— es que el mayor riesgo estará en el OpenSource, del que prácticamente nadie se está preocupando. Buena parte de internet se sostiene sobre librerías y componentes mantenidos por comunidades pequeñas, sin presupuesto ni equipos de seguridad dedicados, y son precisamente esos los que más tardarán en parchearse. Otro dato revelador que compartieron es que, al comparar las capacidades de detección entre los modelos avanzados de OpenAI y Anthropic, solo coincide aproximadamente un 20% de las vulnerabilidades encontradas. Es decir, cada modelo “ve” cosas distintas. La superficie de ataque real, cuando proliferan capacidades equivalentes en otros laboratorios, será mucho mayor de lo que cualquier herramienta individual sugiere hoy. Sobre los guardarrailes, la conclusión es matizada: existen, funcionan, pero la IA puede saltárselos. En las pruebas relatadas, cuando se le pidió a Mythos que preparase un ataque de ransomware contra un hospital, el modelo se negó. Pero los propios participantes reconocen que mediante encadenamientos de instrucciones más sofisticados se podría llevar al modelo a terrenos que en una petición directa rechazaría. Qué hace Mythos diferente Las cifras que se manejan internamente son contundentes: cuatro semanas de descubrimiento de vulnerabilidades con Mythos equivalen, en términos de cobertura, a un año de pentesting tradicional. Pero reducirlo a una cuestión de velocidad sería un error. Lo verdaderamente disruptivo es que el modelo identifica nuevas vías de ataque que ni siquiera sospechábamos, encadenando fallos menores hasta construir cadenas de explotación coherentes. Esto tiene un impacto importante en un principio operativo básico en ciberseguridad: que las vulnerabilidades de bajo CVSS pueden ignorarse o posponerse. Con Mythos en el otro lado, la explotación de pequeñas vulnerabilidades puede convertirse en el camino hacia impactos mucho más relevantes. Una grieta aparentemente irrelevante, combinada con otras dos, puede acabar escalando a un incidente severo. Otra consecuencia estratégica es que vamos a ver más ataques tipo SolarWinds, de dentro hacia fuera: comprometer un proveedor o un componente de la cadena de suministro para alcanzar a cientos o miles de organizaciones aguas abajo. Y un hallazgo relevante para los CIOs y CTOs: existe una correlación muy alta entre la calidad del código y el número de vulnerabilidades detectadas. Quien haya descuidado la deuda técnica durante años tiene ahora un problema doble. Recomendaciones prácticas De las conversaciones mantenidas emerge un conjunto bastante consensuado de qué hacer entre hoy y la liberación del modelo: Identificar y priorizar el parcheo de los caminos críticos, no los activos por separado, sino las cadenas que llevan a impactos relevantes. Resolver los básicos. La mayor parte del daño que pueda hacer Mythos en manos hostiles seguirá apoyándose en higiene deficiente: credenciales débiles, parches sin aplicar, configuraciones por defecto y MFA ausente o mal implementado. Incrementar la visibilidad y reforzar la detección. Si el atacante encuentra más rápido, el defensor también tiene que ver más rápido. Poner el foco en la gestión de identidades, humanas y digitales (cuentas de servicio, agentes, credenciales máquina-máquina). Es el vector que más se abusa en cadenas de explotación complejas. No hacer actualizaciones automáticas del OpenSource sin testear. Hasta ahora actualizar era casi siempre la opción segura; en los próximos meses podría no serlo tanto si los parches llegan infectados. Adoptar un enfoque Zero Trust también desde dentro hacia fuera. El modelo defensivo perimetral está muerto; el lateral también lo está. Adoptar un modelo de pentesting continuo, automatizando detección y resolución de vulnerabilidades en tiempo real. La cadencia anual o semestral ya no es válida. El otro lado de la balanza: las oportunidades Aunque lo anterior pinte un panorama bastante negro, Mythos también abre nuevas oportunidades reales para reforzar la ciberseguridad: Los CISOs pueden aprovechar el ruido mediático del momento para conseguir más apoyo, presupuesto y recursos. Mejorará la calidad del software generado con IA, porque las mismas capacidades que detectan fallos pueden integrarse en el ciclo de desarrollo desde el principio. Las grandes nubes serán más seguras: AWS, Microsoft y otros socios ya están aplicando Mythos Preview a sus propias bases de código, y eso beneficiará a todos sus clientes por defecto. Mejorarán las capacidades defensivas globales de ciberseguridad, especialmente si Anthropic cumple con su compromiso de compartir aprendizajes con toda la industria. Seamos optimistas La historia de la ciberseguridad es la historia de una carrera permanente entre atacantes y defensores en la que, periódicamente, una de las dos partes da un salto cualitativo. Mythos es uno de esos saltos. La diferencia, esta vez, es que el salto lo está dando primero el lado defensivo, y de manera deliberada. Esa ventaja no durará para siempre —quizá ni siquiera mucho tiempo—, pero sí lo suficiente para que quien actúe con disciplina entre hoy y los próximos meses llegue al nuevo escenario en condiciones razonables. Hay mucho trabajo por delante, pero también razones reales para el optimismo. Quien haga sus deberes, se beneficiará. Quien mire para otro lado, lo lamentará. ¡Seamos optimistas y pongamos el foco en las oportunidades! Consejo Asesor de CyberLideria
