Gobernanza de Riesgos Cibernéticos: Modelado Predictivo de Indicadores para Decisiones Estratégicas en el Pilar G (ESG)

Danieli Juliani Arguero; Elizeu Bandeira De Lima

DOI: 10.22167/2675-6528-202602808

Artículo derivado del Trabajo de Conclusión de Curso (TCC), con contenido basado en el trabajo original del alumno y adaptado al formato editorial de la Revista E&S con el apoyo de la herramienta ResumeAI, solución de inteligencia artificial desarrollada por el Instituto Pecege para síntesis y organización textual.

Resumen

La aceleración de la transformación digital y la sofisticación de las amenazas han elevado el riesgo cibernético a una máxima prioridad en la gobernanza corporativa, especialmente en la agenda ESG. Se propuso un modelo conceptual capaz de traducir datos técnicos de ciberseguridad en inteligencia estratégica para la alta dirección. El modelo utilizó un marco fundamentado en los referenciales NIST CSF 2.0, ISO/IEC 27001 e ISO 31000, convirtiendo eventos de logs de auditoría y métricas de plataformas SIEM en indicadores predictivos de riesgo. La metodología se basó en investigación aplicada, con enfoque cualitativo y objetivo exploratorio, delineada por investigación documental y revisión bibliográfica estructurada. Se utilizaron fichas de lectura y matrices de categorización cualitativa para la recolección de datos, cuyo análisis y triangulación siguieron el método de Análisis de Contenido de Bardin. Los resultados evidenciaron una brecha informacional crítica entre los frentes técnicos reactivos y el Consejo de Administración, que necesita una visión prospectiva para la asignación de recursos. Se constató, con base en informes globales y marcos regulatorios recientes, que la transición de un modelo de cumplimiento estático al uso de KPIs dinámicos y comportamentales fortalece sustancialmente la resiliencia corporativa. Se concluyó que la integración de estas métricas predictivas instrumentaliza al consejo para decisiones estratégicas más ágiles y eleva la transparencia y la integridad exigidas en el reporte del pilar de Gobernanza (G).

Palabras clave: Cumplimiento normativo; Inteligencia de amenazas; Métricas de comportamiento; Plataformas SIEM; Resiliencia corporativa.

1. Introducción

La transformación digital ha redefinido los modelos de negocio a nivel mundial, consolidando la interconectividad como un pilar esencial para la supervivencia económica. Sin embargo, esta digitalización omnipresente ha introducido vulnerabilidades que elevan el riesgo cibernético de un problema meramente técnico a una centralidad estratégica en el riesgo corporativo.

En el bienio 2025-2026, la volatilidad geopolítica y el avance de la inteligencia artificial generativa crearon un entorno de amenazas metamórficas y veloces, poniendo a prueba diariamente la capacidad de reacción de las empresas. Paralelamente, la agenda ESG (Environmental, Social and Governance) ganó fuerza, impulsada por inversores, organismos reguladores y consumidores que exigen de las organizaciones una responsabilidad que trasciende la transparencia financiera tradicional.

En este ecosistema, el pilar de Gobernanza (G) asume un papel protagonista, abarcando la supervisión rigurosa de riesgos no financieros, como la privacidad de datos y la resiliencia cibernética. En mercados internacionales, regulaciones como el Digital Operational Resilience Act (Unión Europea, 2022) y las normas de disclosure cibernético de la Securities and Exchange Commission (SEC, 2023) en Estados Unidos, refuerzan la responsabilización directa de la alta dirección y exigen transparencia sobre la eficacia de los controles.

En Brasil, la promulgación de legislaciones sólidas, como la Ley General de Protección de Datos Personales (LGPD) y la Resolución de la Comisión de Valores Mobiliarios (CVM) n° 80/2022, ha solidificado esta responsabilidad. La falla en la protección de datos se ha transformado en una infracción material de cumplimiento con serios riesgos reputacionales y financieros. El costo promedio de una violación de datos en Brasil alcanzó la marca de US$ 1,36 millones en 2024, evidenciando el impacto directo de la negligencia digital en el valor de mercado de las compañías.

Modelos de gobernanza y gestión de riesgos ampliamente reconocidos, como el COSO ERM (COSO, 2017), el COBIT 2019 (ISACA, 2018) y el NIST CSF 2.0 (NIST, 2024), consolidan la necesidad de integración sistémica entre los riesgos tecnológicos y la gobernanza corporativa. Tales directrices refuerzan que la resiliencia digital debe ser tratada como un componente indisoluble de la estrategia de negocios, exigiendo una visión holística y métricas que permitan la supervisión eficaz por parte de los administradores.

