Ciberinteligencia para anticipar decisiones, no solamente amenazas

En América Latina se compra mucha información de amenazas y se toman pocas decisiones anticipadas. El problema no es la escasez de datos. Es la escasez de preguntas. La ciberinteligencia que no cambia una decisión es periodismo interno con peor prosa.

Un marco propio: de la señal a la revisión

Uso un ciclo corto. No es un estándar. Es una disciplina para que el informe quepa en una página que un CEO pueda usar:

1. Señal: qué se observó, de dónde viene y con qué confianza.
2. Contexto: qué significa para esta organización, no para «el sector» en abstracto.
3. Escenario: qué puede ocurrir si la señal es cierta, y qué ocurre si no lo es.
4. Decisión: qué opción se habilita ahora —aceptar, mitigar, transferir, ensayar, esperar.
5. Acción: quién hace qué, antes de cuándo, con qué evidencia de cierre.
6. Revisión: qué aprendimos y qué hay que dejar de medir.

Tres usos que sí valen el presupuesto

• Priorizar: qué activo, qué proveedor y qué proceso merecen atención esta semana, no este año.
• Anticipar: qué campañas se están ensayando contra pares de la industria y qué habría que ensayar internamente.
• Explicar: traducir un movimiento del adversario a impacto de negocio, para que la junta no tenga que aprender jerga.

Ejemplo anonimizado

Una organización de servicios recibe, en una semana, tres señales distintas: un proveedor crítico aparece en un mercado de credenciales; un par de la industria reporta un ransomware con el mismo vector de acceso remoto; y un empleado pega un contrato en un modelo de IA público. Ninguna señal, sola, justifica un comité de crisis. Juntas, cambian la decisión de la semana: se rota el acceso del proveedor, se ensaya la restauración del proceso que ese proveedor sostiene, y se abre un inventario honesto de Shadow AI. El producto no fue un informe de 40 páginas. Fue una decisión fechada.

Indicadores que un líder sí puede pedir

• Número de señales que terminaron en una decisión, no número de alertas recibidas.
• Tiempo entre la señal y la primera opción presentada a quien decide.
• Proveedores críticos con señal reciente y sin ensayo de continuidad.
• Informes que terminaron en «no hay señal útil esta semana» —el silencio informado cuenta.

Errores comunes

• Coleccionar indicadores de compromiso como si fueran estrategia.
• Teatralizar amenazas lejanas para justificar presupuesto.
• Entregar informes que el directorio no puede repetir en una frase.
• Confundir volumen de fuentes con calidad de pregunta.
• Ocultar incertidumbre. Un «no sabemos» fechado es más útil que una certeza decorativa.

Frecuencia realista, no teatral. Comparación con pares. Relación con los riesgos que el propio directorio ya aprobó. Esa es la ciberinteligencia que una junta puede gobernar.