Ciberseguridad empresarial, del riesgo al gobierno del riesgo

Durante años, muchas empresas trataron la ciberseguridad como un asunto reservado al departamento de tecnología: antivirus, contraseñas, correos sospechosos y respaldos. Esa visión ya no es suficiente. El riesgo digital dejó de ser un problema técnico para convertirse en un riesgo legal, financiero, operativo, reputacional y asegurador.

Durante años, muchas empresas tratan la ciberseguridad como un asunto reservado al departamento de tecnología: antivirus, contraseñas, correos sospechosos y respaldos. Esa visión ya no es suficiente. El riesgo digital dejó de ser un problema técnico para convertirse en un riesgo legal, financiero, operativo, reputacional y asegurador, capaz de comprometer la continuidad de un negocio en cuestión de horas.

Uno de los ejemplos más claros es el Business Email Compromise, conocido como BEC. El esquema suele parecer simple: un delincuente suplanta o compromete una cuenta de correo, estudia los patrones de comunicación de la empresa, identifica a quienes autorizan pagos y, en el momento oportuno, instruye una transferencia a una cuenta fraudulenta. No siempre hay malware sofisticado ni una intrusión visible. A veces basta un correo bien redactado, una factura alterada, una llamada de presión y un equipo interno que no tiene protocolos claros para verificar cambios de cuenta bancaria, instrucciones urgentes o solicitudes fuera del flujo ordinario.

Precisamente por eso el BEC es tan peligroso. No ataca únicamente sistemas; ataca confianza. Explota jerarquías, rutinas, cargas de trabajo, sentido de urgencia y falta de coordinación entre finanzas, operaciones, legal, auditoría, cumplimiento y tecnología. Cuando la empresa descubre el fraude, normalmente ya está corriendo contra el reloj: intentar congelar fondos, preservar evidencia digital, notificar a bancos, coordinar con autoridades, revisar pólizas de seguro, activar comunicaciones internas y determinar si hubo acceso, fuga o tratamiento indebido de información.

El error más costoso es creer que la respuesta empieza después del incidente. En realidad, la respuesta eficaz empieza antes: en la forma en que se diseñan los controles, se asignan responsabilidades, se documentan decisiones y se entrena al personal. Una empresa que no puede demostrar qué políticas tenía, quién aprobó la operación, qué validaciones se hicieron y cómo se administró la evidencia queda expuesta a una segunda pérdida: la pérdida legal, contractual, regulatoria, reputacional y, cada vez más, la pérdida de asegurabilidad.

En El Salvador, este análisis ya no puede hacerse únicamente desde la óptica de la prevención tecnológica. La Ley Especial contra los Delitos Informáticos y Conexos establece una respuesta penal frente a conductas cometidas mediante tecnologías de la información y la comunicación, protegiendo bienes jurídicos como datos, sistemas, infraestructura tecnológica, identidad, propiedad, intimidad e imagen de personas naturales y jurídicas. En un caso de BEC, dependiendo de la forma concreta en que se ejecutó el ataque, pueden aparecer figuras como acceso indebido a sistemas informáticos, violación de la seguridad del sistema, estafa informática, fraude informático, espionaje informático, hurto por medios informáticos, hurto de identidad, divulgación no autorizada, utilización de datos personales u obtención y transferencia de información confidencial.

Esto es relevante porque el BEC rara vez es un hecho aislado. Detrás de una transferencia fraudulenta puede existir una cadena de conductas: acceso no autorizado a una cuenta de correo, monitoreo de comunicaciones internas, obtención de información confidencial, suplantación de identidad, manipulación de instrucciones de pago y uso indebido de datos personales o corporativos. La empresa víctima debe tener la capacidad de reconstruir esa secuencia, preservar evidencia y activar oportunamente las vías legales correspondientes. Sin esa trazabilidad, el caso puede debilitarse frente a bancos, aseguradoras, autoridades y terceros afectados.

A ello se suma la Ley de Ciberseguridad y Seguridad de la Información, que marca un cambio de época en la forma en que debe entenderse la seguridad digital. Aunque su desarrollo práctico dependerá de políticas, lineamientos, reglamentos y criterios institucionales, su existencia confirma que la ciberseguridad ya forma parte del ordenamiento jurídico salvadoreño como materia de interés público, seguridad institucional y gestión del riesgo. Para el sector privado, esto implica que la seguridad de la información dejará de verse como una buena práctica voluntaria y pasará progresivamente a ser un estándar esperado de diligencia empresarial.

La Ley para la Protección de Datos Personales agrega una tercera dimensión. El incidente digital no solo debe analizarse por el dinero perdido, sino también por los datos comprometidos. Esta normativa regula la recolección, uso, procesamiento, almacenamiento y demás actividades relacionadas con datos personales, bajo una lógica de tratamiento legítimo, informado y responsable. En ese contexto, una intrusión, fuga, acceso indebido o uso no autorizado de información personal puede generar obligaciones adicionales para la empresa, particularmente si la organización no puede demostrar que contaba con medidas razonables para proteger la privacidad de los titulares y administrar adecuadamente los datos bajo su responsabilidad.

