De vuelta a la normalidad: por qué la capacidad de recuperación es importante como KPI

Cómo la medición de la recuperabilidad impulsa una respuesta más rápida y eficaz ante los incidentes cibernéticos

Conclusiones

• La recuperabilidad es un indicador clave de rendimiento (KPI) esencial para la respuesta ante incidentes cibernéticos, ya que ayuda a las organizaciones a medir la eficacia con la que restablecen el funcionamiento normal tras un ataque.
• Si bien la detección y contención de incidentes de ciberseguridad están mejorando, la remediación sigue siendo un desafío significativo, y a menudo tarda semanas en completarse.
• Seguimiento de la capacidad de recuperación a través de KPIs específicos, como el tiempo medio de remediación (MTTR), el tiempo medio de detección (MTTD), las tasas de reapertura de vulnerabilidades y las puntuaciones de riesgo de exposición, permite a las organizaciones identificar las deficiencias y reforzar su ciberresiliencia.
• El uso de datos de recuperabilidad para informar las prácticas de remediación puede ayudar a reducir el tiempo de inactividad y minimizar el impacto de futuros incidentes cibernéticos.

Las empresas están mejorando en la detección y contención de incidentes de ciberseguridad. Según el Informe del Estado de la Seguridad ICS 2025 de SANS, el 49% de todos los incidentes fueron detectados en 24 horas, y el 55% fueron contenidos en 48 horas.

La remediación, sin embargo, sigue siendo un desafío. Como se señala en Help Net Security, el tiempo medio para remediar (MTTR) problemas sigue estancado en 4 semanas. El resultado es una desconexión defensiva: aunque los equipos pueden detectar problemas y asegurar sistemas en dos días, volver a la normalidad lleva casi un mes.

Abordar este desafío significa medir la capacidad de recuperación como un indicador clave de rendimiento (KPI) y utilizar estos datos para informar las mejores prácticas de remediación.

Realidades recuperables: Lo que las organizaciones necesitan medir

La capacidad de recuperación es un KPI de visión general, compuesto por múltiples indicadores más específicos en los ámbitos de seguridad, gestión de riesgos y operaciones. Al rastrear, medir y combinar estos KPIs, las empresas pueden tomar medidas para mejorar la remediación de incidentes y ciberresiliencia.

Los KPI comunes que contribuyen a la capacidad de recuperación incluyen:

• Tiempo medio de reparación (MTTR) – Esto representa el tiempo promedio necesario para remediar un problema. Se puede medir por sistema, por activo o como un valor combinado en las operaciones de red.
• Tiempo medio de detección (MTTD) – Esto mide el tiempo promedio para detectar un incidente. Como se señaló anteriormente, el MTTD generalmente está mejorando en las empresas, pero seguir este KPI sigue siendo crítico. Un MTTD más alto significa una remediación más lenta, ya que los equipos no pueden arreglar lo que no saben que está roto.
• Tasas de reapertura de vulnerabilidades– Cerrar vulnerabilidades reduce el riesgo de nuevos incidentes o exposiciones. Pero las empresas no pueden dormirse en los laureles: si las vulnerabilidades se reabren pero no se rastrean, los esfuerzos de remediación pueden verse socavados.
• Puntuaciones de riesgo de exposición – La remediación requiere clasificación. Dada la complejidad de los sistemas y software de TI, no se pueden abordar todos los problemas simultáneamente. La puntuación de riesgo de exposición ayuda a cuantificar los esfuerzos de remediación. Normalmente se calcula de la siguiente manera: Puntuación de riesgo = Probabilidad x Gravedad. Cuanto mayor sea la probabilidad y el impacto de un evento, mayor será su puntuación de riesgo.
• Tasas de cumplimiento de parches – Detener los riesgos antes de que ocurran reduce la necesidad de remediación. Como resultado, los equipos deben rastrear las tasas de cumplimiento de parches. Un cumplimiento bajo o decreciente puede exponer los sistemas a vulnerabilidades evitables.

