De izquierda a derecha; Miguel Ballesteros García, responsable de tecnologías y ciberseguridad de Cyberfight en el Grupo Oesia; Damián Ruiz, CISO de Singular Bank; Francisco Javier Santos, CISO del Grupo Santa Lucía; Fernando Cano, periodista de EL ESPAÑOL; María Guillamón Bagán, CISO de CaixaBank Tech; Pedro Luis Yuste González, director de ciberseguridad del Grupo Asisa; Carlos Alcón, CISO de Inversis.
Ciberseguridad en banca y seguros: la resiliencia operativa depende de coordinar la IA y con la supervisión humana
Los expertos coinciden en el elevado riesgo de dar el control a la IA.
Otro punto importante es contar con soberanía nacional y europea.
Más información: "Nadie está a salvo", crece el temor en las grandes empresas españolas por el rápido aumento de los ataques con IA
El ciberespacio financiero se ha convertido en un escenario de alta tensión. Los ataques tecnológicos contra la banca y las aseguradoras ya no constituyen simples incidencias informáticas, sino que representan una amenaza directa para la continuidad del negocio y la estabilidad económica.
En este entorno hostil, la inteligencia artificial irrumpe como un arma de doble filo: acelera al mismo tiempo las ofensivas enemigas y resulta indispensable para organizar su respuesta en tiempo real.
Para analizar este panorama, varios responsables de seguridad de organizaciones líderes en sus sectores se han reunido en la mesa redonda Ciberseguridad en banca y aseguradoras: resiliencia frente a un nuevo escenario de amenazas.
La jornada ha dejado un diagnóstico claro. La resiliencia operativa depende hoy del equilibrio entre automatización inteligente, cumplimiento normativo y control humano.
De entre todos los sectores, el bancario encabeza las estadísticas de incidentes en España. Miguel Ballesteros García, responsable de tecnologías y ciberseguridad de Cyberfight en el Grupo OESIA, ha abierto el debate con datos impactantes.
"El año pasado más del 30 % de los incidentes críticos a operadores esenciales en España fueron a entidades del sector bancario", ha advertido Ballesteros.
Esta intensa actividad enemiga coincide con una exigente presión normativa. Las entidades afrontan la aplicación de DORA, NIS2 y la ley europea de IA; a la que se suma la dependencia de proveedores tecnológicos externos a la Unión Europea.
Frente a esta vulnerabilidad en la cadena de suministro, la soberanía digital se afianza como pilar estratégico. "Hemos confirmado que el peso de la soberanía nacional y europea es muy importante. Es algo que, más que cumplir con una casilla normativa, es importante para tener control de lo que te está protegiendo", ha afirmado Ballesteros.
Reestructurar la defensa
La adopción de algoritmos ha transformado de forma profunda la arquitectura de los equipos de seguridad de las entidades. Damián Ruiz, CISO de Singular Bank, ha explicado esta reorganización mediante un triángulo táctico de la ciberdefensa.
El primer vértice responde a la protección frente a ataques impulsados por inteligencia artificial (AI-driven attacks) . El segundo eje se enfoca en el uso interno para optimizar los centros de operaciones de seguridad (SOC) y automatizar tareas . El tercer pilar aborda la gobernanza de riesgos en los proyectos de negocio que integran esta tecnología.
Esta complejidad ha cambiado de forma radical la interlocución con la alta dirección, traduciéndose en consejos de administración que exigen métricas concretas de resiliencia y capacidad de respuesta inmediata.
![Sam Altman CEO de OpenAI](["https:\/\/s3.elespanol.com\/k\/imgp\/cms\/elespanol\/11361477.jpg?p=w:320\/h:240&h=YpqWTH7U"])
Carlos Alcón, CISO de Inversis, ha destacado esta evolución en los órganos de gobierno. "El mensaje que antes era 'estamos seguros', ahora se ha transformado en 'en el caso de que nos suceda algo debido a estos riesgos, ¿estamos preparados realmente para responder?', ha subrayado.