11 Mayo 2026
Opinión
CyberLideria MGZN nació hace dos años como la evolución natural de una comunidad que ya estaba en marcha: CyberLideria. Una comunidad formada, en sus inicios, principalmente por CISOs y responsables de ciberseguridad que compartían inquietudes, experiencias y una visión cada vez más estratégica de su papel dentro de las organizaciones. De esa conversación nació la revista. No como un proyecto aislado, sino como una extensión natural de una comunidad que ya existía y que sentía la necesidad de ampliar el diálogo, de dar voz a nuevas perspectivas y de conectar con otros ámbitos de la dirección empresarial. Y ese crecimiento llegó de forma orgánica. A medida que la conversación evolucionaba, también lo hacía la comunidad. A los CISOs se fueron sumando otros perfiles: CEOs, CIOs, responsables de negocio, expertos en talento, innovación o transformación. Directivos que, desde diferentes responsabilidades, compartían una misma inquietud: cómo liderar en un entorno cada vez más complejo. Así, CyberLideria MGZN se convirtió en un espacio de encuentro. Un lugar donde las conversaciones no solo reflejaban la evolución de la tecnología, sino también la del liderazgo, la resiliencia y la estrategia empresarial. Han sido dos años intensos. Dos años de conversaciones que han ido creciendo, de encuentros que han conectado miradas distintas y de una comunidad que ha encontrado su propia identidad. Hoy, CyberLideria MGZN es el reflejo de esa evolución. Una comunidad que nació con un foco concreto, pero que ha ido ampliando su mirada. Una comunidad que sigue creciendo, incorporando nuevas voces y perspectivas. Y quizá eso es lo más importante de estos dos años. haber demostrado que cuando una comunidad crece desde la confianza y la visión compartida, el impacto va mucho más allá de cualquier publicación. CyberLideria fue el origen. La comunidad, el motor. Y el liderazgo compartido, el camino que seguimos construyendo. Samira Brigüech Editora de CyberLideria MGZN
3 Mayo 2026
Opinión
El 2025 ha vuelto a ser un año intenso, en el que han seguido acelerándose las tendencias, ninguna buena, que se venían apuntando los últimos años en materia de seguridad. En primer lugar, y como contexto de todas las demás, el incremento de la inestabilidad geopolítica. No es algo que pueda sorprender a nadie, pero estamos inmersos en un proceso de cambio de los equilibrios geopolíticos consecuencia de las dos guerras mundiales del siglo pasado, lo que afecta de lleno a los profesionales de seguridad, actores, cuanto menos paraestatales, por no decir directamente, estatales, se convierten en amenazas directas y cada día más relevante para las empresas y organizaciones a las que tratamos de proteger. En segundo lugar, un incremento de la ciberamenaza. En parte motivado por lo anterior, pero también consecuencia, además de los enormes beneficios de esta actividad delictiva, a la que los estados (garantes de la seguridad pública) no están siendo capaces de frenar, de dos factores clave, la cada vez mayor digitalización de sociedades y empresas, haciendo que cada día la dependencia de aquellas de la tecnología sea mayor, y por lo tanto también, el impacto de cualquier incidente en esta. Y por otro, la interdependencia, cada vez mayor de terceras empresas. El denominado Riesgo de Terceros. Es cada vez más difícil, por no decir imposible, el controlar adecuadamente el riesgo asociado todos y cada uno de los componentes que se integran en la cadena de funcionamiento y prestación de servicios de una gran (y que decir si pequeña) compañía. ¿Se puede chequear cada actualización de un antivirus, de un navegador o de todos los elementos del sistema operativo de cada uno de los equipos de todo tipo de una empresa desde cámaras a lectores, pasando por servidores o sistemas de calefacción? En tercer lugar, yo destacaría la complejidad. Ya no basta con decir que no hay perímetro, es que tampoco hay, sólo, data center propios o alquilados, ahora hay (prácticamente todos) servicios funcionando híbridamente, en nuestro data center y en la nube o nubes (básicamente el data center de otros), con idas y venidas de los flujos cada vez más complejos y difíciles de entender. Con asertos que hubo un tiempo que creímos, como que la nube era, per se, desde el inicio y por definición, segura y resiliente, que el tiempo nos ha demostrado, cuanto menos en un porcentaje importante falsos, y basta con recordar el reciente caso de la caída de la región principal de AWS casi doce horas. Y , por no extenderme, me limito a apuntar dos tendencias más, el incremento de la presión regulatoria (hay algunos que siguen creyendo que con una ley se resuelve cualquier cosa) y la disrupción de las nuevas tecnologías , la IA, de la que me niego a decir nada para no saturar al paciente lector ni alimentar el hype, y, creo que es aún más relevante, el progreso de la computación cuántica, que, en menos de un lustro, transformará la ciberseguridad que hoy usamos, devorando y sacando del mercado a las organizaciones menos ágiles en el proceso evolutivo o de cambio al mundo post cuántico. Como contrapunto de lo anterior, los profesionales de seguridad tendrán cada vez más trabajo, y estas tendencias motivaran además su crecimiento y desarrollo profesional, para ser capaces de afrontar los nuevos retos, y su contribución a la sostenibilidad de sus organizaciones , será más visible y relevante. Así que el futuro es, sin duda, prometedor para todos los que nos dedicamos a la Seguridad. Guillermo Llorente Director Corporativo de Seguridad MAPFRE
