Los “auditores” que nunca contrataste

Existe un sesgo cognitivo al que los humanos somos propensos y está en el centro de algunos de los desafíos que enfrentan los profesionales de la ciberseguridad todos los días. Se llama sesgo de normalidad, ¿qué? Definición de la Dra. Lauren Braithwaite como «Nuestra tendencia a subestimar la posibilidad de un desastre y a creer que la vida continuará con normalidad incluso ante amenazas o crisis importantes». Esta es la razón por la que la gente duda después de que suena una alarma de incendio o retrasa la respuesta en otras situaciones en desarrollo porque las cosas todavía parecen manejables.

Debido a que este sesgo puede hacer que confundamos la familiaridad con la seguridad y las suposiciones con la evidencia, obstaculiza cada vez más nuestra capacidad para abordar las realidades de la ciberseguridad. Esto lleva a las personas a subestimar la probabilidad de un ciberataque o a interpretar la falta de problemas o consecuencias evidentes como evidencia de que los riesgos están bajo control. En la práctica, muchas empresas ven la falta de advertencias claras en las plataformas de protección elegidas como prueba de que todo está bien. Otros no reaccionan lo suficientemente rápido a las señales de advertencia porque suponen que los negocios simplemente continuarán como de costumbre.

Mientras tanto, a pesar de los constantes titulares sobre filtraciones en organizaciones como M&S, JLR y Co-op (y la mayoría de las filtraciones nunca aparecen en las portadas) y los consejos de la industria de la ciberseguridad y las organizaciones gubernamentales sobre cómo evitar convertirse en la próxima víctima, el número de incidentes graves continúa aumentando rápidamente.

El Revisión anual del NCSC 2025 informó 204 ataques cibernéticos “de importancia nacional” en los 12 meses que terminaron en agosto de 2025, un aumento del 130% con respecto a los 89 reportados el año anterior. De un total de 429 incidentes, 18 fueron clasificados como “muy significativos”, lo que representa un aumento del 50% en incidentes graves. Las tasas de infracción siguen siendo obstinadamente altas, lo que puede deberse a una progresiva normalización del riesgo de infracción y puede verse como un error de normalidad. en escala: Cuanto más frecuentemente se denuncien violaciones, menor será la urgencia.

¿Lecciones aprendidas?

Hay una frase que tanto los gobiernos como las empresas utilizan cuando ocurre un desastre de cualquier tipo, incluida una violación de la seguridad cibernética: “Se han aprendido lecciones”.

¿Pero lo han hecho? El aumento del 130% en incidentes significativos entre 2024 y 2025 cuestiona seriamente esta afirmación y sugiere que no se están aprendiendo lecciones a nivel macro. ¡Parece un gran no!

escribí uno el año pasado Publicación de blog Esto podría explicar en parte el estado psicológico tras una infracción. Argumenté que muchas empresas se ven perjudicadas y no perjudicadas al mismo tiempo, por así decirlo, y comparé esta situación con el gato de Schrödinger. hasta que tu abre la caja Al consultar los registros o buscar activamente un compromiso, la tranquilizadora afirmación «No fuimos violados» simplemente refleja el hecho de que nadie lo ha verificado realmente. De hecho, esta reticencia a mirar también podría deberse a que la tendencia a la normalidad tiene un efecto silencioso.

“Se han aprendido lecciones” es lo que sucede cuando abres la caja, descubres que el gato (lamentablemente) ha muerto y luego anuncias: “Sabemos lo que pasó Tenemos esto bajo control, no te preocupes”. Esta es una narrativa, no evidencia de un cambio significativo de enfoque.

Por el contrario, el verdadero aprendizaje es un proceso proactivo que cambia el comportamiento organizacional. Esto debería reflejarse en cambios en los presupuestos, políticas, reglas, planificación de recuperación, auditoría de proveedores, registro, monitoreo, capacitación y tolerancia a fallas, por nombrar algunas cosas. Y todo ello antes de que se produzca la inevitable ruptura. Después de todo, acertar en un objetivo en movimiento es mucho más difícil.

Entonces, si podemos aceptar que el sesgo de normalidad es una condición cognitiva común y humana, podemos avanzar para evitar la complacencia ante una violación y minimizar su impacto. “Errar es humano”, pero ahora que sabemos qué es el fracaso, debemos poner ese conocimiento en acción y hacer las cosas de manera diferente.

