En agosto baja el volumen de reuniones, pero los sistemas, los proveedores y las herramientas de inteligencia artificial siguen funcionando. Estas siete preguntas te ayudarán a identificar si tu empresa está realmente preparada para afrontar sus riesgos, demostrar una gestión adecuada de la ciberseguridad y avanzar con confianza en cumplimiento normativo y gobierno de la IA.

Agosto tiene una extraña capacidad para ralentizarlo casi todo. Las reuniones se aplazan, las respuestas automáticas se multiplican y muchas decisiones importantes quedan para septiembre. Es normal. Todos necesitamos bajar un poco el ritmo.

Sin embargo, hay algo que no se detiene. La infraestructura tecnológica sigue funcionando, los accesos remotos permanecen abiertos, los proveedores continúan conectados a nuestros sistemas y las herramientas de inteligencia artificial siguen utilizándose cada día. Los ciberdelincuentes, por supuesto, tampoco se toman vacaciones.

Precisamente por eso, agosto puede convertirse en una buena oportunidad para detenerse un momento y hacerse una pregunta sencilla: ¿está realmente preparada la empresa para afrontar sus riesgos y demostrarlo si mañana fuera necesario?

La respuesta no depende únicamente de una norma, una certificación o una herramienta. Depende de conocer los riesgos, gestionar adecuadamente la organización y disponer de evidencias que demuestren que los controles realmente funcionan.

Las siete preguntas que encontrarás a continuación no pretenden sustituir una auditoría ni un proyecto de consultoría. Su objetivo es ayudarte a identificar, de forma rápida, los aspectos que conviene revisar antes de la vuelta de septiembre.

1. ¿Sabemos realmente qué tenemos expuesto a Internet?

La mayoría de las organizaciones conoce sus sistemas principales: la web corporativa, Microsoft 365, el ERP o las aplicaciones de negocio. El problema suele estar en todo lo demás: subdominios olvidados, servicios de prueba, accesos remotos que nunca se cerraron, APIs expuestas o recursos en la nube que permanecen activos sin una revisión periódica.

Para un atacante no existen los activos «importantes» o «secundarios». Solo existen posibles puertas de entrada. Por eso, el primer paso para mejorar la seguridad no consiste en incorporar más herramientas, sino en conocer qué está realmente expuesto y quién es responsable de cada activo.

Disponer de un inventario actualizado y validar periódicamente la superficie de exposición permite detectar riesgos antes de que lo haga un atacante y establecer prioridades de actuación basadas en evidencias, no en suposiciones.

2. ¿Nuestros controles funcionan o solo están configurados?

Disponer de firewall, antivirus, autenticación multifactor, copias de seguridad o políticas de acceso es imprescindible. Sin embargo, su mera existencia no garantiza que estén funcionando como esperamos. Una configuración incorrecta, una excepción olvidada o un control que nunca se ha comprobado pueden convertirse en un riesgo cuando más se necesita.

La diferencia entre tener controles y demostrar que son eficaces es uno de los aspectos que más valoran clientes, auditores y organismos reguladores. No basta con confiar en que todo está bien; es necesario verificarlo periódicamente mediante evidencias y pruebas adaptadas al nivel de riesgo de la organización.

Validar el funcionamiento de los controles permite detectar fallos antes de que se conviertan en un incidente, priorizar las acciones de mejora y tomar decisiones basadas en información objetiva, no en percepciones.

3. ¿Podemos demostrar que la seguridad se gestiona de forma continua?

La seguridad no debería depender de acciones puntuales cuando surge un problema o llega una auditoría. Las organizaciones más preparadas trabajan con procesos de revisión continua, asignan responsabilidades, evalúan riesgos y mantienen evidencias de que los controles siguen siendo eficaces con el paso del tiempo.

Documentar políticas o procedimientos es importante, pero solo aporta valor cuando refleja la realidad y sirve para tomar decisiones. Una política que nadie conoce o un análisis de riesgos que nunca se revisa generan una falsa sensación de control.

