Las empresas y los particulares producen cada día un volumen creciente de datos digitales. El marco regulatorio europeo se ha densificado: al RGPD se añaden ahora NIS2 para los sectores críticos, DORA para las finanzas y la Ley de IA para los sistemas de inteligencia artificial, con calendarios de aplicación escalonados. En este contexto, la seguridad de los datos ya no se limita a un antivirus o a una contraseña robusta. Implica decisiones de arquitectura, gobernanza y verificación continua.
Copias de seguridad como objetivo de los atacantes: un punto ciego en las estrategias de protección
La mayoría de las guías de ciberseguridad recomiendan hacer copias de seguridad de los archivos de forma regular. Este consejo sigue siendo válido, pero oculta un problema más reciente. Los informes de campo muestran que las infraestructuras de copia de seguridad son ahora un objetivo prioritario para los atacantes. El objetivo ya no es solo cifrar los archivos activos, sino también neutralizar las copias de seguridad, haciendo que cualquier recuperación sea imposible sin el pago de un rescate.
Esta evolución cambia las reglas del juego para los equipos de TI. Tener una copia de seguridad ya no es suficiente si esta es accesible desde la misma red que los sistemas de producción. La inmutabilidad de las copias (imposibilidad de modificarlas después de su escritura) y su aislamiento físico o lógico se convierten en criterios de elección para cualquier solución de almacenamiento. También se recomienda probar regularmente la restauración efectiva de los datos, ya que una copia de seguridad que no se restaura no es realmente una.
Para profundizar en estos desafíos, la información de seguridad en Open Syd detalla varios enfoques adaptados a empresas e independientes.
Cadena de suministro digital y riesgos relacionados con los proveedores
Las regulaciones recientes, encabezadas por NIS2, amplían el ámbito de responsabilidad mucho más allá del sistema de información interno. La evaluación de riesgos relacionados con proveedores y subcontratistas forma ahora parte de las obligaciones para las entidades afectadas. Un proveedor de nube mal asegurado, una herramienta SaaS que almacena datos personales sin el cifrado adecuado, un acceso de terceros no revocado tras la finalización de un contrato: son tantas las vulnerabilidades que las soluciones digitales deben cubrir.
Concretamente, esto implica varias verificaciones antes de confiar datos a un tercero:
- Examinar las certificaciones de seguridad del proveedor (ISO 27001, calificación SecNumCloud o equivalente) y verificar su ámbito exacto.
- Contractualizar las obligaciones de notificación en caso de incidente, con plazos precisos y compromisos de transparencia.
- Prever un mecanismo de reversibilidad: poder recuperar la totalidad de sus datos en un formato utilizable si el proveedor cambia sus condiciones o cesa su actividad.
- Auditar los accesos de terceros regularmente, eliminando aquellos que ya no están justificados.
Los informes de campo divergen sobre la capacidad real de las pymes para llevar a cabo estas auditorías de manera sistemática. El costo y la complejidad siguen siendo obstáculos, lo que lleva a algunas estructuras a mutualizar estas evaluaciones a través de agrupaciones sectoriales.
Conformidad regulatoria: RGPD, NIS2, DORA y Ley de IA en la práctica
La acumulación de textos europeos crea una dificultad concreta para las empresas: cada regulación cubre un ámbito diferente, con obligaciones que se superponen parcialmente. El RGPD regula el tratamiento de datos personales. NIS2 impone medidas de ciberseguridad a las entidades denominadas “importantes”. DORA se centra específicamente en la resiliencia digital del sector financiero. La Ley de IA añade restricciones para los sistemas de inteligencia artificial de alto riesgo.
Para una empresa que utiliza una herramienta de IA que trata datos personales en un sector cubierto por NIS2, estos tres textos se aplican simultáneamente. Las soluciones digitales de cumplimiento intentan automatizar parte de este trabajo: mapeo de tratamientos, registro de actividades, detección de desviaciones. Los datos disponibles aún no permiten medir la efectividad real de estas herramientas a largo plazo, pero su adopción avanza en las organizaciones de tamaño intermedio.
Lo que cambia la Ley de IA para la protección de datos
La Ley de IA introduce una clasificación de los sistemas de IA por nivel de riesgo. Los sistemas de alto riesgo (reclutamiento automatizado, scoring bancario, videovigilancia inteligente) deben cumplir con requisitos de transparencia, trazabilidad y gobernanza de los datos de entrenamiento. Un modelo de IA entrenado con datos sesgados o mal protegidos expone a la empresa a sanciones bajo la Ley de IA y el RGPD simultáneamente.
La CNIL ha publicado directrices sobre la articulación entre IA y protección de datos personales, especialmente para los sistemas denominados “agentes” (IA autónoma capaz de realizar acciones en cadena). Estas precisiones son recientes y su traducción operativa aún debe ser construida para muchas organizaciones.
Soluciones digitales de detección y respuesta a amenazas
Las herramientas de detección han evolucionado más allá del análisis de firmas conocidas. Las soluciones de tipo EDR (Detección y Respuesta en el Endpoint) y XDR (Detección y Respuesta Extendida) correlacionan eventos en varias capas del sistema de información: estaciones de trabajo, mensajería, red, nube. La detección ahora se basa en el análisis del comportamiento, lo que permite identificar amenazas inéditas que no corresponden a ninguna firma registrada.
Sin embargo, estas soluciones generan un volumen de alertas que los equipos deben clasificar. Sin un proceso de calificación claro, el riesgo es abrumar a los analistas con falsos positivos o, por el contrario, pasar por alto un incidente real ahogado en la masa. La automatización de la clasificación (a través de reglas o IA) ayuda, pero no elimina la necesidad de experiencia humana para decisiones críticas.
La elección de una solución de seguridad no se basa en una lista de funcionalidades. Depende del tamaño de la organización, de la sensibilidad de los datos tratados, del marco regulatorio aplicable y de la capacidad real de los equipos para utilizar la herramienta en el día a día. Una herramienta sofisticada mal configurada protege menos que una herramienta simple correctamente mantenida. Es en este punto donde la mayoría de los incidentes encuentran su origen, mucho más que en una falla tecnológica espectacular.
