Construir resiliencia operativa para los servicios financieros: ¿Es su barco navegable?

Shelby Flora hizo recientemente una pregunta sencilla a varios directores no ejecutivos de los consejos de administración de servicios financieros de EE. UU. y Reino Unido.

¿Alguna de sus instituciones acudió al consejo para pedir dinero para probar entornos de recuperación con más frecuencia o para mejorar la visibilidad en sus redes?

Todos dijeron que no.

Flora, directora general y responsable de seguridad de servicios financieros de UKIA en Accenture Security, compartió el intercambio cerca del final de un reciente seminario sitio web del Grupo de Interés Especial de Concienciación en Seguridad (SASIG) dirigido a líderes en seguridad de servicios financieros. También preguntó a los directores si estaban preocupados por lo rápido que está cambiando el panorama de amenazas. Cada uno dijo que sí. Cuando preguntó si apoyarían una iniciativa de resiliencia liderada por el director de operaciones, respondieron que sí de nuevo.

Ese intercambio abarca dónde se encuentra gran parte del sector financiero hoy en día. Bancos y aseguradoras pasaron años construyendo marcos de resiliencia operativa, y al menos algunos de sus consejos parecen estar preparados para financiar el siguiente paso. Lo que falta es la petición, respaldada por pruebas de que esos planes se mantendrán una vez que un atacante esté dentro. Esa prueba proviene de tres hábitos: mapear las dependencias lo suficientemente bien para contener un ataque, realizar pruebas de ciberresiliencia como un ejercicio rutinario y presentar al consejo un plan claro con el director de operaciones (COO) detrás.

Una buena documentación no mantiene a flote a los bancos

La documentación importa. Es la base de todos los marcos al que responden los bancos, desde las pruebas basadas en amenazas hasta las expectativas de la Autoridad de Regulación Prudencial (PRA) sobre servicios empresariales importantes.

El problema es que los documentos describen el entorno que alguien diseñó, mientras que los atacantes se mueven por el entorno que existe hoy en día.

Esas dos imágenes se van distanciando con el tiempo. La mayoría de los entornos bancarios crecieron a lo largo de décadas de proyectos, adquisiciones y soluciones alternativas, y cada cambio agrega complejidad.

La complejidad crea costuras, y las costuras son donde los atacantes encuentran formas de avanzar o atravesar los entornos. Los hallazgos temáticos del Banco de Inglaterra del CBEST pusieron de manifiesto los mismos puntos débiles año tras año, un patrón que Illumio desglosó en su análisis del reporte CBEST 2025.

La complejidad también moldea lo que ocurre en el peor día. Durante un incidente en directo, los equipos trabajan en una "niebla de guerra" donde las dependencias no se entienden completamente, la visibilidad es parcial y el libro de operaciones puede no coincidir con lo que hay en la red. Esa incertidumbre genera vacilación, ya que los intervinientes temen que una acción de contención pueda causar más perturbación que el propio ataque.

Con la calma retrospectiva, la decisión correcta suele parecer obvia. En el momento, un retraso puede dar al atacante el tiempo que necesita para propagar.

Un marco navegable para la ciberresiliencia en servicios financieros

Cuando el moderador preguntó qué inversiones debían ser lo primero, Flora rememoró su infancia en Missouri, cuando los fines de semana significaban pasear en barco por el lago. Aprender a manejar un barco, dijo, empieza con revisiones de seguridad y nunca termina realmente, porque un buen capitán sigue inspeccionando, reparando y mejorando la embarcación.

Su analogía también sirve como lista de verificación para los CISOs.

Haz las comprobaciones de seguridad antes de salir del muelle

Cada viaje comienza buscando fugas evidentes. En términos de seguridad, eso significa controles centrales estables y parches constantes, sin vulnerabilidades altas o críticas abiertas. También significa mantener una postura firme sobre la tecnología al final de su vida útil.

Flora señaló que los atacantes siguen apoyar mucho en fallos antiguos del software heredado, porque los fallos antiguos y sin parches son más fáciles de explotar que los nuevos. Cualquier sistema sin apoyo debería tener un plan financiado para la jubilación.

Inspecciona el casco en busca de fugas ocultas

Un buen mantenimiento empieza por saber dónde están los puntos débiles. Eso significa mapear qué sistemas se comunican entre sí y qué depende de qué. Los sistemas críticos suelen ser bien conocidos, pero a menudo hay dependencias sorprendentes detrás de ellos.

Los terceros merecen el mismo escrutinio. Cuando sabes qué acceso tiene un proveedor, dónde termina ese acceso y qué depende de esos sistemas, puedes modelar el radio de explosión de un compromiso de proveedor antes de que ocurra. Ese mismo mapa muestra cómo es el tráfico normal, para que los equipos puedan detectar movimientos laterales desde el principio.

Tapa los agujeros con materiales modernos

La cinta americana solo mantiene un casco unido durante un tiempo. Muchos bancos construyeron segmentación en torno a la topología de red, forzando el tráfico a través de firewall situados entre zonas. Los firewall siguen desempeñando un papel valioso en límites clave, pero estirarlos hacia una segmentación interna amplia eleva rápidamente los costos de capital y operativos.