6 Enero 2026
Opinión
Alan Turing observaba la Bomba construida para decodificar los mensajes alemanes durante la Segunda Guerra Mundial y, probablemente, pensaba en una frase similar. Él veía un sistema eléctrico, más que electrónico, que operaba más rápido que el hombre, e imaginaba que sería evolucionado hasta llegar a superarnos en capacidades e, incluso, inteligencia. Él pensaba que llegaríamos a la singularidad. Nos lo recuerdan constantemente muchos gurús empresariales y divulgadores; que las IA serán más inteligentes que nosotros y tendremos que vivir otra realidad. Pero si alguna vez sucede, no será ahora. No creo que mis ojos lo vean; creo que quedan muchos, muchos años. Pese a que las empresas implicadas gasten miles y miles de millones, estamos lejos. Pero tenemos otras cosas. El producto que tenemos entre manos es algo muy avanzado, espectacular. No es una persona, no es inteligencia como la conocemos; pero hemos seguido el juego del marketing y la llamamos IA, y pensamos que es una personita. A sus fallos los calificamos de alucinaciones, como si tuviese nuestro cerebro. Cuando carece de datos y aún así nos responde, decimos que inventa cosas y nos miente, y hasta le pedimos las cosas por favor. Incluso le hemos regalado una ley europea para mantenerla bajo control, pese a haber mucho software que decide por y sobre nosotros sin regulación. Pero lo que hoy llamamos IA no deja de ser un algoritmo. Uno complejo; pero un algoritmo como otros muchos. Uno que simula un razonamiento dentro de un contexto de palabras dado y que, a partir de los datos de su memoria, y únicamente éstos, genera un texto que trata de responder a lo que hemos solicitado. ¿Es realmente inteligente? Eso sí; la interacción es en lenguaje natural. Algo que cambia todo y la hace accesible a todo el mundo. El hecho de que un ordenador te entienda y te responda en lenguaje natural según lo que has preguntado, y que además haga una parte pesada de tu trabajo, es rompedor. Espectacular. Ojalá fuese también fiable. Porque… ¿qué tenemos en realidad? Modelos entrenados como ha querido un jefe de proyecto, que ha creado su memoria. Pero no es fiable porque no nos comprende y se basa en la proximidad de características y términos. No sabe qué significa en realidad cada palabra; ni mucho menos la abstracción. Es una tecnología de búsquedas y simulación de razonamiento sobre bases de datos y ya. Tremendamente increíble, pero hay que tener mucho cuidado y saber cómo funciona para darle uso. ¿Se puede ahora mismo confiar en que una IA realice un trabajo por sí misma? ¿Esperamos algún tipo de ayuda real de ella? ¿Queremos algo inteligente que nos ayude? Quizá sí; pero hay un gran problema de fondo que obviamos constantemente: no hemos sido capaces aún de definir qué es la inteligencia. Nos inventamos algoritmos como la IA para simular el razonamiento lógico, que es solo una parte de esa inteligencia; pero es muy curioso además que lo hagamos sin saber aún qué es ni cómo funciona el cerebro. Por eso me sorprende leer que los desarrollos importantes en el campo de la IA los pueden realizar poco más de mil expertos en todo el mundo, que cobran sueldos millonarios. Ingenieros, desarrolladores, pero… ¿hay algún biólogo, algún experto en neurociencia? ¿Se puede simular algo que se desconoce? Que no se me tome mal. Lo que tenemos ahora es algo espectacular, un avance increíble. Pero es solo una ayuda para casos concretos. Eso sí; cuando la uso como último recurso después de haber procrastinado, pienso que el día en que la IA lo haga, el liderazgo será únicamente ciber. Eduardo Cunha Global CISO en Cosentino y miembro del Consejo Asesor de CyberLideria
30 Septiembre 2025
Opinión
En un mundo que corre a la velocidad de la computación, detenerse a pensar qué nos hace humanos puede parecer un lujo, pero para quienes lideramos la seguridad, la privacidad y la confianza, esta pregunta es más urgente que nunca. Desde que dominamos el fuego hasta que inventamos la nube, lo que nos separó del resto de los animales fue nuestra capacidad de imaginar un futuro diferente, construir herramientas que nos permitieran lograrlo y transformar nuestro entorno con ellas. Hoy, nuestra última gran herramienta, la inteligencia artificial, amenaza con borrar esa línea que tanto nos enorgullece. La idea de mathesis universalis, surgida con Descartes y Leibniz en el siglo XVII, expresa el sueño de crear un método universal para conocer y razonar, basado en principios matemáticos. Descartes veía en la geometría y el álgebra un modelo para ordenar el pensamiento, y Leibniz imaginó incluso un lenguaje simbólico capaz de expresar cualquier idea, acompañado de un cálculo lógico que resolviera disputas “calculando”. En