Durante años, la ciberseguridad se ha vuelto cada vez más cuantificable. Los líderes de seguridad pueden decir, con frecuencia, cuánto tarda en detectarse una intrusión, contener un ataque y restablecer la operación normal. Esas cifras han proporcionado a los consejos de administración una forma directa de evaluar el progreso, ofreciendo la seguridad de que la inversión en seguridad está dando resultados tangibles.

Herramientas como el Mean Time to Detect (MTTD) y el Mean Time to Respond (MTTR) han ganado un lugar en la mesa. Ambos ofrecen una visión clara de qué tan eficaz es un equipo de seguridad cuando surge un incidente y han contribuido a mejorar la respuesta ante incidentes en toda la industria.

El problema no es que estas métricas estén mal. Fueron diseñadas para una era distinta, cuando la tecnología cambiaba con más calma, los métodos de ataque evolucionaban a lo largo de periodos extendidos y la IA aún no formaba parte de la ecuación.

Hoy, las empresas introducen nuevas tecnologías a un ritmo extraordinario. La IA se está integrando en las organizaciones, los entornos en la nube siguen expandiéndose y las empresas están más interconectadas que nunca. Al mismo tiempo, los atacantes adaptan constantemente sus técnicas, aprovechando tácticas y herramientas nuevas casi tan rápido como emergen.

Los CISO y los consejos deben revisar de forma dinámica el cambiante panorama de amenazas y el estado de riesgo, y preguntarse si las métricas utilizadas durante años siguen contando todo lo que necesitamos saber.

Mind the gap

Toda empresa quiere detectar ataques más pronto, contenerlos más rápido y recuperarse con la menor interrupción posible. Por eso MTTD y MTTR siguen siendo medidas operativas valiosas. Indican qué tan eficaz fue un equipo de seguridad una vez que un incidente ya estaba en curso.

Lo que no dicen es si el negocio se está volviendo más preparado para lo que viene, si es más resiliente y más ágil en la recuperación. Eso importa porque el riesgo cibernético continúa evolucionando mucho después de que un incidente se ha contenido.

El informe Cyber Security Breaches Survey 2025/2026 del Reino Unido encontró que el 43% de las empresas británicas experimentaron una brecha o ataque cibernético durante el año anterior.

Esto refuerza que los equipos de seguridad operan en un entorno donde los incidentes son una realidad regular, ya sea en su propio entorno o en el de una cadena de suministro. Responder bien es importante, pero la resiliencia se forja con todo lo que sucede antes de que ocurran los incidentes.

Una empresa puede recuperarse rápidamente de un ataque, pero puede tardar meses en revisar sus políticas de seguridad, reevaluar el riesgo de proveedores o reforzar controles en respuesta a lo aprendido. Para cuando se realizan esos cambios, el panorama de amenazas ya se ha movido.

Las métricas tradicionales nos dicen cuán rápido responde una empresa a un incidente. No dicen cuán rápido aprende de uno, ni cuán rápido se adapta.

Closing the gap

Si vamos a cerrar esa brecha de preparación, nuestras métricas deben evolucionar también. La resiliencia ya no se define únicamente por qué tan bien responde una empresa a incidentes aislados, sino por cuán rápidamente mantiene el paso con el cambio continuo.

Creo que las organizaciones deberían empezar a pensar en otro punto de referencia junto a los que ya conocemos: el Mean Time to Adapt (MTTA).

MTTA considera cuánto tarda en reconocer un cambio significativo en el panorama de amenazas y convertir ese conocimiento en acción.

A veces esa acción será técnica. Podría significar actualizar las reglas de las herramientas de seguridad para detectar técnicas emergentes de ataque. También podría implicar restringir el acceso a sistemas críticos tras descubrir una vulnerabilidad grave. También puede ser una revisión proactiva de lecciones aprendidas de un ataque en otra organización o sector para entender cuán vulnerables serían.

En otros casos, la respuesta será organizacional en lugar de técnica. Puede involucrar revisar la gobernanza, cambiar la forma en que se informa el riesgo cibernético al consejo o actualizar programas de concienciación de empleados para reflejar las últimas tácticas utilizadas por los atacantes.

En cualquier caso, la resiliencia depende de ambos. Los programas de seguridad más robustos combinan mejoras técnicas con cambios organizativos, asegurando que las empresas puedan reconocer el cambio y actuar de inmediato.

Por eso cerrar esta brecha no es solo un desafío tecnológico. Requiere tomar decisiones, liderazgo y la voluntad de seguir cuestionando si las suposiciones existentes siguen siendo válidas. Las empresas que se adaptan bien rara vez dan por concluido su programa de seguridad; esperan que evolucione porque el entorno también evoluciona.

Esa mentalidad se refleja cada vez más en la industria. Por ejemplo, el Cyber Assessment Framework del National Cyber Security Centre sitúa la gobernanza, la gestión de riesgos y la mejora continua en el centro de la resiliencia cibernética. Reconoce que la seguridad es una capacidad organizacional continua, no un logro único.

Una conversación distinta en la sala de juntas

Si la preparación y la adaptación se convierten en una medida más significativa de resiliencia, cambiarán las conversaciones que tienen lugar en la junta directiva.

La mayoría de directores ya recibe actualizaciones regulares sobre incidentes, actividad de phishing y tiempos de respuesta. Esos informes siguen siendo importantes, pero no siempre muestran qué tan bien responde la empresa al cambio en sí.

La discusión debe pasar de inmediato a darle mayor protagonismo al MTTA. Esto permitiría a las juntas medir qué tan rápido la organización responde ante cambios, en lugar de simplemente qué tan eficientemente maneja incidentes.

En la práctica, eso significa hacer un conjunto diferente de preguntas. ¿Qué tan rápido la empresa reevaluar el riesgo cuando surge una amenaza significativa? ¿Cuánto tarda en traducirse la nueva inteligencia en políticas de seguridad? ¿Las lecciones de ataques recientes han cambiado fundamentalmente la forma en que opera la organización, o simplemente se han registrado y archivado?

Al medir la adaptación, más que la respuesta aislada, las organizaciones pueden responder estas preguntas con mayor confianza y construir una visión más amplia de la resiliencia.

Y esto no es solo una cuestión para los equipos de seguridad. Depende del liderazgo, de la gobernanza y de cuán preparada está la empresa para tomar decisiones a medida que el riesgo siga evolucionando.

Measuring what matters

MTTD y MTTR seguirán siendo medidas valiosas de desempeño operativo. Pero si las organizaciones quieren entender qué tan resilientes son en realidad, también necesitan saber cuán rápido se adaptan.

MTTA llena ese vacío. No reemplazará las métricas cibernéticas actuales, pero las enriquecerá al medir una capacidad que está ganando cada vez más importancia a medida que la tecnología, la IA y las amenazas cibernéticas siguen evolucionando.

Ahora es el momento de que MTTA brille.

Hemos destacado el mejor software de protección de endpoints.

Este artículo fue producido como parte de TechRadar Pro Perspectives, nuestro canal para presentar a las mentes más brillantes de la industria tecnológica actual.

Las opiniones expresadas aquí son las del autor y no necesariamente las de TechRadarPro o Future plc. Si está interesado en contribuir, descubra más aquí: https://www.techradar.com/pro/perspectives-how-to-submit