Sin embargo, se observa una brecha crítica de comunicación y comprensión de la información entre los polos operativos de TI y la alta dirección. Aunque los Consejos de Administración son legalmente responsables de la supervisión del riesgo cibernético, a menudo carecen de métricas claras e inteligibles para ejercer esta función de manera eficaz.

Los informes técnicos tradicionales se centran en el volumen de ataques bloqueados o en la jerga de infraestructura, los cuales resultan ineficaces para la toma de decisiones estratégicas prospectivas. Los frentes de gestión de seguridad utilizan herramientas como SIEM (Security Information and Event Management), plataformas que recopilan volúmenes masivos de registros de auditoría y eventos de red.

El problema central reside en la subutilización del potencial predictivo de esta masa de datos, que tradicionalmente se utiliza de forma reactiva para detectar incidentes después de su ocurrencia. Existe una desconexión latente entre lo que los registros analíticos pueden revelar sobre anomalías de comportamiento y las necesidades de información estratégica de la alta dirección. Sin indicadores claros y prospectivos, la gestión del riesgo cibernético permanece anclada en el pasado, y el reporte ESG se vuelve superficial, basado en la mera existencia declaratoria de políticas y no en la demostración de eficacia real a través de evidencias.

Este trabajo se justifica, por lo tanto, por la necesidad de llenar ese vacío informacional, proponiendo un framework conceptual que convierta logs técnicos en Key Performance Indicators (KPIs) predictivos. La investigación busca responder cómo la traducción inteligente de metadatos comportamentales puede fortalecer el pilar de gobernanza en la agenda ESG, moviendo a las empresas de una postura reactiva a una defensa basada en datos reales. Ante lo expuesto, el objetivo general de este estudio fue proponer un modelo capaz de sintetizar eventos de seguridad en inteligencia estratégica, estructurando un conjunto de indicadores que facilite la toma de decisión por el Consejo de Administración y eleve la transparencia del reporte corporativo.

2. Material y Métodos

La presente investigación se caracterizó como un estudio de naturaleza aplicada, con el propósito de generar conocimientos dirigidos a la solución de problemas estratégicos identificados en la gobernanza de riesgos cibernéticos. El enfoque metodológico adoptado fue cualitativo, según lo preconizado por Creswell (2021), quien destaca la relevancia de la investigación cualitativa para la comprensión profunda de problemas sociales o humanos, permitiendo un análisis de procesos que no serían captados solo por datos numéricos.

En cuanto a los objetivos, el estudio asumió un carácter exploratorio, ya que se centró en la construcción de un nuevo modelo conceptual. Este modelo se fundamentó en fuentes secundarias y documentales. Según la clasificación propuesta por Gil (2017), la investigación exploratoria tiene como objetivo proporcionar una mayor familiaridad con el problema, haciéndolo más explícito y facilitando la comprensión de sus matices.

El proceso investigativo se organizó en dos etapas principales de recolección de datos, seguidas por una fase de análisis integrador. La primera etapa consistió en una revisión bibliográfica estructurada, realizada para fundamentar teóricamente los tres pilares centrales del trabajo: Gobernanza Corporativa, Gestión de Riesgos de Ciberseguridad y Ciencia de Datos aplicada a logs y plataformas SIEM para modelado predictivo.

En esta primera etapa, se exploraron bases académicas orientadas a la literatura científica de los últimos diez años. El objetivo fue identificar qué indicadores predictivos ya habían sido validados o discutidos por la academia, estableciendo una base sólida para la construcción del modelo propuesto. La búsqueda se centró en estudios que abordaran la intersección entre estos pilares.

La segunda etapa de la investigación, de naturaleza documental, se centró en la recopilación de datos secundarios. Estos datos se obtuvieron de literatura gris y publicaciones institucionales de acceso público, que reflejan las prácticas de mercado más actuales y los requisitos regulatorios proyectados para el bienio 2025-2026. La investigación documental es reconocida por Lakatos y Marconi (2021) como una fuente rica y estable de datos, por utilizar documentos que aún no han recibido tratamiento analítico.