el siglo XX, la máquina de Turing y la teoría de algoritmos demostraron que el razonamiento podía representarse como manipulación de símbolos siguiendo reglas mecánicas, la esencia de la computación. Hoy, la IA moderna, basada en redes neuronales y aprendizaje automático, llega más lejos, buscando modelar no solo la lógica, sino también el lenguaje, la percepción y la creatividad. El gran desafío abierto es si toda la mente humana puede reducirse a cálculos, o si hay algo irreductible que escapa a la máquina. Si la afirmación de que toda la mente humana puede reducirse a cálculos fuera cierta, entonces, en principio, no habría una barrera insalvable para replicarla en otro sustrato, por ejemplo, silicio en lugar de neuronas. La cuestión entonces se desplaza a si la conciencia, la subjetividad y la experiencia surgen automáticamente del cálculo, o si hay algo irreductible biológico que no puede ser simulado. La IA ya traduce idiomas, detecta fraudes y redacta textos mejor que muchos humanos. Pronto, quizás una Inteligencia Artificial General podrá aprender, razonar y resolver problemas como nosotros o mejor. Si eso ocurre, lo que seguirá distinguiendo a los líderes humanos será su capacidad de conexión emocional, juicio ético y visión de propósito. Un líder humano inspira confianza, moviliza voluntades y crea sentido compartido. La IA puede optimizar recursos, pero no convencer a un equipo de trabajar un fin de semana para cumplir con un plazo. La empatía genuina, la escucha profunda y la compasión son habilidades imposibles de programar de forma auténtica. Los líderes del mañana deberán dominar la orquestación híbrida: combinar talento humano y capacidad artificial. Tendrán que decidir qué tareas automatizar y cuáles mantener humanas, fortalecer equipos con principios claros y garantizar que la IA beneficie a todos, no solo a unos pocos. El desarrollo de la IA no es solo un reto técnico, sino profundamente humano. Nos invita a definir qué tareas queremos seguir haciendo por nosotros mismos, aunque la máquina pueda hacerlas mejor. En última instancia, la pregunta no es cuánto poder le damos a la IA, sino qué queremos seguir haciendo para sentirnos humanos con propósito. En la era de la inteligencia artificial, la verdadera diferencia no estará en el cálculo ni en la velocidad, sino en la capacidad de dar sentido y propósito a lo que hacemos. Ahí reside, quizá, la frontera que ninguna máquina podrá cruzar sin dejar de ser una máquina. Álvaro Ontañón CIO en Merlin Properties y Miembro del Consejo Asesor de CyberLideria
31 Agosto 2025
Opinión
La inteligencia artificial (IA) se ha convertido en un actor central en el campo de la ciberseguridad, desempeñando un papel dual como escudo protector y arma ofensiva. Su capacidad para analizar datos masivos y predecir amenazas revoluciona la defensa digital, pero también alimenta una carrera armamentística tecnológica donde hackers y empresas compiten por la supremacía en entornos cada vez más vulnerables. Los algoritmos de machine learning analizan patrones de comportamiento en redes corporativas, identificando accesos sospechosos o movimientos inusuales de datos en tiempo real. Esta capacidad permite detectar intrusiones antes de que escalen, reduciendo el tiempo de respuesta de horas a segundos. La inteligencia artificial está transformando radicalmente las estrategias de respuesta a incidentes de ciberseguridad mediante la combinación de automatización inteligente, análisis predictivo y capacidades adaptativas. Esta evolución tecnológica permite a las organizaciones contrarrestar amenazas con una velocidad y precisión imposibles para los métodos tradicionales. Los sistemas de IA reducen el tiempo de respuesta de horas a milisegundos mediante ejecución automática de herramientas para contener malware, bloquear IPs maliciosas o aislar dispositivos comprometidos o para generación instantánea de contramedidas personalizadas contra vulnerabilidades específicas. Esto supone una mitigación autónoma del 92% de incidentes comunes sin intervención humana, según datos de Palo Alto Networks. También en el ámbito de la detección y el análisis avanzado la IA potencia las capacidades de monitoreo mediante modelos de machine learning que procesan petabytes de logs para identificar amenazas desconocidas, reduciendo falsos positivos en un 74%. La integración de IA en los centros de operaciones de seguridad optimiza el triaje automático de alertas priorizando riesgos mediante análisis de impacto potencial, simulando escenarios de ataque para entrenar equipos y validar defensas y reduciendo un 40% la carga de trabajo mediante automatización de tareas repetitivas. Estos sistemas identifican patrones de ataque emergentes con un 68% más de eficacia que los métodos tradicionales, según estudios de Fortinet, sumando eficacia a la eficiencia. Además, la IA enriquece la respuesta a incidentes mediante la integración de threat intelligence global actualizada en tiempo real y la adaptación dinámica de defensas usando redes neuronales que aprenden de cada ataque en un proceso de mejora continua. La convergencia entre automatización inteligente, análisis predictivo y respuestas adaptativas está redefiniendo los paradigmas de la