Marcos como ISO 27001 o el Esquema Nacional de Seguridad (ENS) ayudan a estructurar esa gestión continua, pero el objetivo no es obtener una certificación, sino disponer de una organización capaz de gestionar la ciberseguridad de forma continua y demostrarlo cuando sea necesario.

4. ¿Está claro quién actúa si ocurre un incidente en agosto?

Los incidentes no esperan a que termine el verano. Pueden producirse cuando el responsable de IT está de vacaciones, cuando un proveedor no responde o cuando la persona que mejor conoce un sistema no está disponible.

Por eso, una organización preparada no depende de una única persona. Debe tener definidos los responsables, los criterios de actuación, las vías de comunicación y las prioridades del negocio para responder de forma coordinada, incluso en ausencia de parte del equipo.

La verdadera pregunta no es si puede producirse un incidente, sino si la empresa sería capaz de gestionarlo sin improvisar. Cuanto más claras estén las responsabilidades y los procedimientos, mayor será la capacidad de recuperación y menor el impacto para el negocio.

5. ¿Conocemos de verdad el riesgo de nuestros proveedores?

Hoy pocas organizaciones trabajan de forma completamente aislada. Proveedores tecnológicos, servicios en la nube, plataformas SaaS, empresas de mantenimiento o colaboradores externos acceden, de una u otra forma, a información, sistemas o procesos críticos del negocio.

Esto significa que la seguridad de una empresa también depende, en parte, de la seguridad de sus terceros. Un proveedor con accesos privilegiados o sin controles adecuados puede convertirse en el origen de un incidente que afecte directamente a la organización.

Por eso resulta cada vez más importante conocer quién tiene acceso a los sistemas, qué nivel de riesgo representa cada proveedor y qué evidencias existen de que gestiona adecuadamente la seguridad. Normativas como NIS2 han reforzado esta necesidad, pero más allá del cumplimiento, se trata de proteger la continuidad del negocio y reducir la exposición a riesgos que no siempre están dentro de la propia empresa.

6. ¿Sabemos qué herramientas de IA utiliza la empresa y con qué datos?

La inteligencia artificial ya forma parte del trabajo diario de muchas organizaciones, aunque en ocasiones su adopción haya sido espontánea. Herramientas de generación de texto, asistentes de código, plataformas de análisis o agentes inteligentes empiezan a utilizarse sin que exista una visión global de qué soluciones están en uso, quién las emplea o qué información reciben.

El primer paso no consiste en limitar su utilización, sino en comprenderla. ¿Qué herramientas se utilizan? ¿Quién las utiliza? ¿Qué datos procesan? ¿Existen criterios para decidir qué información puede compartirse con ellas?

Responder a estas preguntas permite a la organización conocer el alcance real del uso de la IA, identificar posibles riesgos y establecer un modelo de gobierno de la IA adaptado a las necesidades de la organización. A partir de ese punto será mucho más sencillo determinar qué obligaciones regulatorias, como las establecidas por el AI Act, pueden aplicar y qué medidas conviene implantar para utilizar la inteligencia artificial de forma segura y responsable.

7. ¿Hemos probado que nuestros sistemas de IA son seguros?

La inteligencia artificial ya no se limita a generar textos o resumir documentos. Cada vez más organizaciones utilizan asistentes, agentes inteligentes y modelos conectados a información corporativa, aplicaciones de negocio o procesos críticos. Cuanto mayor es su nivel de autonomía y acceso, mayor es también el impacto que puede tener un fallo, una configuración incorrecta o un uso indebido.

Por eso, no basta con conocer qué herramientas de IA se utilizan o establecer unas normas de uso. También es necesario comprobar que funcionan como se espera, que los permisos concedidos son adecuados y que los controles definidos realmente protegen la información y los procesos de la organización.

