De cisnes negros a tiburones blancos: cuando el principal riesgo puedes ser tú
Desde que leyera fascinado el concepto de ‘cisne negro’ acuñado, en 2007, por Nassim Taleb siempre me ha apasionado la capacidad de anticipar amenazas con ese foco: van a ocurrir, aunque no se puedan vislumbrar. Por eso exigen prepararse para lo peor en el peor momento –algo que se lleva a gala desde hace siglos en el campo de batalla, por cierto–. También en ciberseguridad.
Algunos han llamado a este enfoque ‘confianza cero’. Y, dado que los cisnes negros son imposibles de anticipar –dejarían de serlo como tal– se me ha ocurrido –con permiso de Taleb– crear otro concepto, aprovechando los 50 años que se celebraron, en junio, del estreno de la película ‘Tiburón’, de Steven Spielberg y basándose en su argumento: las autoridades niegan que existan un tiburón blanco, cerca de la playa, a pesar de las evidencias y las víctimas mortales, simplemente para no perder la temporada turística.
José Manuel Vera
Redactor
Revista SIC
Ya está ahí...
Sí, se trata de la idea de ‘tiburón blanco’ y aunque puede ser aplicable a cualquier entorno económico, financiero o de emprendimiento lo aterrizaré, con el riesgo que supone cada ‘salto base’ a la ciberprotección: se podría considerar como tal “un riesgo latente, conocido y potencialmente devastador que no es invisible ni impredecible, pero cuya naturaleza, velocidad y agresividad se subestiman sistemáticamente”. O sea, a diferencia del Cisne Negro –impredecible y con consecuencias extremas–, el tiburón blanco es visible en el horizonte, pero ignorado por comodidad, intereses o rutina. Y eso teniendo claro que ‘morderá’, pero sin la certeza de cuándo. Con todo, lo más grave es que a diferencia del cisne negro –que por su naturaleza de imprevisibilidad no permite actuar de forma proactiva–, el tiburón blanco sí... pero se elige ‘no actuar’.
Por supuesto esto podría trasladarse y adaptarse a muchos perfiles de interés en el burbujeante magma normativo en el que nos movemos en ciberprotección en la UE y en España. Por ejemplo, para un regulador/supervisor/controlador en ciberseguridad, un tiburón blanco podría representar un riesgo estructural visible en sectores críticos o interdependencias sistémicas, cuya materialización no sorprende por su ocurrencia, sino por la falta de acción previa para mitigarlo, siendo mitigable. A la legislación en ciberseguridad no le gustan los tiburones blancos. Y, en consecuencia, a los consejos de administración tampoco les deberían gustar.
Elefante gris
Y no puedo dejar de lamentar ‘lo que vendrá’, por ejemplo, con ciberataques, patrocinados por estados, contra infraestructuras críticas, ransomware polimórfico contra servicios sanitarios en crisis humanitarias o campañas de deepfakes y phishing con IA para desestabilizar gobiernos y estados. Ya está ocurriendo. Amenazas que podrían dar lugar a otro concepto afín: el de ‘elefante gris’: un riesgo enorme, obvio y reconocido por todos, pero al que se elige no hacer frente por razones políticas, presupuestarias o de comodidad organizacional. O sea el riesgo que ‘todos ven, pero nadie menciona’. Pero de ese y, quizá, de otros ‘ciberanimales fantásticos’... hablaremos otro ‘ciberdía’.