ciberseguridad. Organizaciones con implementaciones avanzadas de IA reportan reducciones del 83% en tiempo de mitigación y 60% menos pérdidas financieras por incidentes graves. Sin embargo, no debemos olvidar que existe otra cara de la IA, cuando la usan “los malos”. La IA ya se usa para generación de código polimórfico que cambia con cada infección y se adapta de forma dinámica a los mecanismos de defensa del objetivo. Incluso se puede utilizar para probar eficacia contra herramientas de seguridad antes del despliegue y “aprender” para mejorar la precisión del ataque real. Los atacantes utilizan aprendizaje automático para simular tráfico legítimo mediante patrones de comportamiento aprendidos, encriptar actividades maliciosas dentro de flujos de datos normales o anticipar respuestas defensivas y ajustar estrategias en tiempo real. Todo ello dificulta enormemente la gestión de la seguridad de las entidades. Es lógico que la UE proponga certificaciones obligatorias para sistemas de IA crítica en infraestructuras esenciales, cuya vulnerabilidad es un riesgo evidente para la seguridad nacional de nuestros Estados. Aunque también es cierto que, en la medida en la que estas empresas tienen que dedicar recursos crecientes para mejorar su resiliencia, que a la postre, es parte fundamental de la seguridad nacional de un país, los poderes públicos deberían contribuir, no sólo estableciendo obligaciones normativas, sino con apoyo operativo y, por qué no, financiero, al refuerzo de dichas medidas. La IA también es más efectiva explotando la vulnerabilidad más habitual en los ciberataques: el factor humano. Los grupos criminales ya utilizan modelos de lenguaje generativo para crear campañas de phishing con un 73% más de efectividad. Estos sistemas producen correos electrónicos impecables, adaptando el tono y contenido al perfil específico de cada víctima. Los deepfakes vocales suplantan ejecutivos en llamadas de negocios, con casos ya denunciados de transferencias fraudulentas por millones de euros o el malware evolutivo, que muta automáticamente para evadir detección, aumenta el desafío. El phishing adquiere precisión quirúrgica en los ataques de ingeniería social con hiperpersonalización de mensajes imitando estilos de comunicacionales corporativos, generando contenido contextualizado usando datos de redes sociales y filtraciones previas y automatizando campañas. Todo ello para alcanzar un 1.265% más de efectividad comparado con métodos tradicionales. Este nuevo paradigma exige un replanteamiento radical de las estrategias de seguridad. La detección basada en firmas estáticas ha quedado obsoleta frente a amenazas que aprenden y evolucionan. La respuesta implica combinar inteligencia artificial defensiva con arquitecturas de confianza cero, monitoreo continuo de comportamiento y programas avanzados de concienciación humana. La carrera entre creadores y destructores de sistemas IA marca el nuevo frente de batalla en ciberseguridad. Maite Arcos Directora General ESYS y Miembro del Consejo Asesor de CyberLideria
23 Junio 2025
Opinión
Los cambios de ciclo tecnológicos son cada vez más intensos, y a la vez más cortos. Parece que no hemos pasado un período de transformación, cuando aparecen nuevos retos y tecnologías rompedoras. Las disrupciones geopolíticas, climáticas, sociales son cada vez más numerosas, y a cuál más impactante, con grandes consecuencias en un mundo completamente globalizado. El concepto de “cisne negro” se utilizaba para hablar de amenazas probablemente muy graves e impactantes, pero con baja probabilidad, y ahora se presenta como eso que decimos que no puede pasar, pero que al final… termina pasando. La “ansiada estabilidad” que nos han enseñado que ha hecho crecer la economía y los avances sociales, cada vez se siente más lejos, y parece que este entorno poco tiene que ver con los años “pre-2020”. Estamos, en definitiva, metidos en una montaña rusa de disrupciones y desafíos constantes. Lejos de llevarnos esto al pesimismo, debemos abrazarnos fervientemente a las oportunidades que también este nuevo entorno genera. Y es que pienso firmemente que es estos contextos tan complejos y difíciles, es donde los humanos sacamos lo mejor de nosotros mismos. Es en este entorno dónde sin duda llegaremos a hitos de los cuáles en un ambiente más estable, no hubiéramos llegado. Para adentrarnos en que estrategias podemos adoptar para este mundo digital y en constante disrupción, los que trabajamos en Ciberseguridad tenemos alguna de las llaves que serán claves en este futuro inmediato. Un término en el que llevamos años trabajando y que sin duda va a ser la primera clave es el de la Resiliencia. El trabajo de estos años en hacer más ciber-resilientes los procesos clave de nuestras compañías y los servicios más esenciales de nuestra sociedad, nos permiten ahora responder con garantías a buena parte de estas disrupciones, por lo cual, el trabajar y consolidar los esfuerzos en ser resilientes es la primera estrategia para afrontar este nuevo mundo. La segunda estrategia, es abrazar cada paso que da la tecnología como nuestro salvavidas en medio de una tormenta. La digitalización es nuestra guía en este mundo. Bendito el día en que la Inteligencia Artificial empezó a