Secure&IT: “El mayor reto de la regulación es cambiar la cultura de las organizaciones”
La acumulación de exigencias regulatorias está obligando a las organizaciones a replantearse cómo gestionan la ciberseguridad. NIS2, DORA o el Reglamento Europeo de Inteligencia Artificial introducen nuevas obligaciones, pero el verdadero desafío consiste en incorporarlas a la actividad diaria sin multiplicar procesos y controles. Para Natalia Patiño, consultora legal de Secure&IT, el problema comienza incluso antes de implantar las medidas: comprender unas normativas complejas y conseguir que toda la organización las asuma.
“Esto implica cambiar la cultura de las organizaciones, que es quizá el mayor reto”, señala, añadiendo que el cumplimiento ya no puede abordarse desde departamentos que trabajan de manera aislada. Tiene claro que es necesario establecer mecanismos de colaboración entre las áreas jurídica, tecnológica y de negocio, aunque esa coordinación debe organizarse para evitar que termine convirtiéndose en una barrera burocrática.
“Cada norma no debe implicar volver al punto de partida, sino añadir requisitos y controles”
La integración es también la respuesta a la superposición de normativas. Natalia Patiño considera poco operativo desarrollar sistemas de gestión independientes para cada regulación y propone partir de un marco común, como ISO 27001, sobre el que incorporar nuevas exigencias. Lo compara con un juego de construcción: “No construyes un sistema de gestión para cada norma, sino que tienes una base sólida y sobre esa base vas uniendo piezas”, explica.
Del cumplimiento estático al control continuo
Otra transformación afecta a la capacidad de demostrar que las medidas implantadas funcionan. Recuerda que “todas estas normas requieren pasar de un sistema de control, como decías, de foto fija, a un sistema de control dinámico, como a película”, y que la automatización resulta fundamental para monitorizar procedimientos, mantener la trazabilidad y gestionar evidencias sin que los equipos se vean desbordados por registros y falsos positivos. Sin embargo, debe responder a criterios establecidos por la organización. En su opinión, “la automatización acelera el proceso, pero manteniendo el criterio estratégico en el factor humano, en las personas”.
Esa importancia de las personas también se refleja en la formación. Frente a los programas tradicionales, basados en cursos anuales y cuestionarios, defiende una capacitación más dinámica, contextualizada y adaptada a cada puesto. Por ejemplo, ofrecer recordatorios de seguridad cuando un empleado está a punto de compartir información confidencial en la nube. Las necesidades de un profesional de TI, marketing o finanzas son diferentes y la formación debería reflejarlo.
Nuevos riesgos y responsabilidades
La expansión del cloud, el trabajo distribuido y la incorporación de agentes de inteligencia artificial están modificando las prioridades de protección. Según Natalia Patiño, es necesario abandonar una seguridad centrada exclusivamente en defender la red corporativa y prestar más atención a las identidades, las actividades y los accesos.
En el caso de la IA agéntica, recomienda identificar dónde se utiliza, asignar identidades a los agentes y aplicar controles equivalentes a los de otros usuarios, incluidos el mínimo privilegio y la supervisión humana de decisiones críticas.
“La automatización debe acelerar los procesos, pero el criterio estratégico tiene que seguir en las personas”
La externalización de servicios especializados constituye otra vía para afrontar la escasez de recursos. Recurrir a un CISO externo, un DPO o un SOC puede reducir la carga operativa, pero no elimina las responsabilidades de la organización. Advierte Natalia Patiño que la responsabilidad se puede descentralizar, “pero no puedes desentenderte”, y considera considera imprescindible que las recomendaciones de los proveedores lleguen a quienes toman las decisiones.
Una propuesta que integra tecnología y cumplimiento
Esta visión transversal define también la propuesta de Secure&IT, que combina perfiles jurídico-tecnológicos, especialistas en implantación de estándares y capacidades de operación de seguridad. Defiende Natalia Patiño que un proveedor tecnológico debe comprender las obligaciones normativas y que el asesoramiento jurídico necesita conocer la realidad tecnológica de las empresas.
Entre sus capacidades destaca especialmente su SOC, que ya incorpora inteligencia artificial y cuya evolución se orienta hacia un modelo agéntico. El objetivo es integrar distintas especialidades para responder a unas amenazas y obligaciones cada vez más complejas, evitando que el cumplimiento y la seguridad avancen por caminos separados.
La entrada Secure&IT: “El mayor reto de la regulación es cambiar la cultura de las organizaciones” se publicó primero en Ciberseguridadtic.