Por Roberto Marzocca, Head of Cybersecurity en Kirey
Desde hace tiempo crece la conciencia de que la ciberseguridad ya no puede entenderse solo como la capacidad de proteger un perímetro. Al fin y al cabo, ese perímetro ya no existe tal y como lo conocíamos. Hoy abarca entornos cloud, aplicaciones, APIs, componentes legacy, identidades humanas y de máquina, proveedores, partners y cadenas de suministro. Es un ecosistema mucho más amplio e interconectado, en el que el riesgo rara vez reside en un único elemento aislado.
Al mismo tiempo, los ciberataques son cada vez más sofisticados. No tanto porque la IA pueda inventar amenazas completamente nuevas, sino porque está haciendo que muchas de las actividades en las que se basa un ciberataque sean más rápidas, escalables y accesibles: desde la recopilación de información hasta la creación de campañas de phishing más convincentes, pasando incluso por la identificación de debilidades en infraestructuras y aplicaciones. El riesgo adquiere así una nueva dimensión: la necesidad de operar en un entorno en el que el ciclo de ataque puede ser más rápido que muchos procesos tradicionales de detección, evaluación y respuesta. Como resultado, el tiempo que transcurre entre la aparición de una vulnerabilidad y el momento en que puede ser identificada, alcanzada y explotada es cada vez más corto.
Para el sector bancario, esto no es un simple detalle técnico. Cada ventana de exposición puede poner en riesgo datos sensibles, procesos esenciales y servicios orientados al cliente, y acabar amenazando la confianza en la que se sustenta la relación con el mercado. En un entorno en el que la continuidad operativa y el cumplimiento normativo son requisitos fundamentales, la ciberseguridad bancaria se está convirtiendo cada vez más en una cuestión de velocidad de respuesta, además de protección. Una de las preguntas clave a las que debe responder la ciberseguridad está cambiando: ya no se trata de cuántas vulnerabilidades se han detectado, sino de cuáles de ellas podrían convertirse realmente en una puerta de entrada a los procesos más críticos.
CTEM: un enfoque para gestionar la exposición de forma continua
No todas las debilidades son iguales: la prioridad es identificar aquellas que pueden tener un impacto real en el negocio. Para ello, sin embargo, las organizaciones necesitan la capacidad de evaluar su exposición de forma continua.
En ciberseguridad, el Continuous Threat Exposure Management (CTEM) se está consolidando como un enfoque estructurado para identificar, evaluar y reducir la exposición en función del riesgo real. No es lo mismo que la gestión tradicional de vulnerabilidades, ni puede abordarse simplemente adquiriendo una nueva plataforma. Requiere integrar tecnologías, procesos, responsabilidades y contexto de negocio en una metodología que permita concentrar recursos y atención en las exposiciones que podrían comprometer los activos más críticos.
En otras palabras, el CTEM ofrece un marco para pasar de una respuesta reactiva a las señales de seguridad a una priorización basada en el riesgo real. Su valor reside en la continuidad del proceso, que puede resumirse en cinco fases:
- Scoping: definir el alcance del análisis, desde los activos críticos hasta los datos, los entornos cloud, las identidades, las aplicaciones y los terceros.
- Discovery: identificar vulnerabilidades, configuraciones erróneas, exposiciones externas y riesgos asociados a las identidades y los accesos.
- Prioritization: clasificar las exposiciones según su explotabilidad, su impacto potencial y su criticidad para el negocio.
- Validation: verificar si un escenario puede explotarse realmente, también mediante simulaciones y técnicas de validación de ataques.
- Mobilization: activar las tareas de remediación, los flujos de trabajo y las responsabilidades, monitorizar los KPIs e impulsar mecanismos de mejora continua.
Los retos específicos de la banca: correlacionar tecnología, identidades y procesos críticos
En el sector bancario, la complejidad aumenta porque la exposición no puede evaluarse únicamente en términos de infraestructura. Es necesario tener en cuenta los activos y aplicaciones críticos, las identidades y los privilegios, las configuraciones, las conexiones cloud, las APIs, los proveedores y las señales de threat intelligence. Y, sobre todo, estos elementos deben vincularse a los procesos que sostienen la operativa de un banco, la continuidad del servicio y la protección del cliente.
Las identidades, en particular, representan un punto de observación crucial. Usuarios, cuentas de administración, cuentas técnicas, aplicaciones y proveedores pueden servir como puntos de entrada a sistemas y datos. Saber quién puede acceder a qué, con qué privilegios y a través de qué relaciones de confianza se ha vuelto tan esencial como monitorizar una red o aplicar un parche. En este contexto, la inteligencia artificial puede ser un recurso muy valioso, ya que ayuda a los equipos de seguridad a correlacionar grandes volúmenes de señales, identificar anomalías, priorizar exposiciones y orquestar las actividades de verificación y respuesta. Dicho de otro modo, puede ayudar a convertir información fragmentada en decisiones más oportunas.
Sin embargo, el uso de sistemas y agentes de IA no debe traducirse en una delegación indiscriminada. En banca, cualquier forma de autonomía debe operar dentro de unos límites claramente definidos: qué datos pueden tratarse, qué herramientas pueden utilizarse, qué acciones pueden iniciarse automáticamente y cuándo es necesaria la aprobación humana. La trazabilidad de las decisiones, la gestión de privilegios, la separación de funciones y los mecanismos de escalado son condiciones esenciales para garantizar que una mayor velocidad no vaya en detrimento del control y la rendición de cuentas.
IA y ciberseguridad: la autonomía solo es útil si sigue siendo gobernable
El marco regulatorio también está impulsando el cambio en esta dirección. DORA, el AI Act y otros requisitos aplicables no se limitan a exigir controles adicionales; también obligan a las organizaciones a reforzar y demostrar la solidez de sus procesos, responsabilidades, gestión de terceros y capacidades de respuesta.
Aun así, la creciente atención regulatoria a la resiliencia operativa, los terceros, los datos y la IA también puede ser una oportunidad para establecer un lenguaje común entre los equipos de ciberseguridad, riesgos, cumplimiento, IT y negocio. Desde esta perspectiva, la gestión de la exposición se convierte en una capacidad transversal que permite aclarar prioridades, asignar responsabilidades y documentar de forma concreta las acciones llevadas a cabo.
En banca, por tanto, la métrica clave de la ciberseguridad no será el número de alertas gestionadas ni de vulnerabilidades cerradas, sino el tiempo necesario para identificar las exposiciones más relevantes, evaluar su explotabilidad y actuar. La ciberresiliencia dependerá cada vez más de la capacidad de cerrar la ventana de exposición antes de que pueda ser explotada. La IA puede ayudar a acortar esa ventana acelerando el análisis y la respuesta, siempre que su uso garantice la trazabilidad de las decisiones, la gestión de accesos, la visibilidad sobre los impactos y una clara asignación de responsabilidades.
