Durante décadas, gran parte de la seguridad se ha construido alrededor de una premisa fundamental: prevenir que el incidente ocurra. Colocamos controles, barreras, procedimientos, vigilancia y tecnología con el propósito de impedir que una amenaza alcance su objetivo.
Ese principio sigue siendo indispensable. Pero ya no es suficiente.
El entorno actual es demasiado complejo para construir una estrategia bajo la expectativa de que todas las amenazas podrán ser detenidas. Un ciberataque puede superar los controles de una empresa. Un dron puede penetrar un perímetro. Una infraestructura crítica puede sufrir una avería. Una organización criminal puede modificar sus métodos. Un desastre natural puede interrumpir sistemas que parecían suficientemente protegidos.
Por eso propongo entender la seguridad contemporánea a partir de dos capacidades complementarias: prevención y resiliencia.
La prevención busca reducir la probabilidad de que ocurra un incidente. La resiliencia busca reducir sus consecuencias cuando finalmente ocurre.
Esta diferencia cambia profundamente la manera de diseñar seguridad.
Una organización verdaderamente preparada no debería preguntarse únicamente cómo impedir un ciberataque. También debería saber cuánto tardará en detectarlo, qué sistemas podrá aislar, qué operaciones podrá mantener, cómo recuperará la información y cuánto tiempo necesitará para volver a funcionar normalmente.
Lo mismo ocurre con una ciudad. No basta con disponer de mecanismos para prevenir el delito. También necesita capacidad para responder rápidamente cuando ocurre, mantener servicios esenciales durante una crisis, coordinar instituciones y aprender de cada incidente.
Y en defensa nacional el principio adquiere todavía mayor importancia. La protección de energía, telecomunicaciones, agua, puertos, aeropuertos, centros de datos y sistemas gubernamentales no puede descansar exclusivamente sobre la posibilidad de evitar un ataque. Debe contemplar redundancia, continuidad operacional y recuperación.
Aquí aparece una idea fundamental: un sistema puede ser altamente protegido y al mismo tiempo, poco resiliente.
Podemos instalar múltiples barreras alrededor de una infraestructura, pero si la falla de un solo componente paraliza toda la operación, seguimos teniendo una vulnerabilidad estratégica. Podemos almacenar respaldos de información, pero si nunca comprobamos que realmente podemos reconstruir nuestros sistemas a partir de ellos, tenemos almacenamiento, no necesariamente resiliencia.
Por eso la resiliencia debe diseñarse antes de la crisis.
Significa identificar los puntos únicos de fallo, crear alternativas, distribuir capacidades, establecer procedimientos de contingencia, entrenar al personal, realizar simulacros y determinar cuáles funciones deben continuar operando incluso bajo las peores circunstancias razonablemente previsibles.
La tecnología también está acelerando esta transformación. La inteligencia artificial, la automatización, los drones y los sistemas autónomos pueden mejorar extraordinariamente nuestra capacidad preventiva, pero también pueden aumentar la velocidad y escala de determinadas amenazas. Cuanto menor sea el tiempo disponible para reaccionar, mayor será la importancia de contar con sistemas capaces de contener daños y recuperarse rápidamente.
Esto nos obliga a modificar una pregunta tradicional de la seguridad.
Ya no basta con preguntar: ¿cómo evitamos que ocurra?
También debemos preguntarnos: ¿cómo lo detectamos?, ¿cómo limitamos sus consecuencias?, ¿cómo continuamos operando?, ¿cómo nos recuperamos? y ¿qué aprendemos para estar mejor preparados la próxima vez?
Ese cambio representa una evolución importante en la cultura de seguridad.
Prevenir seguirá siendo fundamental. Pero debemos aceptar que ningún sistema puede garantizar riesgo cero. Siempre existirá un riesgo residual que deberá ser administrado.
Por eso considero que la resiliencia se está convirtiendo en una capacidad de seguridad tan importante como la prevención.
Prevenir significa intentar que la amenaza no alcance su objetivo.
Ser resiliente significa impedir que, incluso cuando logra afectarnos inicialmente, consiga paralizarnos.
Carlos Checo
Seguridad | Defensa | Tecnología
carloscheco.com.do