Durante décadas, las organizaciones fueron diseñadas para administrar riesgos financieros, operativos o regulatorios. Todos compartían una característica: no reaccionaban a las decisiones de la empresa. Un crédito mal otorgado no estudia los controles para encontrar una excepción. Una multa regulatoria no espera el momento más conveniente para aparecer. Una pérdida operativa no aprende de las medidas implementadas el mes anterior.
La ciberseguridad rompe esa lógica. Hoy las organizaciones ya no enfrentan únicamente riesgos. Enfrentan adversarios. Y un adversario observa, aprende, adapta su estrategia y cambia constantemente la forma de atacar.
Ese cambio obliga a replantear la manera en que se gobierna la seguridad. Las empresas aceleran su transformación digital, incorporan inteligencia artificial, migran cargas a la nube y automatizan procesos. Cada nueva aplicación, integración, API, proveedor o iniciativa basada en IA impulsa el negocio, pero también amplía su superficie de ataque.
La tecnología sigue siendo un habilitador de crecimiento, pero hoy también determina la capacidad de una organización para resistir un ataque. Eso también cambia el rol del liderazgo. Construir tecnología y protegerla dejaron de ser responsabilidades que puedan gestionarse por separado. Cada decisión tecnológica incorpora una dimensión de seguridad que antes podía quedar relegada.
Pero el desafío va más allá de las personas. También alcanza la forma en que las organizaciones gobiernan el riesgo. Durante años, el modelo de las tres líneas de defensa ha aportado claridad sobre responsabilidades, independencia y supervisión. Ha sido —y sigue siendo— un marco valioso.
La pregunta ya no es si ese modelo funciona. La pregunta es si permite responder con la velocidad que exige un adversario que evoluciona todos los días.
Con demasiada frecuencia, la primera línea intenta demostrar que todo está bajo control. La segunda busca evidenciar lo que falta. La tercera revisa si las dos anteriores hicieron correctamente su trabajo.
Cada una cumple una función necesaria. Pero mientras las líneas se supervisan entre sí, el atacante no espera, simplemente avanza. El problema no está en el modelo, está en olvidar que todas las líneas persiguen el mismo objetivo.
Cuando cada una comienza a proteger su propio espacio, la evidencia reemplaza al entendimiento. Los controles sustituyen a la colaboración. Y la capacidad de respuesta disminuye.
El atacante no distingue entre primera, segunda o tercera línea de defensa.
Solo ve una organización. Busca dónde la coordinación es más débil, dónde una decisión sigue pendiente o dónde alguien asumió que otro se haría cargo y entra por ahí.
La inteligencia artificial acelera todavía más esta realidad. No porque vuelva invencibles a los atacantes, sino porque les permite operar a una velocidad que pocas organizaciones pueden igualar.
Mientras una empresa analiza una excepción durante semanas, un atacante puede ejecutar cientos de pruebas automatizadas en minutos. La diferencia ya no estará únicamente en quién compre mejores herramientas. Estará en quién tome mejores decisiones, coordine mejor a sus equipos y responda con mayor rapidez.
Tal vez la próxima evolución del sector financiero no dependa únicamente de incorporar más tecnología. Tal vez dependa de construir organizaciones capaces de decidir y actuar con la misma velocidad con la que evoluciona la amenaza. Porque, al final, las empresas no son vulneradas por carecer de estructuras. Son vulneradas cuando esas estructuras olvidan para qué fueron creadas.
Y ese propósito nunca fue supervisarse entre ellas. Fue proteger el negocio frente a un adversario que nunca deja de aprender.
Víctor La Rosa es Ingeniero de Sistemas, especialista en ciberseguridad, gestión de riesgos tecnológicos y prevención de fraudes, con más de veinte años de experiencia en el sector financiero. Es docente de posgrado, speaker internacional y autor del libro Relatos de ciberseguridad para líderes. Cuenta con estudios de posgrado en CENTRUM, EADA Business School y Harvard University, y actualmente cursa una Maestría en Escritura Creativa. Su trabajo se centra en acercar la ciberseguridad al lenguaje de los negocios y el liderazgo.
