Infraestructura crítica sin postura de resiliencia: el riesgo que ningún comité de auditoría está midiendo todavía

Los comités de auditoría de organizaciones que operan infraestructura crítica tienen, hoy, un punto ciego estructural. Revisan estados financieros, controles internos y cumplimiento normativo con rigor — pero rara vez formulan la pregunta más simple sobre la operación física que sostiene el negocio: ¿qué pasa si falla el sistema que monitorea la planta, la red vial o el perímetro del recinto, y nadie se entera a tiempo?

La resiliencia operacional se trató históricamente como un problema de mantenimiento o de continuidad de negocio en abstracto — un plan en un cajón, revisado una vez al año. Pero la infraestructura crítica moderna es un sistema vivo de sensores, redes y modelos de IA que toman decisiones en tiempo real. Cuando ese sistema falla — por un corte de conectividad, un sensor degradado o una brecha de ciberseguridad — la falla no es de TI: es una falla operacional con consecuencias físicas.

Esto exige tratar la resiliencia como se trata cualquier otro riesgo material: con una postura formal, medible y auditable. No basta con preguntar si existe un plan de contingencia. Un comité de auditoría que toma en serio la infraestructura crítica debería preguntar: ¿cuál es el tiempo medio de detección de una falla operacional? ¿Cuál es la redundancia real de la red que sostiene el monitoreo? ¿Quién es responsable cuando un incidente cruza la frontera entre seguridad física y ciberseguridad?

Esta última pregunta es, en la práctica, la que más organizaciones no pueden responder. La seguridad física y la ciberseguridad siguen viviendo en presupuestos, gerencias y KPIs distintos, como si una cámara comprometida fuera un problema de mantenimiento y no un incidente de seguridad de la información. Esa separación organizacional es, en sí misma, un riesgo no auditado.

En regiones donde la regulación todavía va un paso atrás de la tecnología — como ocurre en buena parte de Latinoamérica —, la responsabilidad de fijar el estándar recae, por ahora, en la propia organización. Esperar a que un regulador lo exija es una estrategia de riesgo, no de gobernanza. Las organizaciones que se adelantan no lo hacen por cumplimiento: lo hacen porque entienden que la resiliencia operacional, medida y reportada, es hoy un factor de confianza tan relevante para un inversionista o un asegurador como cualquier estado financiero.

Incorporar la resiliencia operacional a la agenda formal de auditoría no requiere reinventar el gobierno corporativo — requiere extenderlo a un territorio que hasta ahora quedó fuera de su alcance. La pregunta que todo directorio de infraestructura crítica debería hacerse esta semana no es si tiene cámaras o sensores suficientes. Es si alguien, en la sala, sabe realmente cuánto tarda la organización en detectar y responder cuando algo falla.