tener una nítida aplicabilidad tecnológica y los primero modelos y soluciones empezaron a “rompernos los esquemas”. Como suelo decir, “la IA hagámosla segura, pero hagámosla”, y es que creo que es urgente e importante que incorporemos a nuestros procesos esta disrupción tecnológica. Esta es para mi la segunda clave y estrategia para responder a este contexto de amenaza “invisible” y constante. Y para mi la tercera estrategia que completa el “trilema”, es la del talento tecnológico. Paradójicamente, en una sociedad que la IA está condenada a transformar, creo que cada vez será más crítico disponer de los perfiles tecnológicos que sepan guiar este proceso de una forma óptima y también “cibersegura”. Un foco clave y prioritario de instituciones y empresas, en los ámbitos tanto público como privado, es fomentar de forma mucho más potente de lo hecho hasta ahora el desarrollo de un mayor talento tecnológico. Sin esta tercera “pata” de la estrategia, o mucho me temo, o creo que el éxito del proceso, medido en términos de los beneficios para la sociedad que esta época puede traernos, y la velocidad en que lo consigamos, estarán claramente en riesgo. Necesitamos aumentar la resiliencia, necesitamos abrazar la transformación digital, y queridos…. necesitamos talento para hacerlo. Necesitamos las tres estrategias, no nos valdrá dejarnos una en el camino. Jesús Sánchez Head of Global Cybersecurity de Naturgy
1 Junio 2025
Opinión
El 28 de abril de 2025, alrededor de las 12:30 h, la Península Ibérica se vio afectada por un apagón total de electricidad y de todo lo que depende de la electricidad: televisión, semáforos, trenes, ascensores, Internet, comunicaciones... poniendo a prueba la resiliencia de toda la sociedad. Desde el primer momento todos nos preguntamos, ¿habrá sido un ciberataque? Y curiosamente también es lo primero que se desmintió. Sin embargo, a la fecha, las causas aún no están claras. Solo sabemos que uno o varios eventos extraordinarios, de origen aún desconocido, afectaron a la red eléctrica española de tal manera que acabaron arrastrando a todo el sistema eléctrico peninsular. Afortunadamente, el apagón solo duró unas horas gracias a la excepcional preparación de los operadores de la red española y al hecho de que la red eléctrica española es una de las más inteligentes y modernas del mundo. Pero nos seguimos preguntando, ¿el evento desencadenante pudo ser o podría haber sido un ciberataque? Desde mi punto de vista es altamente improbable, pero tampoco se puede descartar. Sabemos que es posible; ha ocurrido en el pasado como vimos con los ataques rusos a subestaciones ucranianas u otros famosos ataques a infraestructuras críticas como Stuxnet, Solarwinds o Triton. Entonces, ¿cómo de probable es que esto pase? ¡Esa es la pregunta del millón! Y no es sencilla de contestar. Los modelos de riesgos tradicionales que solemos aplicar para responder a esta pregunta tratan de predecir el futuro a partir de la realidad y de los eventos del pasado. Pero con la rápida evolución de la tecnología, nuestros ecosistemas están cambiando rápidamente y las interdependencias son cada vez más difíciles de comprender. Los modelos de riesgos y los datos subyacentes se vuelven rápidamente obsoletos. Necesitamos aplicar urgentemente modelos dinámicos de cuantificación del riesgo que nos permitan identificar y priorizar las amenazas y vulnerabilidades en un entorno en constante evolución. Modelos como el que nos ofrece DeNexus, basado en cuatro aspectos clave: Datos actualizados de afuera hacia adentro que permitan estar al día del panorama de amenazas, de los atacantes y de sus tácticas y técnicas. Datos continuos de adentro hacia afuera de las vulnerabilidades existentes basados en telemetría (monitorización) conectada a nuestra tecnología industrial, incluidos los posibles eventos ciberfísicos. Nivel de madurez de las medidas de ciberseguridad implementadas para mitigar el riesgo. Algunas se pueden inferir de la telemetría, lo que reduce la subjetividad en la evaluación de la madurez. Un modelo matemático de riesgos que sea específico para cada tipo de industria, ya que el riesgo de ciberseguridad no es el mismo para una instalación de generación térmica, una planta de fabricación o un centro de datos y mucho menos para un entorno informático y uno industrial. Comprender adecuadamente el riesgo de ciberseguridad para el complejo ecosistema eléctrico no es fácil, pero es clave para identificar los puntos críticos de fallo y priorizar las inversiones. Y no solo en el sector eléctrico, sino en la industria en general. El apagón en España nos ha recordado lo dependiente que es nuestra sociedad de la electricidad y de los sistemas de información y comunicaciones. Necesitamos mejorar nuestra capacidad de comprender los riesgos operativos, en especial en los entornos industriales, para poder gestionarlos adecuadamente y fortalecer nuestra resiliencia. Solo así seremos capaces de hacer frente a un desafío que es cada vez más complejo. DeNexus Knowledge Cloud Datos agregados anonimizados de afuera hacia adentro y de adentro hacia afuera, controles de ciberseguridad, factores de riesgo, factores de pérdidas Rosa KarigerAsesora estratégica de gestión de riesgos y resiliencia Miembro del Consejo de Administración de DeNexus Presidenta de CyberLideria Miembro del Consejo Asesor de CyberLideria MGZN