Además, ha recordado que el Banco Central Europeo exige a las entidades financieras planes de inteligencia artificial específicos.
Límites de la IA
Sin embargo, a pesar de los avances defensivos, los expertos han advertido sobre la asimetría estructural a favor de los ciberdelincuentes. El atacante opera con un margen de prueba y error prácticamente ilimitado.
Para el atacante "es muy sencillo, yo puedo utilizar la IA y si fallo pues no pasa nada", ha señalado Francisco Javier Santos, CISO del Grupo Santalucía.
Asimismo, el directivo de Santalucía ha alertado sobre los riesgos de delegar la remediación técnica en modelos automáticos y afirma que la IA ahora mismo no está avanzada como para "ayudar a remediar las cosas".
"Si tú pones la IA a solucionar cosas, tienes más probabilidades de romperlas que de arreglarlas", ha aseverado.
![Fernando Denis, creador de Bitnaga, posa tras la entrevista con EL ESPAÑOL de Málaga.](["https:\/\/s3.elespanol.com\/k\/imgp\/cms\/elespanol\/11357520.jpg?p=w:320\/h:240&h=7pO7YeTx"])
Otro aspecto clave que han reseñado los expertos es que la cadena clásica de ataque —la cyber kill chain— se mantiene prácticamente intacta y los delincuentes siguen explotando la vía de la ingeniería social.
Damián Ruiz ha abogado por rebajar la sobreexpectativa mediática. "Hay cierto hype", asegura. "La cyber kill chain, que es la clásica cadena de ataque que han utilizado los humanos, es la que usan ellos, no ha cambiado. Lo que pasa es que está con un efecto multiplicador", ha comentado.
Reacción en minutos
El gran cambio operativo radica en la aceleración de los ataques debido a que la ventana de exposición se ha reducido drásticamente.
"Antes podían ser días o meses, ahora pasan a ser minutos. Hemos de identificar muy bien el riesgo de nuestros activos e invertir mucho en automatizar y en agentes remediadores", ha manifestado María Guillamón Bagán, CISO de CaixaBank Tech.
María Guillamón Bagán, CISO de CaixaBank Tech
No obstante, los ponentes han marcado una frontera clara entre automatización y agentes autónomos, concretamente en la delegación de decisiones críticas en las que los agentes autónomos generan un riesgo inaceptable.
Esta es la razón por la que la supervisión humana —human in the loop— constituye un principio infranqueable. "Los agentes de IA no están lo suficientemente maduros como para operar autónomamente. Necesitan supervisión humana y guardarraíles", ha remarcado Guillamón.
Pedro Luis Yuste González, director de ciberseguridad del Grupo Asisa, ha abogado por limitar las automatizaciones a procesos no críticos. "Siempre hay que automatizar procesos que puedas revertir y que no sean críticos para la compañía, por supuesto con la interacción humana por defecto", ha dicho.
Criptografía y futuro
Al cierre de la sesión, los especialistas han anticipado los desafíos tecnológicos futuros y han identificado a la criptografía postcuántica como uno de los puntos que más atención acapara.
Las previsiones apuntan a que el sector financiero debe migrar sus sistemas para resistir el cálculo cuántico antes de 2030, a lo que se suma la identidad digital y la defensa ante los deepfakes.
Frente a un entorno convulso, la planificación estática queda descartada, la resiliencia exige adaptación continua. "Tu estado natural es un estado de entropía completa del que constantemente estás cambiando", ha resumido Francisco Javier Santos.
Los directivos mantienen la confianza en las capacidades defensivas del sector y Carlos Alcón, CISO de Inversis, ha cerrado el encuentro con un mensaje positivo: "Esta es una revolución que ha venido para quedarse. Estamos en la cima de la ola y es un escenario apasionante y retador".
