José Luis Rojo, experto en ciberseguridad: "Uno de los errores más graves de una empresa ante un ataque digital es perder tiempo"

El Instituto Nacional de Ciberseguridad (Incibe), dependiente del Ministerio para la Transformación Digital, gestionó un total de 122.223 incidentes de ciberseguridad en 2025, un 26 % más que en 2024. José Luis Rojo, socio de ciberseguridad de la consultora EY, asegura al respecto que uno de los errores más "graves" de una compañía ante un ataque digital "es perder tiempo". "El tiempo es lo que te diferencia entre tener un incidente o un desastre".

Rojo participó recientemente en una nueva edición de Diálogos de Management, organizado por la Asociación Española de Directivos (AED), celebrada en València. El responsable del Centro de Operaciones de Ciberseguridad de EY insiste en un mensaje clave: lo que distingue a una empresa que sale adelante de otra no es solo la tecnología que tiene instalada, sino la rapidez y el orden con el que reacciona cuando algo va mal.

La ciberseguridad ya no es un asunto reservado al departamento de informática, sino una pieza más de la gestión empresarial, que ocupa y preocupa en los consejos de administración de las empresas valencianas, explica el experto.

"Muchas empresas están acostumbradas a hacer frente a crisis con impactos más altos que lo que puede ser un incidente de seguridad. Pero están delimitadas y sabes qué está pasando. En ciberseguridad, muchas veces no tienes hechos consumados hasta que no pasan horas o días".

Es cuestión de tiempo que cualquier organización sufra un incidente, así que ser víctima no debería avergonzar a nadie"

José Luis Rojo

— Socio de ciberseguridad de EY

Por ello, sobre el papel de los consejos de administración, afirma que "la ciberseguridad es un tema que importa y que está en la mesa de los consejos de casi todas las compañías. Lo que pasa es que no es lo mismo la ciberseguridad de una pyme que en una organización de mayor tamaño".

Respecto a una posible brecha generacional, Rojo señala más el "perfil". "Hay veces que los consejeros están mucho más vinculados al negocio y no tanto a la tecnología. Se tienen que formar mínimamente para poder hacer preguntas adecuadas".

Cuando el ataque se convierte en un incidente grave, sostiene que el liderazgo no puede recaer solo en tecnología: "El CEO tiene que ser el líder de esa gestión ejecutiva para garantizar ese alineamiento entre áreas de soporte como comunicación, legal, técnica o de negocio".

Sobre los simulacros, defiende que deben doler de verdad: "Tiene que ser lo más real posible y que haga poner en su rol a cada uno de los miembros de la gestión de crisis teniendo en cuenta las consecuencias para el negocio que puede tener una mala decisión por parte de la alta dirección".

Los simulacros tienen que ser lo más reales posible para poner en su rol a cada uno de los miembros de la gestión"

José Luis Rojo

Rojo califica de "autoengaño" si una compañía piensa que no puede ser objetivo del cibercrimen. "Es cuestión de tiempo que cualquier organización sufra un incidente", así que "ser víctima no debería avergonzar a nadie", y las que ya han pasado por ello, asegura, "salen siempre más reforzadas".

El experto sostiene que las instituciones públicas son especialmente jugosas para los ciberdelincuentes "por el gran volumen de datos sensibles que mueven". Eso las sitúa como uno de los sectores más atacados. "Esa información se comercializa en el mercado negro; hay una monetización de ese robo de información".

Rojo señala que el "perímetro" de las organizaciones públicas es más amplio, por lo que ofrecen más "puertas de entrada [al ciberdelincuente] y es complejo de proteger". Aún así, dice, "las organizaciones están haciendo una labor titánica" al respecto.

El socio de EY cuenta respecto al escenario actual que "la transformación digital implica que todas las organizaciones tienen más puertas expuestas. Las capacidades de ciberseguridad han evolucionado mucho, pero también ha evolucionado el cibercrimen", concluye.

Suscríbete para seguir leyendo