7 Mayo 2025
Opinión
El pasado 28 de abril de 2025, España vivió un evento que, más allá del impacto inmediato, sirvió como prueba de fuego para las capacidades reales de continuidad y resiliencia de muchas organizaciones. Un apagón eléctrico generalizado afectó a buena parte de la península Ibérica, paralizando telecomunicaciones, transportes y servicios esenciales. Las organizaciones consideradas infraestructuras críticas bajo el paraguas de la Ley de Protección de Infraestructuras Críticas (LPIC) tenían —y tienen— una responsabilidad mayor: mantener la operatividad de servicios esenciales para el conjunto de la sociedad. Pero, ¿qué significa realmente estar preparado? ¿Cómo debería haber actuado una entidad catalogada como crítica ante una situación como esta? 1. Planificación previa: el papel lo aguanta todo, pero la cultura lo es todo Contar con un Plan de Continuidad de Negocio (BCP) certificado según la norma ISO 22301 no es un lujo, es una obligación implícita para toda infraestructura crítica. Pero lo importante no es solo tener el documento, sino que esté probado, actualizado y validado en ejercicios reales. En este sentido, un enfoque basado en escenarios disruptivos plausibles, como la pérdida masiva de conectividad o aislamiento de empleados, es clave. El apagón demostró que no basta con tener luz: la caída de la telefonía móvil y los datos dejó incomunicadas a muchas personas. 2. Activación de protocolos y gestión de la crisis En el minuto cero, la organización debería haber activado su protocolo de gestión de crisis. Esto implica: Convocar el Comité de Crisis por vías alternativas (redes internas, comunicaciones satelitales si aplica). Evaluar el impacto en personas, procesos y sistemas. Activar infraestructuras de respaldo: CPDs secundarios, fuentes energéticas alternativas, enlaces redundantes de comunicación. 3. Alineación con el marco DORA (si aplica) Si la entidad está regulada por el Reglamento DORA, debería haber: Identificado rápidamente si el incidente constituye una interrupción operativa significativa. Notificado al supervisor competente en plazos máximos de 4 horas (en función del impacto y tipología). Documentado todas las decisiones, impactos, y medidas de mitigación adoptadas. 4. Comunicación efectiva: hacia dentro y hacia fuera Uno de los puntos críticos fue la falta de comunicación. Una infraestructura crítica debe contar con: Canales internos de emergencia, accesibles aunque fallen las redes públicas. Mensajes claros a empleados y stakeholders, asegurando información coordinada y verificada. Relación directa con autoridades competentes, como el CNPIC (Centro Nacional de Protección de Infraestructuras Críticas), la Secretaría de Estado de Seguridad, la Dirección General de Protección Civil y Emergencias, y los supervisores sectoriales específicos (como la CNMC, CNMV o el Banco de España, en función del sector), para reportar y coordinar. 5. Continuidad de servicios esenciales La razón de ser de una infraestructura crítica es que su interrupción afecta al conjunto de la sociedad. Por tanto, mantener el funcionamiento de procesos clave es prioridad absoluta: Servicios digitales y presenciales con tolerancia a fallos. Planes de rotación de personal ante aislamiento físico. Protocolos de "modo degradado": operar con funcionalidades reducidas pero seguras. 6. Gestión de personas: lo humano en el centro El apagón mostró una verdad incómoda: no todos los planes tienen en cuenta el impacto emocional o logístico en los equipos. Una entidad crítica debe: Apoyar a su plantilla en tiempo real. Facilitar canales psicológicos, logísticos y operativos de asistencia. Establecer puntos de encuentro o refugio si los empleados quedan aislados. 7. Análisis post-incidente y lecciones aprendidas Pasado el evento, el verdadero valor está en lo que se documenta. La entidad debe realizar: Informe post-mortem multidisciplinar. Actualización del mapa de riesgos y del BIA (Análisis de Impacto en el Negocio). Ejercicios de "tabletop" con escenarios similares para reforzar. 8. Recomendaciones para mitigar futuros incidentes Inversión en comunicaciones resilientes: enlaces satelitales, redes mesh privadas y redundancia de operadores. Aumentar el stock de combustible y repuestos críticos: para garantizar autonomía prolongada. Pruebas cruzadas con terceros esenciales: proveedores, partners y organismos públicos. Simulacros a escala real: incluyendo fallo de comunicaciones, ciberincidentes y crisis reputacional simultánea. Revisión del marco normativo sectorial: para ajustar los umbrales de notificación y las dependencias tecnológicas clave. Conclusión Una infraestructura crítica no puede improvisar. Debe liderar con ejemplo, actuar con rapidez y comunicarse con claridad. El apagón de abril de 2025 fue una llamada de atención: la resiliencia no es solo prepararse para lo que puede pasar. Es demostrar, cuando pasa, que se está listo para responder. Lo crítico no es solo el servicio. Lo crítico es la capacidad de mantenerlo, incluso en la oscuridad. Gonzalo Asensio Global CISO de Bankinter y Miembro del Consejo Asesor de CyberLideria.
