Por Mhicole A. Moral, Special Features and Content Writer

Las organizaciones ahora operan en una economía digital en la que la tecnología impulsa casi todas las partes de la actividad empresarial. A medida que se profundiza la dependencia de sistemas interconectados, la ciberseguridad y la protección de datos se han convertido en elementos cada vez más importantes de la estrategia empresarial de largo plazo.

Estos temas marcaron la pauta de la primera mesa de discusión de la BusinessWorld Cybersecurity Summit, titulada “Navigating Cybersecurity Laws and Compliance.” El panel examinó cómo las regulaciones globales de ciberseguridad están afectando a las organizaciones filipinas y por qué el cumplimiento por sí solo ya no basta para fortalecer la ciberseguridad.

El Assistant Secretary y Deputy Executive Director del Cybercrime Investigation and Coordinating Center, Alvin M. Navarro, afirmó que la ciberseguridad va mucho más allá de proteger a las empresas porque sus efectos alcanzan a las instituciones gubernamentales, la seguridad nacional y a los ciudadanos comunes.

“Among the general population, the dark side of exploiting cyber weaknesses is felt through scams. More than 60% of all the complaints we receive come from scams. Imagine the losses, the anxiety, and the suffering that people go through,“ explicó.

El Sr. Navarro señaló que la transformación digital sigue siendo una prioridad del gobierno porque mejora la prestación de servicios públicos. Sin embargo, subrayó que la ciberseguridad debe integrarse en cada etapa de esa transformación.

“We need to make sure that cybersecurity is embedded into our digital transformation: first, to improve public service; second, to make sure that all systems and processes that are intended to deliver those public services are robust and safe,” agregó. “If all of these things fail, it’s not only the economy that will falter. It will affect political stability and our survival as a nation.”

Gilbert T. Trinchera, technology consulting partner en R.G. Manabat & Co. (KPMG in the Philippines), dijo que la ciberseguridad entra en una etapa en la que múltiples fuerzas ya no operan por separado, sino que convergen en todas las organizaciones.

Tomando como base las últimas consideraciones de KPMG sobre ciberseguridad publicadas a inicios de este año, el Sr. Trinchera señaló que ocho fuerzas principales están remodelando la ciberseguridad en la actualidad y en los próximos años: artificial intelligence, geopolitics, regulation, hyperconnectivity, non-human identities, supply chain dependencies, post-quantum cryptography y autonomous security.

“These forces are not just operating individually in silos; they are converging, and that’s why it’s becoming an important imperative across the entire enterprise, whether you’re a government institution or a private industry. This is a huge consideration for everyone because the goal is not to perfect all compliance checklists, but simply to understand where we are, to be proactive and risk-averse, and definitely to ensure we consistently show our trust to our clients and stakeholders,” explicó.

Por su parte, Jay R C. Ipac, Managing Partner de DivinaLaw, mencionó que dos de las regulaciones más influyentes que afectan hoy a las empresas locales son el General Data Protection Regulation (GDPR) de la Unión Europea y la Directiva NIS2 de la Unión Europea. El alcance extraterritorial del GDPR significa que las empresas filipinas que procesan datos personales de residentes de la UE deben cumplir independientemente de dónde estén establecidas, mientras que la Directiva NIS2, que entró en vigor en 2023, amplió las obligaciones de ciberseguridad a un rango más amplio de sectores e impuso requisitos más estrictos de notificación de incidentes en toda la UE.

Aunque algunos marcos siguen en forma de borrador, el Sr. Ipac indicó que muestran cómo las conversaciones sobre ciberseguridad han pasado del cumplimiento técnico a la resiliencia organizacional.

También citó al Bangko Sentral ng Pilipinas como uno de los reguladores más activos del país en materia de gobernanza de ciberseguridad, y señaló que las instituciones financieras enfrentan cambios tecnológicos rápidos y amenazas digitales cada vez más sofisticadas. La supervisión del BSP se apoya en la base legal existente de Filipinas, que incluye el Data Privacy Act of 2012 (Republic Act No. 10173) y el Cybercrime Prevention Act of 2012 (Republic Act No. 10175), leyes que establecieron las obligaciones básicas del país en materia de protección de datos y persecución de delitos cibernéticos.

Kristoffer Rada, head of corporate affairs de Maya Philippines Inc., afirmó que las leyes de ciberseguridad en todo el mundo ahora asignan la responsabilidad a los consejos de administración y a la alta dirección, en lugar de limitarla a los equipos técnicos.

“El enfoque ahora se está desplazando de la prevención únicamente hacia la resiliencia operativa, la capacidad de detectar, responder, recuperarse y continuar prestando servicios esenciales”, subrayó.

Sin embargo, la tecnología por sí sola no es suficiente. La conciencia del cliente sigue siendo igualmente importante, por lo que la empresa combina salvaguardas tecnológicas con campañas de educación pública.

