El futuro de la ciberseguridad es antifrágil, no solo resiliente.

Durante años, la resiliencia fue el estándar en ciberseguridad. Los sistemas fallan, los equipos responden, los servicios vuelven a estar operativos y el negocio sigue adelante.

Pero ese modelo parte de supuestos que ya no se sostienen. Parte de la premisa de que el entorno al que se regresa tras un incidente sigue siendo apto para hacer frente a las amenazas actuales. También parte de la base de que los defensores pueden seguir el ritmo de los atacantes y de que la arquitectura de ayer puede soportar lo que venga después.

La sesión de RSAC 2026, "Más allá de la resiliencia: construcción de sistemas cibernéticos antifrágiles", cuestionó esas suposiciones.

John Kindervag, evangelista principal de Illumio y creador de Zero Trust, y Anthony Rodriguez, vicepresidente adjunto de ingeniería de seguridad de aplicaciones y gestión de amenazas de CVS, argumentaron que la recuperación por sí sola ya no es suficiente en entornos que están en constante cambio y bajo presión continua.

El cambio que describieron apunta hacia la antifragilidad. En lugar de limitar a recuperar de los incidentes, las organizaciones deben emplearlos para mejorar el funcionamiento de sus sistemas. Esto significa diseñar programas de seguridad que limiten el impacto, se adapten en tiempo real y se fortalezcan con cada interrupción.

Ese cambio modifica la forma en que construimos y medimos la ciberseguridad. Cambia el enfoque: pasa de restablecer el servicio a reducir el riesgo, de reaccionar ante los incidentes a aprender de ellos, y de los controles estáticos a sistemas que evolucionan con las amenazas a las que se enfrentan.

La resiliencia ya no es el destino.

La ciberresiliencia sigue siendo importante, pero ya no es el objetivo final.

Kindervag describió la resiliencia como un ciclo que la mayoría de las organizaciones conocen bien: algo se rompe, se arregla y se vuelve al punto de partida. El sistema sobrevive, pero no cambia.

Los cambios antifragilidad que se repiten en círculo. Cada incidente se convierte en una fuente de aprendizaje. Se espera que los sistemas evolucionen, no solo que se recuperen.

“La antifragilidad significa que aprendemos, nos adaptamos y nos hacemos más fuertes”, dijo Kindervag.

Aquí es donde entra en juego una estrategia de Confianza Cero . No se trata simplemente de un conjunto de controles o un marco para la toma de decisiones sobre el acceso, sino de un mecanismo para la adaptación continua.

Kindervag lo denominó "un motor de adaptación", lo cual es una forma útil de entenderlo. Cuando los sistemas se construyen para observar, hacer cumplir y ajustar en tiempo real, no solo resisten la presión. Responden a ello de maneras que los hacen más fuertes con el tiempo.

Diseñar para el mundo real, no para el camino feliz.

Con demasiada frecuencia, los sistemas actuales se diseñan en función de condiciones ideales.

Como explicó Rodríguez, "A menudo buscamos el camino de la felicidad, pero ese camino es tóxico".

En la práctica, los entornos son cualquier cosa menos previsibles. Las configuraciones varían, las dependencias cambian y los usuarios se comportan de maneras que no coinciden con las suposiciones de diseño.  

Los atacantes explotan esas vulnerabilidades porque se encuentran fuera del "camino normal" sobre el que se construyen la mayoría de los sistemas.

Diseñar para la antifragilidad significa aceptar que el estrés es constante. No es algo que deba evitar ni minimizar. Los equipos deben planear e incorporar el estrés en el funcionamiento de los sistemas.  

Cuando el estrés se convierte en un factor esperado, en lugar de una excepción, se pueden diseñar sistemas para gestionarlo de forma más eficaz.

Ese cambio se refleja en todo, desde cómo se prueban las aplicaciones hasta cómo se gestiona la infraestructura. También cambia la forma en que los equipos conciben el fracaso. En lugar de tratarlo como una anomalía, pasa a formar parte del proceso.

