La regulación es uno de los principales impulsores del nuevo paradigma en ciberseguridad, ya que obliga a las empresas a integrar la seguridad, la resiliencia y la responsabilidad en sus esquemas de gobierno corporativo, así como en su toma de decisiones.
Según apunta Softtek en un white paper, los nuevos marcos normativos van más allá de la exigencia de controles técnicos para requerir capacidad real de funcionar bajo riesgo, continuidad del negocio, gestión de terceros y responsabilidad ejecutiva.
Además, aunque la mayoría de empresas reconoce que la regulación contribuye a rebajar el riesgo en ciberseguridad, así como a aumentar la disciplina empresarial, el cumplimiento normativo avanza a un ritmo más elevado que el de la capacidad real de ejecución.
La multiplicación de normas, la fragmentación ente diferentes jurisdicciones y la creciente complejidad de requisitos está desbordando la capacidad organizativa para convertir todo esto en un control efectivo del riesgo.
Una parte importante de las empresas tiene complicaciones para llevar a la práctica los requisitos regulatorios, así como para vigilar a sus proveedores. No por presupuestos o por concienciación, sino por problemas operativos: exceso de normas, dependencia externa, control de la cadena de suministro y falta de personal capacitado.
A esto se suma el desacuerdo interno existente, ya que los especialistas en seguridad valoran el cumplimiento real de las normas con un nivel de rigor mayor que el resto de la dirección. Sobre todo en relación con la IA, la resiliencia y las infraestructuras estratégicas.
Esta desconexión señala que los esquemas clásicos de ciberseguridad no se crearon para soportar la exigencia actual de las normas, la interconexión de riesgos ni la volatilidad del entorno digital.
Mientras las auditorías de cumplimiento solo verifican que las medidas existan en teoría, los ciberatacantes aprovechan que, en la práctica, estas medidas no funcionan. Por tanto, limitar la seguridad a un trámite permite superar los controles legales sin evitar que la empresa siga siendo vulnerable a las amenazas reales.
Doris Seedorf, CEO de Softtek para España, destaca ante este panorama que «el desafío prioritario para las compañías no es acatar más normativas, sino implantar una ciberseguridad capaz de encajar esa presión sin resquebrajarse. Si el modelo operativo no es escalable, la regulación pierde su sentido de mitigar riesgos y acaba convertida en una fuente añadida de trabas y complejidad».