El corpus documental de análisis estuvo compuesto por una selección cuidadosa de documentos institucionales y marcos regulatorios. El muestreo fue intencional, guiado por la relevancia normativa, actualidad y adherencia temática, totalizando dieciséis documentos principales. Estos fueron subdivididos en categorías específicas para facilitar el análisis y la triangulación de la información.

Las categorías incluyeron informes de riesgos globales y tendencias sectoriales (como World Economic Forum, Gartner, ISACA, PwC y Brasscom), marcos técnicos de seguridad y gobernanza (NIST CSF 2.0, ISO/IEC 27001, ISO 31000, COSO ERM y COBIT 2019), hitos regulatorios e índices internacionales (LGPD, Resolución CVM nº 80/2022, DORA/Unión Europea, SEC y ITU), y modelos analíticos de medición y métricas (Kovrr, ManageEngine y MetricStream).

El instrumento utilizado para la recolección de información consistió en fichas de lectura y matrices de categorización cualitativa. Para garantizar la claridad y la confiabilidad del instrumento, este fue previamente revisado. Dicha revisión aseguró que las categorías de análisis estuvieran alineadas con la función “Govern” del framework NIST 2.0, fundamental para la gobernanza cibernética.

La validación de las fuentes documentales se basó en la autoridad institucional de los emisores y en su indexación en bases de datos reconocidas por la USP/ESALQ. También se procesaron informes de sostenibilidad y ESG de compañías abiertas para mapear las brechas existentes entre lo que se ejecuta operativamente y lo que se informa efectivamente a los stakeholders. Los criterios de selección de estos documentos consideraron la autoridad institucional de la fuente, el impacto regulatorio y la adherencia al objeto de investigación.

El tratamiento y análisis de los datos siguieron el método de Análisis de Contenido propuesto por Laurence Bardin (2016), operativizado en tres polos distintos. En primer lugar, se realizó el preanálisis, seguido de la exploración del material y, finalmente, el tratamiento de los resultados con inferencia e interpretación, permitiendo la extracción de significados relevantes.

En la fase de exploración del material, la información recopilada se codificó en núcleos teóricos específicos. Estos núcleos se definieron como El Riesgo, La Métrica y El Gap Informacional, sirviendo como categorías para organizar e interpretar los datos. Los datos cualitativos se sintetizaron en formatos que facilitaron la triangulación de la información.

Dada la naturaleza bibliográfica y documental del estudio, basado exclusivamente en textos científicos y documentos de dominio público que no revelan datos de identificación individual, el proyecto fue dispensado de tramitación por el sistema CEP/CONEP. Esta dispensa ocurrió conforme al párrafo único del artículo 1º de la Resolución CNS nº 510/2016. Se garantizó el uso ético de las informaciones, utilizadas estrictamente para fines académicos.

3. Resultados y Discusión

El análisis de los datos recopilados reveló un desafío estructural significativo en la integración de la ciberdefensa a los procesos de alta dirección de las organizaciones. Los hallazgos sugieren que la gobernanza moderna exige una transición de una postura meramente declaratoria a una defensa basada en evidencias concretas, utilizando indicadores que anticipen vulnerabilidades antes de su explotación. Este enfoque prospectivo es crucial para mitigar los riesgos cibernéticos y fortalecer la resiliencia corporativa. La discusión a continuación integra el panorama de amenazas previsto para 2026, las capacidades analíticas de las plataformas SIEM y la propuesta de un framework para indicadores predictivos desde la perspectiva de la gobernanza ESG.

De conformidad con el método de Análisis de Contenido de Bardin, la exploración del material documental permitió la codificación de las evidencias de los 16 documentos del corpus en tres núcleos teóricos fundamentales. El primer núcleo, denominado “El Riesgo”, se centró en el mapeo de las amenazas emergentes, identificando las superficies de ataque en inteligencia artificial agéntica, fraudes y riesgos cuánticos. Las evidencias fueron extraídas de informes de organizaciones como el World Economic Forum (WEF, 2026), Gartner (2026), PwC (2025), Brasscom (2025) y la Unión Internacional de Telecomunicaciones (UIT, 2024), subrayando la naturaleza dinámica y evolutiva del escenario de amenazas cibernéticas.