Cinco componentes de una estrategia eficaz de KPIs

Una medición eficaz no surge por casualidad. Es el resultado de estrategias de KPI diseñadas específicamente que combinan tácticas y tecnología para mejorar la visibilidad. A continuación se presentan cinco componentes para alcanzar el éxito.

1. Identificar las principales prioridades

La puntuación de riesgo es uno de los componentes que permiten identificar las prioridades de corrección. Las empresas también deben tener en cuenta la criticidad, la disponibilidad y la conectividad del sistema a la hora de crear una estrategia eficaz. Pensemos en una empresa de tecnología financiera especializada en el comercio de alta frecuencia (HFT). Para seguir siendo rentable, la disponibilidad del sistema es fundamental. Por lo tanto, las estrategias de corrección se configuran naturalmente en torno a esta prioridad.

2. Implementar pruebas de restauración de rutina

¿Cuánto tiempo se tarda en restaurar los sistemas tras un corte de electricidad? ¿Tras un fallo de Internet en la última milla? ¿Tras un ciberataque? Las pruebas de restauración rutinarias proporcionan estos datos y permiten tomar medidas específicas. Para aprovechar al máximo los datos de restauración, los equipos deben programar pruebas periódicas y también probar los sistemas después de cualquier cambio significativo, como la incorporación de una nueva base de datos o servidor, o la integración de un nuevo servicio basado en la nube.

3. Implementar copias de seguridad inmutables

Las copias de seguridad inmutables aprovechan un enfoque de escritura única y lectura múltiple (WORM). Esto significa que los datos no pueden ser alterados una vez escritos en las copias de seguridad, eliminando así el riesgo de archivos modificados o eliminados. Las copias de seguridad inmutables son una parte esencial de la recuperabilidad: si otras defensas fallan y los datos críticos se ven comprometidos, las copias de seguridad inmutables proporcionan un punto de partida para la restauración.

4. Aprovechar la ingeniería basada en ciberseguridad

El Departamento de Energía de EE. UU. define la ingeniería informada por ciberseguridad (CIE) como "un método emergente para integrar consideraciones de ciberseguridad en la concepción, diseño, desarrollo y operación de cualquier sistema físico". Esto también se extiende a los sistemas digitales: al adoptar un enfoque de seguridad desde el diseño para los entornos operativos y de TI, las empresas reducen naturalmente su riesgo de compromiso y mejoran la capacidad de recuperación general.

5. Crear un marco de responsabilidad

Finalmente, debe haber una cadena de responsabilidad desde el personal de primera línea hasta la alta dirección. Esto permite una clara delimitación de roles y responsabilidades, y también garantiza que haya un defensor ejecutivo en la sala de juntas para articular las necesidades de financiación.

Cómo el seguimiento de la capacidad de recuperación mejora el tiempo de respuesta y la resiliencia

Las tasas mejoradas de detección y contención reducen el impacto de los incidentes cibernéticos.

La capacidad de recuperación mejorada, por su parte, reduce el tiempo y el esfuerzo necesarios para que los sistemas vuelvan a funcionar. Considere una empresa manufacturera que utiliza una combinación de sistemas de control industrial (ICS), herramientas de control de supervisión y adquisición de datos (SCADA), sistemas de gestión de mantenimiento computarizados (CMMS) y soluciones de planificación de recursos empresariales (ERP). La naturaleza interconectada de estos sistemas significa que los incidentes pueden extenderse mucho más allá de su punto de inflexión inicial; intentar volver a poner en línea las herramientas y la tecnología sin una remediación exhaustiva puede llevar a compromisos secundarios.

El seguimiento de los KPIs proporciona a los equipos el conocimiento que necesitan para remediar y restaurar completamente los sistemas. ¿El resultado? Riesgo reducido, recuperación mejorada y mayor resiliencia.