Por eso, frente a un BEC, la pregunta legal no debe limitarse a quién ordenó la transferencia o quién recibió los fondos. También debe preguntarse qué información fue expuesta, qué cuentas fueron comprometidas, qué datos personales pudieron ser accedidos, qué contratos fueron afectados, qué obligaciones de confidencialidad se activaron, qué pólizas pueden responder, qué evidencia debe conservarse y qué medidas correctivas deben implementarse para evitar la repetición del incidente.

Aquí aparece un punto crítico para la alta dirección: el mercado asegurador también está cambiando. Las pólizas de cyber risk, fraude informático, responsabilidad por datos personales o interrupción de negocio ya no deben asumirse como productos automáticos. Una empresa sin políticas, controles, protocolos de respuesta, capacitación, trazabilidad documental y medidas mínimas de seguridad puede encontrarse con tres escenarios: que la aseguradora rechace otorgar cobertura, que la póliza sea significativamente más cara, o que se emita con límites bajos, deducibles altos y exclusiones que reduzcan su utilidad justo cuando ocurra el incidente.

En otras palabras, el compliance digital no solo reduce riesgos; también protege la capacidad de transferirlos. Una organización que puede demostrar gobierno de ciberseguridad, gestión de proveedores, controles de pago, segregación de funciones, autenticación robusta, capacitación periódica y respuesta documentada a incidentes se presenta ante aseguradoras, bancos, clientes y socios como un riesgo más administrable. Esa diferencia puede reflejarse en mejores condiciones contractuales, mayor confianza comercial y una posición más sólida al momento de reclamar cobertura.

Por ello, el cumplimiento no debe verse como una carga económica adicional al gasto operativo. Bien diseñado, es una inversión en continuidad, resiliencia y competitividad. El compliance permite prevenir incidentes, detectar alertas tempranas, reducir pérdidas, asignar responsabilidades, conservar evidencia, responder con orden y demostrar diligencia. También evita improvisaciones costosas: contratos que no permiten exigir información al proveedor, pólizas que no cubren ingeniería social, autorizaciones de pago ambiguas, empleados sin entrenamiento o decisiones críticas sin respaldo documental.

Un programa serio de ciberseguridad empresarial debe partir de un diagnóstico integral. No basta preguntar si existe un firewall. Hay que revisar contratos con clientes, proveedores tecnológicos, bancos, procesadores de pago y encargados de tratamiento de datos; mapear qué información se recopila, dónde se almacena, quién accede a ella y con qué base jurídica; evaluar autorizaciones internas de pago; identificar activos críticos; revisar matrices de delegación de autoridad; analizar seguros vigentes; y determinar qué obligaciones de notificación, confidencialidad o cooperación pueden activarse ante un incidente.

En casos de BEC, tres controles legales-operativos suelen marcar la diferencia. El primero es un protocolo obligatorio para cambios de cuenta bancaria o instrucciones de pago sensibles, con verificación por canal independiente y aprobación escalonada. El segundo es una matriz de autoridad que elimine zonas grises: quién solicita, quién revisa, quién autoriza, quién ejecuta y quién conserva respaldo documental. El tercero es un plan de respuesta a incidentes que combine tecnología, legal, comunicaciones, finanzas y alta dirección, con pasos predeterminados para preservar evidencia, contactar bancos, activar pólizas, presentar denuncias y gestionar la relación con terceros afectados.

También es indispensable revisar el componente humano. Muchas empresas invierten en herramientas, pero no entrenan a quienes procesan pagos, reciben facturas, administran proveedores o contestan correos de ejecutivos. La capacitación no debe limitarse a “no abrir enlaces sospechosos”. Debe incluir simulaciones realistas, reglas de escalamiento, ejemplos de ingeniería social, verificación de identidad, manejo de urgencias y responsabilidad documental. En ciberseguridad, la cultura interna es un control legal: permite demostrar diligencia, reduce errores y mejora la posición de la empresa ante bancos, aseguradoras, autoridades y contrapartes.

En ECIJA entendemos este problema desde una visión integral. La ciberseguridad empresarial no se resuelve únicamente con abogados ni únicamente con técnicos. Requiere unir derecho, tecnología, cumplimiento, gestión de crisis, investigación digital, protección de datos, seguros, gobierno corporativo y estrategia de negocio. Nuestro enfoque parte de una premisa sencilla: el objetivo no es producir documentos para archivar, sino construir una defensa real antes, durante y después del incidente.

El BEC demuestra que el fraude digital moderno no siempre entra por una vulnerabilidad técnica; muchas veces entra por una vulnerabilidad organizacional. La empresa que no tenga reglas claras para verificar, documentar y escalar decisiones sensibles está dejando abierta una puerta que ningún antivirus puede cerrar.

En la economía digital, la confianza es un activo empresarial. Protegerla exige más que reaccionar ante emergencias: exige gobernar el riesgo. Las empresas que adopten esta visión no solo estarán mejor preparadas para enfrentar ataques, sanciones y reclamaciones; también estarán en una posición más sólida para contratar seguros, competir, financiarse y crecer en un mercado donde la seguridad de la información se ha convertido en una condición básica de credibilidad corporativa.