“Regulation should be risk-based and outcome-based, so that institutions are accountable for results while retaining the room to adopt better technology. Also, transparency should be timely, accurate, and useful to people. Finally, cybersecurity must be collaborative. Threat intelligence, scam prevention, and incident coordination, together with consumer education, require government and industry to work together,” explicó el Sr. Rada.

De la responsabilidad técnica a la gobernanza empresarial

La creciente influencia de las regulaciones internacionales también ha cambiado la forma en que las organizaciones definen el liderazgo en ciberseguridad.

El Sr. Ipac dijo que muchas organizaciones todavía delegan la ciberseguridad casi por completo en los chief information security officers o en los departamentos de tecnología de la información. Aunque las empresas suelen establecer políticas y completar documentación, esos preparativos a menudo resultan insuficientes cuando ocurre un incidente cibernético real.

“The biggest misconception is still looking at cybersecurity as a tech issue. All stakeholders should have a genuine interest in making sure [cybersecurity] is at the top of all companies’ agendas in their digitized business,” afirmó. “Your people are your best assets. You have to be able to create a cybersecurity culture, not just awareness, but the resilience that the public trusts.”

Por su parte, el Sr. Navarro señaló que los líderes empresariales deben contar con suficiente comprensión tecnológica para tomar decisiones informadas, al mismo tiempo que asumen la responsabilidad sobre el futuro de su organización. Una parte importante de esa responsabilidad consiste en mantener una ciberseguridad sólida en toda la organización.

“Cybersecurity has assumed a proportion, such that it not only affects businesses immensely but also impacts national security without question,” explicó.

La inteligencia artificial eleva el nivel de riesgo

Las organizaciones utilizan la inteligencia artificial (AI) para mejorar la eficiencia y reforzar las defensas, pero esa misma tecnología también ha dado a los ciberdelincuentes nuevas formas de lanzar ataques, manipular información y explotar a usuarios desprevenidos.

Los panelistas observaron que esto ha ampliado la brecha entre la innovación tecnológica y la regulación, lo que otorga a las organizaciones mayor responsabilidad para establecer gobernanza incluso antes de que entren en vigor nuevas leyes.

El Sr. Trinchera dijo que Filipinas sigue en un periodo en el que la adopción de AI ha avanzado más rápido que la legislación. Se han presentado varios proyectos de ley relacionados con AI, pero actualmente las organizaciones operan sin un marco legal integral que defina con claridad la responsabilidad por su uso.

“The implication is that, if anyone is using AI, whether it’s for good or bad, they do not have a sense of accountability and obligation. It’s merely a playground,” explicó.

Añadió que el uso extensivo de redes sociales, plataformas digitales, mercados en línea y tecnologías emergentes por parte de los filipinos crea oportunidades adicionales para estafas impulsadas por AI, campañas de desinformación, intentos de phishing y otras amenazas cibernéticas.

Sin suficiente conciencia y gobernanza, señaló, la tecnología puede acelerar la difusión de contenido dañino al mismo tiempo que hace que los ciberataques sean más convincentes y más difíciles de detectar.

“Regulatory convergence should be our goal, and we should align it to our ultimate vision, which is to maintain trust. This is the current universal currency that everybody understands, regardless of industry or jurisdiction,” enfatizó.

El Sr. Navarro señaló que la legislación intenta seguir el ritmo de la AI, aunque el proceso legislativo naturalmente avanza más lentamente que el desarrollo tecnológico. Mientras tanto, alentó a las organizaciones a establecer políticas internas sobre el uso de AI basadas en sus propias necesidades operativas y riesgos de ciberseguridad.

Por lo tanto, las organizaciones ya pueden desarrollar medidas prácticas de gobernanza que definan un uso responsable de la AI y, al mismo tiempo, atiendan las brechas de seguridad específicas de sus operaciones.

“There’s no legislation yet, but it’s not entirely hopeless. It’s not a situation where our hands are tied. From our organizations, we can already develop the policy that is more specific to our needs, to the security issues or gaps that we face,” afirmó el Sr. Navarro.

Del mismo modo, las organizaciones están encontrando nuevas formas de incorporar la inteligencia artificial en sus operaciones de ciberseguridad. En el caso de Maya, la AI se ha convertido en una herramienta importante para identificar transacciones financieras sospechosas entre su gran volumen de operaciones.

Al mismo tiempo, el Sr. Rada reconoció que la tecnología presenta tanto oportunidades como riesgos. Las políticas y los marcos siguen siendo valiosos, pero producen resultados significativos cuando colaboran con el gobierno.

“[There should be] collaboration between the public and private sector. We [should] work very closely with the policymakers, with legislators, and the enforcers, because that’s the only way that we can catch up in terms of coming up with a rational policy,” explicó.