La ciberseguridad no comienza con la tecnología, sino con la confianza
La ciberseguridad se describe a menudo como un desafío técnico. Los firewalls, los controles de acceso, los sistemas de monitorización y las herramientas de respuesta a incidentes tienden a dominar el debate. Si bien estas medidas son esenciales, no es ahí donde realmente comienza la ciberseguridad. En la práctica, comienza mucho antes, en el momento en que una organización decide con quién hace negocios. Los negocios modernos están profundamente interconectados. Las empresas dependen de proveedores de servicios externos, vendedores, intermediarios financieros y socios a través de las fronteras. Cada conexión crea valor operativo, pero también introduce riesgo. Cuando la identidad de un socio comercial no está clara, está desactualizada o es difícil de verificar, se vuelve imposible evaluar ese riesgo de manera fiable. La ciberseguridad se basa en la confianza. Y la confianza comienza con saber con quién está tratando realmente.Por qué la seguridad técnica por sí sola ya no es suficiente
Los controles de seguridad técnica están diseñados para proteger los sistemas, pero asumen que el acceso se otorga a las entidades correctas. Si se otorga acceso a la organización equivocada, o a una organización cuyos antecedentes se comprenden mal, incluso los controles técnicos sólidos pueden no evitar daños. Muchos incidentes graves de ciberseguridad no se originan en violaciones directas del sistema, sino en el uso indebido de relaciones de confianza. Cuando un actor de amenazas opera a través de un socio, proveedor o contratista aparentemente legítimo, las defensas técnicas se vuelven mucho menos efectivas. Esto cambia la pregunta central de “¿Cómo protegemos nuestros sistemas?” a “¿En quién deberíamos confiar para el acceso en primer lugar?”El riesgo de terceros como un problema central de ciberseguridad
Una parte cada vez mayor del riesgo cibernético y operativo proviene de terceros. Estos pueden incluir proveedores, proveedores de servicios de TI, procesadores de pagos, socios de logística o funciones de soporte subcontratadas. Cada tercero se convierte en parte del perímetro digital extendido de la organización. El riesgo de terceros no se limita a las vulnerabilidades del software o la infraestructura insegura. También incluye:- estatus legal poco claro
- estructuras de propiedad opacas
- datos de registro inconsistentes o desactualizados
- dificultad para asignar la rendición de cuentas
Cuando una organización no puede identificar claramente a sus contrapartes, tanto los riesgos de seguridad como de cumplimiento aumentan significativamente.
Dirección regulatoria: basada en el riesgo y centrada en la identidad
En todas las jurisdicciones, los marcos regulatorios se están moviendo hacia un enfoque de ciberseguridad más basado en el riesgo y centrado en la identidad. En lugar de prescribir controles técnicos específicos, los reguladores esperan cada vez más que las organizaciones comprendan y gestionen los riesgos en todo su entorno operativo, incluidos los proveedores y los proveedores de servicios.
En la Unión Europea, este cambio se refleja claramente en la Directiva NIS2 y los requisitos de ciberseguridad Para el marco legal oficial, consulte la Directiva NIS2
Si bien los marcos difieren a nivel mundial, la expectativa subyacente es consistente: las organizaciones deben poder demostrar que saben en quién confían y cómo esas relaciones afectan su postura de seguridad.
La identidad empresarial como base de la ciberseguridad
Cuando la ciberseguridad se ve de manera más amplia, la identidad empresarial se convierte en un concepto central. El Identificador de Entidad Legal (LEI) proporciona un enfoque estandarizado a nivel mundial para la identificación de empresasLa identidad empresarial va mucho más allá del nombre de una empresa o el número de registro. Incluye:
- existencia y estado legal
- información oficial del registro
- estructuras de propiedad y control
- relaciones con otras entidades legales
- exactitud y puntualidad de los datos
La perspectiva de la pequeña empresa: convertirse en un socio de confianza
Las discusiones sobre ciberseguridad y regulación a menudo se centran en las grandes organizaciones. Sin embargo, la misma dinámica afecta fuertemente a las pequeñas y medianas empresas que desean trabajar con empresas, instituciones financieras o clientes internacionales. Para las empresas más pequeñas, la principal barrera a menudo no es la calidad del producto o la capacidad técnica, sino la confianza. Las grandes organizaciones deben evaluar el riesgo para cada nuevo socio, pero no pueden hacerlo manualmente y en profundidad para cada proveedor potencial. Como resultado, confían en estándares, señales y datos estructurados para decidir qué relaciones vale la pena explorar más a fondo. Muchas oportunidades de cooperación se estancan no porque la oferta carezca de valor, sino porque la contraparte no se puede entender rápida y claramente.El LEI como acelerador de la confianza y la incorporación
Aquí es donde el Identificador de Entidad Legal (LEI) se vuelve relevante. El LEI es un estándar global diseñado para identificar de forma única a las entidades legales y vincularlas a datos de referencia verificados de fuentes autorizadas. Para las empresas más pequeñas, un LEI no es solo un requisito regulatorio en ciertos contextos. Es una herramienta práctica que les permite presentarse de una manera que se alinea con la forma en que las grandes organizaciones gestionan el riesgo. Un LEI señala que:- la entidad es identificable de forma única
- sus datos de referencia centrales están vinculados a registros oficiales
- la información de propiedad se declara en un formulario estandarizado
- los datos se pueden utilizar en procesos automatizados y transfronterizos