La microsegmentación aplica políticas donde es necesaria, cerca de las propias cargas de trabajo, lo que hace práctico limitar hasta dónde puede recorrer un atacante. También se adapta al desarrollo moderno. Los equipos pueden escribir políticas de segmentación como código y desplegarlas a través de sus pipelines CI/CD, para que las nuevas aplicaciones se lancen con seguridad integrada desde el primer día.

Sustituye la madera podrida por acero

Algunas reparaciones requieren una reconstrucción. El Banco de Inglaterra pasó varios años renovando su servicio de liquidación bruta en tiempo real, que liquida pagos de alto valor en libras. Muestra cómo es una actualización deliberada de la infraestructura central.

Proyectos así requieren tiempo y dinero, y dejan todo el sistema más fuerte. Cada institución debe decidir qué plataformas obsoletas detrás de sus transacciones principales están preparadas para recibir el mismo tratamiento.

Practica usar el bote salvavidas hasta que sea algo natural

Incluso un bote bien cuidado puede entrar en agua, así que el bote salvavidas tiene que funcionar. Para los bancos de salvavidas, los botes salvavidas son entornos de recuperación, y solo ayudan si arrancan rápidamente luego de estar inactivos.

Aquí es donde las pruebas de ciberresiliencia se ganan su lugar. Flora describió cómo aconsejaba a una gran institución multinacional que hiciera pruebas de contención y recuperación cada dos semanas, cuando la institución preguntó sobre pruebas cada dos meses.

Su razonamiento era sencillo: la urbanización tecnológica cambia cada día, y el panorama de amenazas cambia con ella. También estimó que el tiempo desde la detección de una nueva vulnerabilidad hasta su primer exploit confirmado se redujo de más de dos años en 2018 a cuestión de días.

Hacer pruebas suele parecer pesado, pero gran parte puede automatizar. Las comprobaciones que confirman que los controles se activan cuando deberían pueden funcionar por sí mismos, lo que libera a la gente para ensayar las decisiones.

Esos ensayos deberían ir más allá del equipo de seguridad, a los ejecutivos y, cada vez más, a los afiliados a la junta que desean un puesto en los ejercicios de escenario. El objetivo es la memoria muscular, para que nadie lea el plan de respuesta a incidentes por primera vez en el peor día del año.

Decide quién dirige cuando sube el agua

La contención automatizada, donde un sistema aísla activos críticos sin esperar aprobación, es un objetivo atractivo.

Las recomendaciones impulsadas por IA siguen mejorando, y los puntajes de confianza ayudan a los respondedores a tomar decisiones más rápidas y mejor informadas. Pero por ahora, una persona al tanto sigue siendo importante, especialmente en un sector donde un mal día puede repercutir en la economía.

Avanzar hacia la automatización requiere trabajo en dos frentes:

• El trabajo técnico. La contención solo puede ocurrir donde tienes control de políticas. Los entornos construidos mediante adquisiciones a menudo carecen de puntos de aplicación en los lugares adecuados.
• El trabajo de gobernanza. El director de operaciones, el director de riesgos, los comités de riesgos y los reguladores deben acordar de antemano qué respuesta es adecuada y quién toma la decisión.

También ayuda empezar desde una mentalidad de suposición de incumplimiento. Como dijo Russell Goodwin, un distinguido arquitecto de soluciones en Illumio, incluso un sistema crítico puede ver comprometido, por lo que cada plan debería tener en cuenta hacia dónde podría ir un atacante a continuación.

Según la experiencia de Flora, las instituciones que se mueven más rápido para preparar para ataques acelerados por IA son aquellas en las que el COO lidera el esfuerzo. Los COOs monitorear juntos el riesgo, la tecnología y la seguridad, para poder abrir camino para que CIO, CTOs, CISOs y líderes de comunicación trabajen como un solo equipo.

Flora agregó que no existe la sobrecomunicación durante un incidente. Los peores resultados suelen derivar de la confusión sobre qué decisiones deben tomar y quién las posee.

El pragmatismo mantiene a ese equipo en movimiento. Empieza por tus servicios empresariales importantes y luego agrega una visión basada en amenazas sobre cómo los grupos criminales y los actores estatales tienen más probabilidades de atacar.

Los equipos de arquitectura pueden ser cautelosos con un nuevo enfoque, por lo que un piloto en un entorno limitado les permite validar controles y obligaciones antes de escalar. Intentar proteger todo a la vez es cómo los programas se estancan en la parálisis del análisis.

La resiliencia operativa no esperará a aguas más tranquilas

Los modelos de IA de Frontier están cambiando la economía de los ciberataques. El tiempo y la habilidad que se tarda en encontrar y explotar una debilidad siguen disminuyendo, así que las intrusiones avanzan más rápido. La recuperación a velocidad automática se está convirtiendo rápidamente en el estándar que las instituciones financieras deberán mantener.

Los directores con los que habló Flora ya están preocupados y están listos para respaldar un plan liderado por COO. Están esperando a que alguien pregunte. Los CISOs que aportan un mapa claro de sus dependencias y un registro de pruebas frecuentes y realistas pueden hacer esa solicitud con pruebas en mano. Lo más pronto posible lo hagan, antes un plan sobre el papel se convierte en un barco que se mantiene a flote cuando empieza a entrar el agua.

Mira el Webinar completo de SASIG A demanda. Aprende cómo Instituciones financieras puede contener incumplimientos y fortalecer la resiliencia operativa con Illumio.