Opinión
La resiliencia digital y la alternativa manual. Rosa Kariger, Directora Global de Prospectiva de Seguridad de Iberdrola y Presidenta de CyberLideria
La resiliencia es la capacidad de una organización para absorber y adaptarse a cambios y perturbaciones, manteniendo sus funciones esenciales y recuperándose rápidamente.
Cuando hablamos de resiliencia digital o ciberresiliencia, solemos referirnos a la capacidad de una organización para hacer frente a un ciberataque, minimizando la duración y el impacto del incidente. Esta resiliencia digital se suele abordar mediante lo que los expertos en ciberseguridad llaman “Disaster Recovery”, que consiste en tener un plan (copias de seguridad, nubes alternativas, CPDs redundantes, etc.) para recuperar los datos y la funcionalidad de los sistemas de información en el menor tiempo posible.
Pero el menor tiempo posible no siempre es igual al menor tiempo aceptable para que algunos procesos especialmente críticos estén parados. Y en estos casos es necesario tener un Plan B. Es lo que de toda la vida se ha llamado plan de continuidad de negocio, pero que, en el caso de una disrupción debida a un ciberataque, a menudo se confunde con el “Disaster Recovery Plan”. Sin embargo, el plan de continuidad de negocio, como su propio nombre indica, es una responsabilidad del negocio, que no puede quedarse de brazos cruzados durante una pérdida de los sistemas de información, esperando a que el equipo técnico termine de restaurar los datos y los sistemas. No en el caso de aquellos ámbitos que resulten especialmente críticos.
Veamos un ejemplo práctico aplicado a nuestra vida personal. Hoy en día, tenemos una enorme dependencia del móvil para todo. Es donde tenemos nuestra agenda, los datos de contacto de nuestros colaboradores, nuestras fotos favoritas o los teléfonos móviles de nuestros hijos. Por eso nos insisten tanto en la importancia de tener un “backup” del móvil en la nube, así podremos recuperar los datos en caso de un incidente; es nuestro “Disaster Recovery Plan”. Pero imaginemos que estamos fuera de casa y nos quedamos sin móvil. ¿Cuántos hemos sentido esa sensación de angustia existencial? Las fotos las podremos recuperar más tarde, pero ¿y el número de teléfono al que tenías que llamar o la dirección a la que tenías que acudir en un rato? Y es que no solemos tener un Plan B. Algo tan sencillo como sabernos de memoria o llevar apuntados en la cartera los teléfonos o datos más importantes para nosotros.
La verdadera resiliencia digital requiere que, para los ámbitos más críticos para la sociedad, exista una alternativa no digital (analógica o manual) para salir del paso mientras los equipos técnicos recuperan los sistemas de información y/o comunicaciones.
Los negocios que son fundamentalmente digitales y que se han enfrentado a algún incidente que ha paralizado sus sistemas han descubierto por las malas la diferencia entre el Disaster Recovery y la continuidad de negocio, y la importancia de involucrar a los responsables del negocio en sus planes de ciberseguridad.
Sin embargo, para los negocios eminentemente físicos (industriales), la resiliencia operativa no es nueva. Hace tiempo que los procesos críticos cuentan con un diseño resiliente (redundancia y eliminación de puntos de fallo simple) y con un plan de continuidad para hacer frente a fallos mecánicos, incendios, eventos climáticos, sabotajes, etc. Por ese motivo, cuando se produce un incidente grave en el mundo físico, solemos escuchar que la causa ha sido el fallo consecutivo o simultáneo de varios sistemas de seguridad. En este ámbito, la ciberresiliencia requiere justo la aproximación contraria a la del sector digital: hay que incorporar los nuevos escenarios de riesgo derivados de la dependencia digital a los procesos de resiliencia existentes, involucrando en los planes de continuidad de negocio a los expertos de ciberseguridad.
En todo caso, para aquellos ámbitos especialmente críticos, siempre que sea posible, deberíamos tener prevista (y ensayada) una alternativa no digital para hacer frente a una potencial caída de los sistemas y/o comunicaciones. De momento, sigue habiendo profesionales en activo que recuerdan cómo se hacían las cosas cuando no había internet, pero no por mucho tiempo...
¿Seremos capaces de asegurar una adecuada transferencia de este conocimiento a las nuevas generaciones nativas digitales que nunca han conocido un mundo donde la tecnología y los dispositivos conectados a internet no fuesen una parte integral de su vida?
Rosa Kariger
Directora Global de Prospectiva de Seguridad de Iberdrola
Presidenta del Consejo Asesor de CyberLideria
15 Julio 2024