6 Mayo 2025
Opinión
En los últimos años, la resiliencia se ha convertido en un concepto clave en diversos ámbitos, desde la gestión de desastres hasta la planificación estratégica de organizaciones públicas y privadas. Esta capacidad de adaptarse y recuperarse ante cambios o adversidades es fundamental en un mundo donde la incertidumbre y los retos globales son cada vez más frecuentes. Sin embargo, la resiliencia no solo debe pensarse desde una perspectiva individual o limitada a una organización, sino como una práctica colectiva que abarca la interacción y la interdependencia de diferentes sectores y actores. En casi todos los sectores hay un grupo numeroso de recursos trabajando afanosamente para cumplir la exigente regulación europea sobre resiliencia y no sufrir las consecuencias de un incumplimiento. Esto ha llevado a desarrollar culturas organizativas que han normalizado la idea de que insistir en el cumplimiento de las Directivas es suficiente para favorecer el bien que promueven. La normativa debería ser un punto de partida y no un punto final, sin embargo, el carácter punitivo no ayuda a que se perciba así. El escenario que se conjugó el pasado 28 de abril con un apagón en toda la península y sin comunicaciones podría haber sido el enunciado de un buen ejercicio de resiliencia para probar nuestra capacidad de reacción y respuesta, pero fue real y súbito y puso de manifiesto que tenemos planes de contingencia para cada organización, pero no tenemos un plan de contingencia como país y como sociedad. Comprobamos además algo evidente que habíamos olvidado: que sin comunicaciones se complica enormemente la coordinación de gestión de la incidencia. Pasados los días, han surgido dudas sobre si los planes de contingencia de cada organización y cada sector eran compatibles entre sí. Si alguien tenía claro qué servicios esenciales eran más críticos que otros o cada uno debía defender su organización a toda costa. No sabemos qué habría pasado si hubiésemos tenido que compartir recursos escasos. Sin embargo, como parte de la información meliflua que ha surgido posteriormente, he oído y leído que el comportamiento de los ciudadanos durante las horas del apagón fue ejemplar en términos generales y debo decir que coincido con esa opinión. Lo que discrepo es en la importancia que se le da a ese comportamiento. Aunque nos parezca que ser ciudadanos capaces de valorar la situación y analizar qué medidas pueden ayudar a prevenir, proteger, responder, mitigar el impacto inicial y adaptarnos lo mejor posible a lo que esté sucediendo o simplemente seguir las indicaciones de los que están al mando de la incidencia es digno de admiración, realmente esto forma parte de las capacidades que una sociedad madura como la nuestra debe tener. Y no debemos esperar reconocimiento sino satisfacción interna de actuar como debemos hacerlo. Es más, a lo que debemos aspirar es a que junto con las capacidades anteriores practiquemos otras igualmente importantes y más complejas como identificar las necesidades de los demás y cómo anteponer dichas necesidades a las nuestras en caso de que las circunstancias lo requieran, es decir: entrenar y promover la resiliencia colectiva. Y esto no se improvisa, es necesario definir adecuadamente el bien común y los valores que proteger, entender que todo ello implica sacrificios y estar dispuestos a hacerlos. Nunca sabremos cómo nos habríamos comportado si la incidencia hubiese durado 24 o 48h, pero es probable que el civismo se hubiese desbordado, como pasa con la paciencia cuando falta información y nos invade la angustia. Creo firmemente, que un incidente similar al que vivimos el pasado 28 de abril, no habría sido resuelto en ningún país europeo en el tiempo que se hizo en España y eso ocurre porque hay excelentes técnicos y porque tenemos una capacidad extraordinaria para adaptarnos a entornos de alta exigencia. Ambas virtudes son esenciales si hablamos de resiliencia individual y organizativa, pero como país, debemos profundizar en los matices de la resiliencia colectiva. Esto es particularmente necesario entrenarlo ante un escenario de crisis que involucre a todos los sectores a distintos niveles en los que la capacidad de actuar de manera conjunta y coordinada puede marcar la diferencia entre una recuperación rápida y eficiente o el colapso prolongado de la sociedad. La resiliencia colectiva requiere no solo de planes y estrategias bien definidos, sino de una cultura que valore la cooperación transversal entre sectores y fomente la confianza mutua. Solo así es posible construir un tejido social capaz de absorber impactos y adaptarse a nuevas condiciones sin perder de vista el bienestar común. Esther Mateo - Directora de Ciberseguridad y Transformación Digital de Adif, Vocal del Consejo Asesor de CyberLideria y miembro del Comité Editorial de CyberLideria MGZN
6 Mayo 2025
Suscríbete GRATIS y disfruta de contenido ilimitado sobre ciberseguridad y personas