Por qué los entornos estáticos no funcionan

Un tema recurrente a lo largo de la sesión fue el riesgo de depender de modelos de seguridad estáticos en entornos dinámicos.

“La estática es tóxica”, dijo Rodríguez.

Esa afirmación refleja un problema más amplio. Muchos sistemas de control tradicionales están diseñados para entornos que no cambian con frecuencia. Los equipos de seguridad definen las políticas de antemano, dichas políticas otorgan acceso en función de un único punto de decisión, y la aplicación de las políticas presupone estabilidad.

Los entornos modernos no se comportan de esa manera. Las aplicaciones se distribuyen entre nubes y centros de datos. Las cargas de trabajo aumentan y disminuyen según sea necesario. Los usuarios se conectan desde una amplia variedad de ubicaciones y dispositivos.

Rodríguez señaló uno de los ejemplos más claros de esta deficiencia en la forma en que se gestiona la autenticación. “Antes tomábamos decisiones basándonos en una sola señal, como la del MFA”, dijo. “Pulsas el botón, entras y nadie revisa qué sucede con tu paquete luego de la autenticación.”

Ese enfoque considera la confianza como un momento en el tiempo. Pero el riesgo no termina una vez que el usuario se autentica. Continúa durante toda la sesión.

Avanzar hacia la antifragilidad requiere pasar de decisiones estáticas a una evaluación continua. Los sistemas deben observar el comportamiento a lo largo del tiempo y ajustar en consecuencia.  

Ahí es donde los principios de Confianza Cero se vuelven fundamentales, especialmente cuando se combinan con la capacidad de aplicar controles de forma dinámica y contener el riesgo a medida que surge.

Hacer un mejor uso de las señales

Otro cambio importante que se debatió en la sesión fue la forma en que las organizaciones gestionan las señales.

Los equipos de seguridad disponen de una gran cantidad de datos. El reto siempre fue convertir esos datos en información útil para la toma de decisiones.  

Rodríguez hizo hincapié en la importancia de centrar en las señales significativas. “A medida que nos centremos en más señales y menos ruido, su sistema será más resistente”, afirmó. “Se recuperará, se adaptará y evolucionará.”

Kindervag relacionó esto con las limitaciones de los enfoques tradicionales. “No pudimos procesar bien las señales debido a los procesos manuales.”

Eso está empezando a cambiar. Gracias a mejores análisis y enfoques basados en inteligencia artificial, las organizaciones pueden procesar más señales y responder a ellas con mayor rapidez. Pero el verdadero valor reside en lo que sucede después.

Las señales no solo deben activar alertas; deben impulsar la acción. Y esa acción debería repercutir positivamente en el sistema, mejorando su comportamiento en el futuro.

Esto crea un ciclo de retroalimentación donde la visibilidad, la aplicación de las normas y el aprendizaje están interconectados. Con el tiempo, ese ciclo se convierte en la base de la antifragilidad. Permite que los sistemas perfeccionen continuamente su funcionamiento en función de las condiciones del mundo real.

Romper el ciclo de incidentes repetidos

Una de las partes más sinceras de la conversación se centró en lo que sucede luego de un incidente.

Kindervag puso de manifiesto un patrón que la mayoría de los equipos reconocerán. “Con demasiada frecuencia esperamos a que ocurra una explosión. A las compañías no les importa hasta que sucede algo malo.

Incluso cuando las organizaciones responden de manera eficaz, el seguimiento suele ser limitado. Los problemas se resuelven en el momento, se redactan reportes y, semanas o meses después, los mismos problemas vuelven a surgir.

“El proceso tradicional de recuperación ante desastres es lineal: fallo, conmutación por error y recuperación”, dijo Rodríguez.

Lo que falta es una mejora sistémica. La antifragilidad exige que las organizaciones tomen lo que aprenden de cada incidente y lo apliquen de forma generalizada. Solucionar un solo problema no es suficiente. El objetivo es eliminar clases enteras de problemas.

