Cuando apoyo no equivale a resiliencia

Organismos públicos dependen cada vez más de consultores externos para obtener experiencia en la gestión de crisis cibernéticas. Esto es comprensible: las ciberamenazas evolucionan con rapidez, los presupuestos internos son limitados y la competencia por profesionales cualificados es intensa. Sin embargo, el documento sostiene que muchos compromisos de consultoría refuerzan involuntariamente la dependencia.

Los enfoques tradicionales suelen hacer hincapié en los resultados tangibles, como informes, manuales o ejercicios de simulación. Aunque estos entregables tienen valor, no crean automáticamente la comprensión, la propiedad o la capacidad de actuar de forma independiente cuando se desencadena una crisis cibernética real.

La consecuencia es familiar: una vez que los consultores se marchan, los conocimientos se disipan, las responsabilidades siguen sin estar claras y las organizaciones recurren a respuestas ad hoc cuando aumenta la presión.

Un cambio de los entregables a la propiedad

El caso descrito en el documento muestra un enfoque diferente. Durante el compromiso, quedó claro que la respuesta a las crisis cibernéticas no podía tratarse como un ámbito puramente técnico o aislado. Por el contrario, requería una alineación entre la experiencia cibernética, las operaciones de TI, la gestión de incidentes y las estructuras de gestión de crisis existentes.

Junto con las partes interesadas internas, se clarificaron las estructuras de governance, se identificaron los embajadores internos y se definieron las responsabilidades compartidas. En lugar de "impartir" ejercicios, el enfoque se desplazó hacia la transferencia de conocimientos, la creación de rutinas y la integración de la gestión de crisis cibernéticas en los procesos organizativos existentes.

Este enfoque permitió que la Empresa se apropiara gradualmente de sus capacidades de gestión de crisis cibernéticas, y que los consultores externos volvieran a desempeñar un papel de asesoramiento y validación.

Tres ideas clave para la consultoría de cibercrisis

Basándose en esta experiencia, Max Tijmann y Rosa Edema identifican tres ideas clave que son relevantes para muchas organizaciones del sector público:

• La consultoría de cibercrisis debe ir más allá de las actividades puntuales. La resiliencia a largo plazo requiere una creación deliberada de capacidades, no evaluaciones o ejercicios aislados.
• La Gestión de crisis cibernéticas eficaz es intrínsecamente multidisciplinar. Cyber response must be integrated with IT, incident response and traditional crisis governance.
• Los asesores tienen la responsabilidad profesional de prevenir la dependencia. La resiliencia sostenible significa ayudar a las organizaciones a ser capaces de funcionar de forma independiente a lo largo del tiempo.