Roue Consultores y el Hub de Ciencias y Datos del Instituto Tecnológico y de Estudios Superiores de Monterrey (ITESM) reunieron a expertos en ciberseguridad operativa en la primera sesión del Programa Ejecutivo en Ciberseguridad Industrial y Resiliencia Organizacional, un evento que busca brindar una visión estratégica sobre la protección de infraestructuras críticas en sectores como energía, manufactura, minería y salud. El encuentro abordó la importancia de integrar la ciberseguridad como parte esencial de los objetivos corporativos, más allá de una inversión adicional.

Más exposición, mayor seguridad

La creciente digitalización industrial ha traído consigo una ampliación en la superficie de ataque de las organizaciones. “Nos dimos cuenta de que en cualquier momento podemos ser atacados. El ransomware y otras amenazas son una realidad diaria, no un escenario hipotético”, afirmó Israel Reyes Gómez, Invited Guest Lecturer en el Massachusetts Institute of Technology (MIT), estratega global en ciberseguridad y gestión de riesgos, y asesor de comités ejecutivos en Estados Unidos, México y Latinoamérica.

Sectores tradicionalmente ajenos a los ciberataques, como la salud, que recientemente incorporaron al portafolio de Roue, se han vuelto blancos vulnerables, debido al creciente uso de dispositivos conectados y sistemas interdependientes.

Por su parte, Bere Rodríguez, experta en ciberseguridad en Roue, subrayó la importancia de traducir la experiencia empresarial a los entornos industriales. Compartió ejemplos de incidentes críticos y resaltó cómo una estrategia adecuada puede evitar tragedias mayores. “He visto de cerca lo que puede suceder cuando una infraestructura crítica no está protegida. La prevención es una inversión, no un gasto”, señaló.

Estructura antes que tecnología

Enrique Poceros, Chief Technology Officer en Roue Consultores, abordó el desarrollo de un Cybersecurity Management System adaptado a los sectores industriales. El sistema, que Roue creó con base en marcos como ISA/IEC 62443, NIST, e ISO/IEC 27000, busca ofrecer una metodología estructurada, digerible y eficiente. “Muchas veces las compañías quieren empezar con controles como un firewall, un EDR, un IPS, sin tener claro en qué se debe invertir y por qué. Nosotros proponemos primero entender el riesgo y después actuar”, explicó.

El CTO también subrayó que la toma de decisiones debe sustentarse en modelos cualitativos y cuantitativos de riesgo, diseñados para responder a preguntas clave: ¿Cuál es el impacto potencial de una brecha? ¿Cuánta inversión realmente reduce el riesgo? ¿Qué controles son los más críticos para cada entorno?

Bere Rodríguez presentó un enfoque pragmático y aterrizado al terreno. Enfatizó en la necesidad de seleccionar cuidadosamente las tecnologías, adecuarlas al entorno operativo y establecer un plan de mantenimiento. “Implementar un IDS sin saber cómo interpretar sus alertas genera fatiga. Es fundamental simplificar y establecer prioridades”, indicó.

Con ejemplos reales de sectores como energía y manufactura, Bere Rodríguez destacó la utilidad de los security levels (del 0 al 4) como guía para definir niveles de protección y seleccionar tecnologías. “Un ciberataque es como una caída en bicicleta: no siempre se puede evitar, pero con entrenamiento previo y el equipo adecuado se puede minimizar el daño en caso de un accidente”.

Uno de los mensajes centrales del evento fue la necesidad de replantear la ciberseguridad, no como una responsabilidad técnica aislada, sino como un objetivo estratégico de negocio. “Ya no se trata solo de firewalls o antivirus. Se trata de proteger la continuidad operativa, la reputación, la integridad de las personas y la rentabilidad misma de la empresa”, remarcó Rafael Moreno.

Rediseñar la estrategia

Uno de los errores más frecuentes que cometen las empresas al buscar innovar, es asumir que basta con implementar tecnología o lanzar pilotos aislados para transformarse. Israel Reyes señala que el verdadero reto no es innovar, sino escalar lo que ya funcionó, y ese reto es organizacional.

El experto ha trabajado de cerca con startups tecnológicas y equipos directivos que enfrentan un entorno cambiante, donde la presión por adoptar nuevas tecnologías convive con la incógnita de cómo llevar esas innovaciones a escala dentro de organizaciones complejas y tradicionales. Su respuesta parte de una premisa contundente: innovar no es un problema técnico, es un problema de diseño organizacional.

“La mayoría de las compañías tienen la capacidad de innovar en pequeño. Lo que pocas saben hacer es institucionalizar lo que funciona, conectarlo con su modelo operativo y escalarlo sin perder efectividad ni foco”, explica.

En muchas organizaciones, los pilotos de innovación se convierten en ejercicios de laboratorio sin continuidad. El experto afirma que la clave está en escalar el conocimiento derivado de esas pruebas, integrarlo en la cultura y los sistemas, y traducirlo en decisiones estratégicas.

Esto implica cambiar el enfoque: en lugar de preguntar “¿qué tecnología necesito?”, Israel Reyes invita a las organizaciones a cuestionarse cómo fluyen las decisiones y el conocimiento en su estructura actual, y si esa estructura realmente permite crecer lo que ya se ha probado exitoso.

Más allá del software o la digitalización, lo que define la capacidad de una empresa para innovar sostenidamente es su diseño organizacional. Israel Reyes propone un enfoque integral basado en cuatro componentes: procesos, estructuras, sistemas y cultura.

“Puedes tener el mejor equipo de datos o una tecnología de punta, pero si tus procesos son rígidos, tus incentivos están desalineados o no hay espacio para experimentar, la innovación se detiene”, afirma.

Construir capacidades, no dependencia

Otro punto clave en la visión de Israel Reyes es la necesidad de construir capacidades internas. Muchas organizaciones recurren a consultores externos para innovar, pero no siempre desarrollan las habilidades necesarias para sostener esos cambios una vez que el apoyo termina.

“La transformación sostenible no se subcontrata. Se habilita desde dentro con visión estratégica, liderazgo y disciplina operativa”.

El evento cerró con una invitación de Roue Consultores a directivos, responsables de operaciones, líderes de la Industria 4.0, CEO’s y CFO’s a integrar la ciberseguridad en la toma de decisiones ejecutiva y a adoptar un modelo preventivo y resiliente ante las amenazas emergentes del entorno digital.