Por Eduardo Joel Espinosa Sosa*
En la odisea de Don Quijote, la vulnerabilidad no reside en la fuerza del oponente, sino en la fragilidad de su propia percepción. Su ingenuidad y el autoengaño son las verdaderas armaduras con fisuras, que permiten que los molinos se transformen en gigantes y los títeres en ejércitos.
Esta lección, aparentemente literaria, es el pilar de la gestión de riesgos en la era moderna, donde la amenaza más insidiosa no es el malware, sino la falla en el sistema cognitivo humano que lo habilita.
Desde una perspectiva escolástica de la gestión de la seguridad, la conciencia situacional es el primer y más crítico control. No se trata solo de la capacidad para identificar amenazas externas, sino de la introspección para reconocer las vulnerabilidades inherentes a la condición humana.
Un plan de protección, sin una auditoría rigurosa de los factores humanos, es una defensa incompleta. La ingeniería social, en su esencia, no es un ataque tecnológico, sino una manipulación de procesos psicológicos, una auditoría de facto de la credibilidad, la fatiga, la autoridad y el sesgo de confirmación de un individuo.
Un ejemplo contemporáneo de esta vulnerabilidad es el «fraude del CEO o el business email compromise (BEC)»: un atacante, mediante el uso de la ingenuidad de un empleado, se hace pasar por un alto directivo para solicitar una transferencia de fondos urgente. La falta de un procedimiento robusto, la presión del tiempo y la confianza ciega en la autoridad son los caballos de Troya que permiten la brecha.
Aquí, el objeto material del delito—los fondos—es transferido no por un fallo técnico, sino por un fallo humano en el proceso. El proyecto de la transferencia de fondos, que debería seguir una serie de controles (validación, doble autenticación, etc.), se ve comprometido por una omisión inducida por el autoengaño de la urgencia y la legitimidad aparente. La falta de cuestionamiento de los motivos, una falla en la conciencia situacional, es el catalizador de la pérdida.
Por ello, la protección efectiva no reside en la imposición de barreras, sino en el fortalecimiento de los procesos y la cultura organizacional. Un proyecto de gestión de riesgos debe integrar la capacitación del personal como un pilar fundamental. Es tan vital gestionar la seguridad de los activos como gestionar la percepción de la realidad por parte de los individuos que los protegen. El líder de un proyecto de seguridad debe ser un gestor de la percepción y un promotor del escepticismo saludable.
La vulnerabilidad más profunda de una organización no es su firewall, sino la mente que lo administra.
Aprendiz continuo: ¿estás invirtiendo en la defensa de tus sistemas o en la fortificación de las mentes que los protegen?
*Eduardo Joel Espinoza Sosa es originario de San Andrés Tuxtla, donde cursó sus estudios básicos hasta ingresar a la academia militar, donde hizo destacada carrera.
Actualmente es un profesional en Seguridad Corporativa y Gestión de Riesgos con más de 25 años de experiencia en entornos militares y corporativos. Posee sólidas habilidades de liderazgo, demostradas al haber tenido bajo su mando a equipos de hasta 100 personas y gestionar sistemas de seguridad integrales. Sus certificaciones CPP® y PMP®, junto con su formación en ingeniería, administración y auditoría en Sistema de Gestión Integrado (SGI), lo convierten en un activo estratégico para organizaciones que buscan minimizar riesgos y optimizar sus operaciones.
