Algo ha cambiado de forma profunda en el panorama de amenazas. No hace falta recurrir a grandes titulares para constatar que el volumen y la sofisticación de los ciberataques han crecido de manera sostenida en los últimos años. En ese contexto, España sigue figurando entre los países más atacados, y el sector público permanece como uno de los objetivos más atractivos para los atacantes.

La verdadera novedad no es solo el aumento del número de incidentes, sino la rapidez con la que evolucionan las técnicas de ataque.

En los últimos meses hemos apreciado un incremento preocupante de fugas de información sensible en organizaciones de todo tipo. Aunque no es posible atribuir todos los casos a una única causa, sí parece claro que los atacantes han incorporado automatización e inteligencia artificial para acelerar el reconocimiento, personalizar campañas de phishing, explotar vulnerabilidades y operar a mayor escala con menos recursos.

Ahí entra la llamada IA frontera: modelos que ya operan muy cerca del límite de lo que hoy es técnicamente posible. No hablamos ya de sistemas que generan contenido, sino de herramientas cada vez más capaces de razonar, planificar y encadenar acciones con autonomía. Eso cambia las reglas del juego y agranda una asimetría que ya existía entre atacantes (ellos) y defensores (nosotros).

Esa asimetría nos obliga a cambiar el enfoque. Ya no nos basta con aspirar a evitar un incidente grave; el objetivo realista debe ser reducir el impacto, mantener los servicios esenciales y recuperar la operación, aún en condiciones degradadas, en el menor tiempo posible. Dicho de otro modo: la ciberseguridad ya no puede limitarse a prevenir, sino que debe integrar de forma efectiva la ciberresiliencia.

Aquí es donde la administración pública presenta aún importantes deficiencias.

En una pequeña encuesta sobre resiliencia entre responsables de seguridad de distintas administraciones se observa un nivel de madurez muy desigual y yo diría que, mayoritariamente, aún muy incipiente. Existe una conciencia creciente sobre la necesidad de abordar una estrategia de resiliencia como algo más completo que un plan de continuidad, pero la realidad es que en muchas organizaciones no disponemos de una estrategia aprobada y solo se dispone de documentos parciales, poco integrados y sin una aprobación por la dirección.

Los datos apuntan además a una debilidad en la gobernanza. En demasiados casos, estos asuntos no se reportan con la periodicidad necesaria a la dirección, los ejercicios o simulacros se realizan de forma irregular y las pruebas se limitan a verificaciones técnicas parciales. Sin simulacros integrales ni participación amplia de las áreas responsables del servicio y la dirección, de poco sirven esos ejercicios ante un incidente con alto impacto.

Y en lugar de convertir cada incidente en aprendizaje, nos limitamos a revisar los planes solo cuando el daño ya está hecho, sin incorporar sistemáticamente las lecciones propias ni las de otros. El resultado es una resiliencia más aparente que real.

Con esta imagen, me atrevo a decir que los comités de dirección viven de espaldas al riesgo.

Si la administración quiere estar preparada para un escenario en el que la IA frontera multiplica la velocidad y la escala de los ataques, necesitamos dar un salto de madurez. Ese salto pasa por definir estrategias claras, aprobarlas al nivel adecuado, probarlas con regularidad, implicar a la dirección y asegurar que existan procedimientos alternativos, aprobados, conocidos y practicados por quienes deben ejecutarlos.

La ventana para prepararse se nos está cerrando. El próximo incidente crítico no es una posibilidad remota, es una cuestión de tiempo. De poco tiempo. Y la diferencia entre una crisis contenida y un colapso operativo no la marcará solo la tecnología disponible, sino la capacidad real de nuestra organización para resistir, operar degradadamente y recuperarse. Y eso requiere una dirección que entienda que la resiliencia no es un proyecto de TI: es una función de gobierno.

Tomás Gómez Pérez, Responsable de ciberseguridad Gobierno de la Rioja, Miembro del Grupo Seguridad AUTELSI.