Fin del juego: ¿Qué pasa si todavía no reconocemos este sesgo?

Los “auditores” criminales se basan en errores humanos. Por este motivo, el phishing sigue siendo uno de los tipos más comunes de violaciones de seguridad.

Hay dos formas principales en que se desarrolla el final de la ciberseguridad.

O nos auditamos periódicamente: realizamos pruebas de penetración, ejercicios de equipos rojo/azul/púrpura y otros ejercicios de simulación de ataques, reevaluamos periódicamente el panorama de amenazas e invertimos en nuestras precauciones de seguridad como parte de nuestra estrategia de resiliencia cibernética.

O dejamos que los ciberdelincuentes hagan las “pruebas” por nosotros. Dependen (literalmente) de una falsa sensación de seguridad, y esa es la grieta en la armadura que explotan.

Que los delincuentes lo «auditen» puede ser brutal, costoso, devastador y, en muchos casos, fatal para las empresas. Por eso esta metáfora es importante: los ciberdelincuentes están descubriendo la brecha entre lo que es una organización cree sobre su seguridad y lo que realidad Es.

Para poner las cosas en perspectiva, Inteligencia de amenazas de ESET procesa 750.000 muestras sospechosas, analiza 2.500 millones de URL y bloquea 500.000 de ellas cada día. Los actores de amenazas son implacables y, a medida que sus ataques se vuelven más sofisticados, debemos abandonar cualquier noción de que somos impermeables. Debemos aceptar que existe una tendencia hacia la normalidad y actuar en consecuencia.

El resultado final

Un aspecto del sesgo de normalidad que más me fascina es que, a pesar de la creciente complejidad, velocidad, volumen y variedad de vectores de ataque con los que todos estamos familiarizados, nuestro enfoque de las estrategias de ciberresiliencia a menudo tiene sus raíces en el pasado, incluso si ese pasado es relativamente reciente. Pero el tiempo pasa rápido en ciberseguridad y en los 4 a 5 minutos que le tomará leer este artículo, ESET procesó más de 2000 muestras sospechosas y escaneó aproximadamente 2000 muestras sospechosas. 7 millones de URL bloquean alrededor de 1500 de ellas.

Al preguntarnos por qué deberíamos revisar la prestación de servicios de ciberseguridad, ¿tomamos en cuenta todos los parámetros que han cambiado en los últimos años (tanto globales como locales) y cómo esto podría afectar nuestra postura de seguridad actual?

Algunos de estos podrían venir a la mente inmediatamente:

• Aumento del fraude impulsado por IA y otras amenazas.
• La guerra en Ucrania.
• Irán.
• Costos crecientes del cibercrimen en todo el mundo.
• Falsificaciones profundas.
• Aumento de los ataques de ingeniería social.
• Persistencia del phishing como principal vector de ataque.
• Mayor complejidad de las soluciones y servicios de ciberseguridad.
• La escasez de habilidades cibernéticas sigue siendo preocupantemente grande.

Sin duda hay muchos otros. Y no es casualidad que el nivel de protección que ofrecían los proveedores hace apenas unos años se esté eliminando gradualmente y que los servicios y soluciones MDR/XDR/MXDR se estén convirtiendo en la norma.

Los “auditores” criminales ciertamente no se durmieron en los laureles durante este tiempo. Sin embargo, el uso de nuevas herramientas como la IA no significa necesariamente mejor A través de la programación, pueden expandir masivamente sus ataques y buscar vulnerabilidades a una velocidad sin precedentes.

• Si no invierte en auditorías, pruebas, Conciencia cibernéticaEl uso de medidas de seguridad y tecnologías de prevención no le ahorra dinero: simplemente subcontrata la seguridad a los delincuentes.
• Los altos directivos abordan la ciberseguridad inmediatamente después de una vulneración costosa, una vez que se ha alterado la normalidad. Haz que se comprometan antes.
• Los delincuentes trabajan las 24 horas del día, las 24 horas del día, con un agente AI a su lado. ¿Son sus soluciones lo suficientemente resilientes para manejar esto? Controlar.
• No importa el tamaño de su empresa, debe evaluar constantemente su perfil cibernético y su resiliencia.
• No confunda el silencio (de incidentes) con la seguridad: invierta en 24 horas al día, 7 días a la semana MDR/Servicios MXDR.
• Ahora ya conoces la trampa del “sesgo de normalidad”: evítalo.