VALÈNCIA. La ciberseguridad ha dejado de ser una cuestión complementaria para convertirse en un elemento estructural dentro de la estrategia empresarial. La aceleración tecnológica, el auge de la inteligencia artificial y un contexto geopolítico cada vez más inestable están obligando a las compañías a replantear cómo protegen sus activos, sus procesos y su capacidad de operar. Ya no se trata únicamente de evitar ataques, sino de garantizar la continuidad del negocio en escenarios donde la amenaza es constante, evoluciona a gran velocidad y se apoya en herramientas cada vez más sofisticadas. En este nuevo contexto, la frontera entre lo digital y lo industrial se diluye, y la ciberseguridad pasa a ser un elemento clave no solo para proteger información, sino para asegurar el funcionamiento de infraestructuras críticas, cadenas de suministro y servicios esenciales, con un impacto directo en la competitividad y en la propia viabilidad de los proyectos empresariales.

Así se plasmó en el segundo desayuno de Foro Plaza, "Industria y ciberseguridad, una alianza para tiempos de incertidumbre", una iniciativa para debatir acerca de realidad actual del territorio y la economía de la Comunitat Valenciana y Murcia. En el encuentro, celebrado en el Hotel SH Valencia Palace, participaron Óscar Navarro, director de Innovación de S2 Grupo; José Martínez, Digital Industries Regional Sales de Siemens; Óscar Cervera, director de Sistemas de Grupotec; Raúl Hussein, director de Sistemas de Análisis de Datos Avanzados de ITI; Mª Ángeles Arqueros, jefa de Seguridad de la Información de Consum; Juan Carlos García, Chief Operations Officer & SOC global director de Sofistic; y Luis López, COO de Noor Cybersecurity. Un foro en el que quedó patente que la ciberseguridad ya no puede abordarse como un área aislada, sino como una capa transversal que condiciona la innovación, la inversión, la relación con proveedores y, en última instancia, la capacidad de las empresas para competir en un entorno cada vez más exigente.

IA, un acelerador de oportunidades y de amenazas

El impacto de la inteligencia artificial estuvo presente todo el debate, tanto por su potencial transformador como por su capacidad para sofisticar los riesgos. "Estamos en un contexto de muchos cambios. Antes, hablábamos de la inteligencia artificial como una tecnología, pero ahora se ha convertido en una herramienta que permite desarrollar muchas otras. Esto implica riesgos más complejos, ya que la IA generativa es capaz de crear comportamientos poco sospechosos que pueden resultar gravosos para las compañías. Nos enfrentamos a sistemas cada vez más difíciles de detectar, lo que nos obliga a adaptar los algoritmos en tiempos récord. No solo hay que ser rápidos en la recuperación, sino también en cambiar la forma en la que nos protegemos. Es necesario ajustar continuamente nuestras inteligencias a unos cambios que se producen prácticamente mes a mes. La IA generativa, además, permite soluciones más creativas y facilita encontrar vulnerabilidades incluso en sistemas o dispositivos legacy", señalaba Raúl Hussein, director de Sistemas de Análisis de Datos Avanzados de ITI.

La incorporación de nuevas tecnologías en entornos industriales sigue generando tensiones internas, especialmente en organizaciones donde la estabilidad operativa es prioritaria y cualquier cambio puede tener impacto directo en la producción. En este sentido, cada vez más, áreas como calidad o producción tienden a ver la innovación como un riesgo más que como una oportunidad. En este sentido, Hussein explicó que muchas compañías están optando por crear entornos controlados de experimentación, "gemelos" de sus procesos productivos, que permiten probar innovaciones en un sandbox sin afectar a la operativa real. Sin embargo, esta estrategia también refleja En esta línea, Óscar Navarro, director de Innovación de S2 Grupo, señalaba que el problema no es tecnológico, sino de enfoque. "Estamos tomando conciencia de la magnitud de los riesgos tarde", y añadió que "si las decisiones se basan en la normativa, seguiremos yendo tarde". Para Navarro, la clave está en asumir que "la ciberseguridad no es un gasto", sino un elemento estratégico que debe integrarse en la toma de decisiones, ya que "implica la supervivencia de la compañía" y exige identificar riesgos de negocio y actuar con planificación a medio y largo plazo.

Regulación: impulso necesario, pero insuficiente

Aunque la normativa europea se consolida como una palanca para acelerar la adopción de medidas de ciberseguridad, su impacto real depende de cómo se traslade a la práctica empresarial. "La regulación nos sirve como punto de entrada para dar visibilidad de que la ciberseguridad es algo transversal que afecta a las operaciones", señalaba Mª Ángeles Arqueros, jefa de Seguridad de la Información de Consum, quien también aseguraba que facilita el diálogo con la dirección. Sin embargo, también advirtió de sus límites. "No podemos pedirle a la regulación que concrete cada caso", ya que cada organización debe adaptarla a su realidad. En este proceso, uno de los principales desafíos es la falta de visibilidad completa sobre los sistemas, especialmente en entornos industriales. "Muchas veces sabes lo que estás viendo, pero no sabes qué te falta por ver. Soy consciente de lo que tengo en el radar, pero hay que seguir ampliando la visibilidad", afirmó, subrayando la complejidad de la situación y de la necesidad trabajar de forma más coordinada entre equipos técnicos y operativos.