El gobierno de la IA proporciona el marco para gestionar estos sistemas de forma responsable. La validación técnica permite comprobar que ese marco funciona en la práctica. La validación técnica permite comprobar que ese marco funciona en la práctica. Ambas perspectivas son complementarias y ayudan a generar la confianza necesaria para incorporar la inteligencia artificial al negocio de forma segura y sostenible.

Test rápido antes de volver en septiembre

Después de leer este artículo, dedica un minuto a responder estas preguntas. No se trata de obtener un diez, sino de identificar dónde merece la pena empezar.

✔ Checklist de autoevaluación

• □ ¿Conocemos todos los activos y servicios que están expuestos a Internet?
• □ ¿Hemos comprobado recientemente que nuestros controles de seguridad funcionan como esperamos?
• □ ¿Podemos demostrar que la seguridad se gestiona de forma continua?
• □ ¿Sabríamos responder a un incidente aunque las personas clave no estuvieran disponibles?
• □ ¿Conocemos el riesgo que representan nuestros proveedores y terceros?
• □ ¿Sabemos qué herramientas de inteligencia artificial utiliza realmente la organización y qué datos procesan?
• □ ¿Estamos validando que nuestros sistemas de IA funcionan de forma segura y conforme a los controles establecidos?

Cómo interpretar el resultado

Si has respondido «No» a una o dos preguntas, probablemente existan aspectos concretos que conviene revisar.

Si quieres profundizar en la evaluación de la seguridad de tu organización, INCIBE ofrece recursos y herramientas de autodiagnóstico que pueden servir como punto de partida.

Si aparecen tres o más respuestas negativas, puede ser el momento de realizar una evaluación más completa que permita priorizar acciones y reducir riesgos.

Y si en alguna respuesta has pensado «No lo sé», ya has identificado el primer punto por el que merece la pena empezar.

Una hoja de ruta para empezar con buen pie en septiembre

No es necesario abordar todos los cambios al mismo tiempo. Un enfoque progresivo permite identificar prioridades, organizar recursos y avanzar de forma ordenada.

Lo importante no es hacerlo todo en un mes, sino comenzar con una visión clara de la situación actual y avanzar de forma planificada. Una organización preparada no es la que implanta más medidas, sino la que sabe cuáles necesita, por qué las necesita y cómo demostrar que funcionan.

Agosto puede ser un buen momento para hacerse mejores preguntas

La preparación de una empresa no se mide por la cantidad de documentos que tiene archivados ni por el número de herramientas que ha implantado. Se mide por su capacidad para conocer sus riesgos, gestionarlos de forma continua y demostrar que los controles realmente funcionan cuando más se necesitan.

Las siete preguntas de este artículo no pretenden ofrecer todas las respuestas. Su objetivo es ayudarte a identificar aquellas áreas que merece la pena revisar antes de que septiembre devuelva el ritmo habitual al negocio.

Porque, al final, la diferencia entre una organización que reacciona y una organización preparada no está en tener más tecnología o más normativa. Está en conocer su situación, priorizar correctamente y actuar con criterio.

Agosto puede ser un buen momento para detenerse unas horas. Septiembre será mucho más sencillo si la vuelta comienza con una hoja de ruta clara y no con incertidumbre.

¿Cuál debería ser el siguiente paso?

Si al responder las siete preguntas has detectado áreas de incertidumbre, respuestas negativas o simplemente aspectos que nunca habías analizado, ya has dado el paso más importante: identificar que existe margen de mejora.

El siguiente paso no consiste en implantar todas las medidas a la vez. Consiste en conocer la situación real de la organización, priorizar los riesgos y definir una hoja de ruta adaptada a las necesidades del negocio.

En BCNSoluciona ayudamos a las empresas a realizar esa evaluación inicial combinando ciberseguridad, cumplimiento normativo y gobierno de la IA para convertir el diagnóstico en un plan de acción realista y priorizado.

Te permitira conocer la situación real de la organización, priorizar riesgos y definir una hoja de ruta adaptada al negocio.

Preguntas frecuentes