En los últimos días estuve leyendo la matriz de referencia normativa sobre ciberseguridad, fraude, PSP y servicios financieros digitales que recopila las principales Comunicaciones «A» y Textos Ordenados del BCRA. Más allá de que resulta muy útil tener toda esa información organizada en un solo lugar, hubo algo que me llamó particularmente la atención.

Cuando uno analiza las normas de manera aislada puede quedarse con la sensación de que cada comunicación resuelve un tema puntual. Pero al verlas todas juntas aparece un patrón bastante claro: hace varios años que el regulador viene empujando al sector financiero hacia un modelo donde la resiliencia operativa tiene cada vez más peso.

No es casualidad.

El nivel de amenazas cambió. También cambió la forma en que operan los atacantes. Hoy los incidentes ya no se limitan a un malware que infecta una computadora. Hablamos de campañas de ransomware, robo de credenciales, movimientos laterales dentro de la red, ataques sobre proveedores, fraude en medios de pago y múltiples técnicas que pueden comprometer la operación de una organización en cuestión de minutos.

Por eso, limitar la estrategia de seguridad únicamente a la prevención ya no alcanza.

De hecho, en muchas reuniones con clientes aparece siempre la misma pregunta: «¿Cómo evitamos que nos pase?». La realidad es que nadie puede garantizar eso. Lo que sí puede hacerse es reducir al máximo el tiempo entre que ocurre un incidente y el momento en que el equipo de seguridad logra detectarlo, entender su alcance y comenzar a responder.

Y ahí es donde, a mi criterio, está el verdadero cambio de paradigma.

La normativa del BCRA habla de gestión de riesgos tecnológicos, continuidad operativa, respuesta ante incidentes, gestión de terceros, prevención del fraude y monitoreo permanente. Son conceptos diferentes, pero todos apuntan a un mismo objetivo: que la organización pueda seguir operando aun cuando ocurra un incidente de seguridad.

Suena simple, pero en la práctica no lo es.

La mayoría de las entidades financieras ya invirtieron en tecnología. Tienen EDR, firewalls de nueva generación, soluciones de correo, herramientas de identidad, SIEM y distintas plataformas de monitoreo. El problema rara vez es la falta de herramientas.

Lo complicado aparece cuando hay que investigar un incidente real.

Cada solución genera sus propias alertas, utiliza su propio formato y ofrece una visión parcial de lo que está ocurriendo. Entonces el analista empieza a recorrer distintas consolas tratando de reconstruir una línea de tiempo: qué equipo fue comprometido primero, qué usuario estuvo involucrado, si hubo movimiento lateral, qué información salió de la organización o si el atacante todavía mantiene acceso.

Mientras esa investigación avanza, el incidente también lo hace.

Y ese tiempo perdido suele ser mucho más costoso que la tecnología en sí.

Por eso, cuando hablamos de resiliencia, no deberíamos pensar únicamente en respaldos o planes de contingencia. También deberíamos preguntarnos cuánto tarda realmente el equipo en entender qué está pasando.

Ese tiempo puede marcar la diferencia entre contener un incidente en una estación de trabajo o terminar con servidores cifrados, servicios interrumpidos y clientes afectados.

En este escenario empiezan a cobrar importancia las plataformas Open XDR.

Más que reemplazar las herramientas existentes, su función es integrarlas. La idea es que la información proveniente del EDR, el firewall, Active Directory, el correo electrónico, la nube y otras soluciones deje de estar aislada y pueda analizarse de forma conjunta.

Eso permite construir una visión mucho más completa del incidente y reducir considerablemente los tiempos de investigación.

En el caso de Stellar Cyber Open XDR, uno de sus principales diferenciales es justamente esa capacidad de correlacionar información de múltiples tecnologías, priorizar automáticamente los incidentes con mayor riesgo y automatizar parte de la respuesta.

No significa que una plataforma vaya a resolver por sí sola todos los problemas de seguridad. La tecnología nunca reemplaza a los procesos ni al conocimiento del equipo. Pero sí puede eliminar muchas tareas manuales que hoy consumen tiempo valioso durante una investigación.

Y cuando una organización necesita recuperar su operación lo antes posible, cada minuto cuenta.

Creo que ese es uno de los mensajes más interesantes que deja la matriz normativa del BCRA. No se trata únicamente de incorporar nuevos controles o cumplir con una obligación regulatoria. El objetivo es desarrollar capacidades para detectar antes, responder mejor y recuperarse más rápido.

Al final del día, eso es lo que termina marcando la diferencia entre un incidente que queda contenido y otro que se transforma en una crisis operativa.

La regulación probablemente siga evolucionando en los próximos años, y eso es esperable porque las amenazas también evolucionan. Lo importante es no perder de vista que el cumplimiento normativo y la seguridad no deberían verse como caminos separados. Cuando una organización implementa procesos sólidos, mejora su visibilidad sobre lo que ocurre en su infraestructura y reduce los tiempos de respuesta, no solo está mejor preparada para una auditoría. También está mucho mejor preparada para enfrentar el próximo incidente, que tarde o temprano va a llegar.