"Nosotros hemos montado un comité de inteligencia artificial en el que están implicados el gobierno del dato y la ciberseguridad, y cualquier herramienta que tenga la coletilla de IA tiene que pasar por ahí. Es un control que consideramos imprescindible, porque con todo lo nuevo que está surgiendo es necesario establecer un marco claro y, sobre todo, concienciar sobre el uso adecuado de este tipo de tecnologías dentro de la organización", explicaba Arqueros.

La brecha entre grandes empresas y pymes

La brecha entre grandes empresas y pymes sigue siendo uno de los principales obstáculos para avanzar de forma homogénea en ciberseguridad. Juan Carlos García, Chief Operations Officer & SOC global director de Sofistic, explicó que "hay dos ritmos muy claros", ya que mientras las grandes compañías cuentan con equipos especializados e inversión, "a una pyme le llega una normativa como DORA (Resiliencia Operativa Digital) y no sabe de qué le están hablando", lo que ralentiza su adaptación y genera vulnerabilidades en toda la cadena de valor. A esta situación se suma el aumento de amenazas, impulsado por la inteligencia artificial, que está permitiendo automatizar ataques a gran escala. "Estamos viendo un 35% más de alertas", señalaba, advirtiendo de que los atacantes pueden desplegar agentes que analizan vulnerabilidades de forma continua. En este contexto, insistió en la importancia de priorizar activos críticos y definir estrategias claras de respuesta.

El contexto geopolítico añade una presión adicional a las organizaciones, con un incremento de la actividad cibernética vinculada a tensiones internacionales y a la creciente necesidad de soberanía digital. "Desde el punto de vista geopolítico, sí estamos viendo el impacto, porque se ha dado un viraje hacia las tecnologías duales. La ciberseguridad forma parte de todo esto. Existe una propia guerra de ciberatacar a los instrumentos militares. Está impactando bastante. Se requieren nuevos enfoques y retos", apuntaba Raúl Hussein, del ITI. Las empresas buscan mantener el control de sus datos y reducir dependencias, en un entorno donde los equilibrios tradicionales están cambiando. En este escenario, Luis López, COO de Noor Cybersecurity, alertó de que la adopción de la inteligencia artificial está siendo, en muchos casos, desordenada: "Se está implantando sin control", afirmó, lo que ha llevado a la creación de comités internos para gobernar su uso. A su juicio, el problema vuelve a ser cultural. "La seguridad no está integrada en el flujo de la compañía", lo que evidencia una falta de planificación estructural que limita la capacidad de anticipación.

"Existe una falta de profesionalización en parte del tejido empresarial valenciano, sobre todo en términos de planificación. Muchas veces no se entiende que la seguridad no es algo aislado, como si alguien estuviera cogiendo el dinero del cajón, sino que forma parte del flujo completo de la compañía. Además, hay numerosas ayudas y mecanismos de apoyo disponibles, pero la realidad es que todavía hay poca gente interesada en informarse y aprovecharlos", apuntaba. "Hay muchas pymes que todavía no entienden qué se les está pidiendo en materia de ciberseguridad, y por eso es necesario acompañarlas en este proceso. La administración tiene que jugar un papel clave, impulsando acciones de formación para el personal, desarrollando planes específicos y promoviendo infraestructuras como centros de ciberseguridad o laboratorios donde poder realizar pruebas. Si la Comunitat Valenciana quiere que su tejido empresarial no sea víctima de estas amenazas, ese apoyo es imprescindible, y en esa línea ya se están dando pasos", apuntaba Navarro, de S2.

El factor humano: la vulnerabilidad persistente

Más allá de la tecnología, el consenso fue claro al señalar que el principal punto débil sigue siendo el factor humano. "Cuando hablamos de ciberseguridad tendemos a pensar en ordenadores, sin ser conscientes de los riesgos reales en entornos industriales, donde la interconexión de sistemas es cada vez mayor", apuntó José Martínez, Digital Industries Regional Sales de Siemens. Esta falta de conciencia se traduce en errores básicos que pueden tener consecuencias graves. En la misma línea, Óscar Cervera, director de Sistemas de Grupotec, denunció que "nos encontramos sistemas sin usuario ni contraseña o sin parchear", lo que evidencia que la seguridad sigue siendo un hándicap en la cadena de proveedores.

"La normativa está ayudando a concienciar a la alta dirección, pero en la práctica nos encontramos con muchas dificultades. Cuando introducimos cláusulas relacionadas con ciberseguridad, vemos que muchos proveedores no tienen ni idea de lo que se les está pidiendo. Existe un gap muy grande entre un pequeño grupo de empresas ya concienciadas y la gran mayoría de pymes valencianas, que todavía están muy lejos de estos requisitos. De hecho, en algunos casos son los propios clientes quienes nos exigen determinados estándares que luego ellos mismos no cumplen, lo que genera una incoherencia en toda la cadena", insistía Cervera. 

El debate concluyó reconociendo la necesidad de asumir que los ataques van a ocurrir y prepararse para resistirlos. La resiliencia, entendida como la capacidad de mantener la actividad y recuperarse rápidamente, se consolida como el nuevo objetivo estratégico. Como resumió Óscar Navarro, de S2, "se trata de identificar los riesgos de negocio y hacer un plan", evitando el bloqueo y avanzando de forma progresiva.