Eso significa que los equipos de seguridad deberían centrar en:  

• Actualización de políticas en múltiples entornos
• Mejorar la visibilidad en áreas que antes pasaban desapercibidas.
• Automatizar respuestas que antes se gestionaban manualmente.

Sin ese paso, las organizaciones permanecen atrapadas en un ciclo de incidentes repetitivos.

Repensar cómo se mide el éxito

A medida que las organizaciones avanzan hacia la antifragilidad, Kindervag y Rodríguez también analizaron por qué es necesario cambiar la forma en que los equipos miden el éxito.

Las métricas tradicionales suelen centrar en los tiempos de respuesta y el volumen de incidentes. Esas métricas siguen teniendo valor, pero no reflejan si los sistemas están mejorando realmente.

Rodríguez ofreció una perspectiva diferente:

“Un indicador clave no es la cantidad de incidentes en los que participas, sino en cuántos no participas”, afirmó.

Ese cambio desplaza el enfoque de la actividad a los resultados. Hace hincapié en contener los ataques, reducir el riesgo y evitar las interrupciones en la medida de lo posible.  

Otras métricas que mencionó, como la reducción del riesgo por incidente y la prevención de interrupciones del servicio, se ajustan más a lo que le importa a la compañía. Reflejan si los esfuerzos en materia de seguridad están marcando una diferencia significativa, y no solo si los equipos están ocupados.

¿Por dónde empezar con la antifragilidad?

Para muchas organizaciones, el reto consiste en averiguar cómo aplicarlas.

“El mayor problema es que la gente no sabe por dónde empezar”, dijo Rodríguez. “Y cuando empiezan, intentan construir una utopía.”

Intentar resolverlo todo a la vez suele provocar un estancamiento del progreso. Un enfoque más práctico consiste en centrar en mejoras graduales.

Eso podría comenzar por obtener una mayor visibilidad de cómo se comunican los sistemas, especialmente en entornos donde el riesgo es más difícil de detectar. A partir de ahí, las organizaciones pueden empezar a aplicar controles más detallados, reducir la dependencia de políticas estáticas y crear bucles de retroalimentación que conecten las señales con las acciones.

Las pruebas también desempeñan un papel importante desde el principio. Introducir estrés controlado en los sistemas, incluso de forma limitada, puede revelar dónde existen las mayores deficiencias y dónde centrar los esfuerzos a continuación.

Con el tiempo, esos pasos se van sumando. Crean una base que respalda capacidades más avanzadas y un enfoque más adaptable a la seguridad.

Por qué es importante ahora el cambio de la resiliencia a la antifragilidad.

La conversación entre Kindervag y Rodríguez en RSAC refleja un cambio más amplio que se está produciendo en toda la industria.

Los entornos son cada vez más complejos y los atacantes actúan con mayor rapidez. La IA está acelerando ambos lados de la ecuación.

En ese contexto, una estrategia cibernética basada únicamente en la resiliencia tendrá dificultades para mantener al día. Recuperar de los incidentes es importante. Pero no aborda el problema de fondo. Si los sistemas vuelven al mismo estado luego de cada interrupción, persisten las mismas vulnerabilidades.

La antifragilidad ofrece un camino diferente. Considera el estrés como un factor clave para la mejora y desarrolla sistemas que pueden adaptar con el tiempo.

Ese cambio es especialmente importante a la hora de contener las brechas de seguridad. Cuanto más tiempo pueda mover un atacante dentro de un entorno, mayor será el impacto. Reducir ese movimiento, limitar el radio de explosión y aprender de cada incidente son elementos clave para construir una defensa más duradera.

Y en un momento en que la brecha entre amenazas y defensas sigue ampliar, esa diferencia es lo que determinará qué compañías se mantienen al día y cuáles se quedan atrás.

Mira cómo el Plataforma Illumio Contiene las brechas de seguridad, limita el movimiento lateral y convierte una estrategia de confianza cero en un sistema antifrágil.