El segundo núcleo, “La Brecha de Información”, evidenció la desconexión crítica entre el lenguaje técnico utilizado por los Centros de Operaciones de Seguridad (SOC) y la responsabilidad fiduciaria del Consejo de Administración. Esta brecha impide que la alta dirección comprenda plenamente la extensión y el impacto de los riesgos cibernéticos, dificultando la toma de decisiones estratégicas. Documentos como la Resolución CVM n° 80/2022 (Brasil, 2022), la Ley General de Protección de Datos Personales (LGPD) (Brasil, 2018), las normas de la Securities and Exchange Commission (SEC, 2023), la Ley de Resiliencia Operativa Digital (Unión Europea, 2022) e informes de ISACA (2025) fueron cruciales para identificar esta disparidad.

El tercer núcleo, “La Métrica”, abordó la necesidad de estructuras de control continuo, la normalización de registros y la cuantificación financiera del riesgo cibernético. Este enfoque temático es fundamental para traducir datos técnicos en información estratégica. Los documentos asociados a este núcleo incluyeron el NIST Cybersecurity Framework 2.0 (NIST, 2024), las normas ISO/IEC 27001 e ISO 31000, el COSO ERM (COSO, 2017), el COBIT 2019 (ISACA, 2018), y modelos analíticos de Kovrr (2025), ManageEngine (2025) y MetricStream (2026). Estos marcos de referencia proporcionan la base para el desarrollo de indicadores predictivos y la integración de la ciberseguridad en la gobernanza corporativa.

Panorama Global y Local de Amenazas (2025-2026)

El panorama cibernético para 2026 está marcado por una aceleración sin precedentes de los riesgos, impulsada por los avances de la inteligencia artificial y la fragmentación geopolítica, que redefinen las fronteras de la defensa digital. El Global Cybersecurity Outlook 2026 del Foro Económico Mundial (WEF, 2026) indicó que el fraude cibernético superó al ransomware como la principal preocupación de los altos ejecutivos, desplazando el foco de la extorsión directa a la manipulación sistemática de datos e identidades. Un dato alarmante reveló que el 73% de los líderes mundiales se vieron afectados directa o indirectamente por fraudes digitales en el último año, evidenciando la naturaleza epidémica de este vector de ataque.

En Brasil, el escenario presenta una paradoja notable: el país es reconocido como modelo de compromiso regulatorio y técnico en el Índice Global de Ciberseguridad (UIT, 2024), alcanzando el nivel Tier Performance – T1: Role-modelling. Sin embargo, las empresas nacionales permanecen vulnerables debido a una postura predominantemente reactiva. El costo promedio de las violaciones de datos en el mercado brasileño tuvo un aumento significativo, posicionándose como el tercer mayor crecimiento global en 2024. Brasscom (2025) proyecta que las inversiones en ciberseguridad en Brasil sumen R$ 104,6 mil millones entre 2025 y 2028, representando un crecimiento del 43,8%, lo que indica una asignación de capital, pero la persistencia del desafío de madurez interna.

Las tendencias para 2026, identificadas por Gartner (2026), destacan que la inteligencia artificial agéntica (Agentic AI) exige supervisión urgente, ya que los agentes de IA pueden iniciar procesos y acceder a información sensible de forma autónoma, creando una superficie de ataque que muchos CISOs (Chief Information Security Officers) aún no pueden gestionar o visualizar. La computación cuántica, antes una preocupación a largo plazo, se ha convertido en una necesidad de planificación de seguridad con horizonte para 2030. La agilidad criptográfica es ahora una prioridad estratégica para evitar ataques del tipo Harvest Now, Decrypt Later (Recolectar Ahora, Descifrar Después), según los análisis.

Los principales riesgos estratégicos identificados para el bienio 2025-2026 incluyen el fraude cibernético y el phishing, que tienen un impacto operativo y reputacional significativo, siendo la principal preocupación de los CEOs y representando una quiebra de la confianza del cliente. La inteligencia artificial agentiva (Agentic AI) presenta un impacto tecnológico y sistémico, generando automatizaciones no gobernadas que pueden violar conformidades y leyes. Estos riesgos exigen una atención especial de la gobernanza para garantizar la integridad y la conformidad.

El ransomware de nueva generación, con ataques asistidos por IA, impacta financieramente y la continuidad del negocio, ya que reduce el tiempo de detección y respuesta, exigiendo un enfoque más proactivo. La computación cuántica, por su parte, representa un riesgo estratégico y a largo plazo, demandando agilidad criptográfica inmediata en la planificación para proteger datos sensibles. Finalmente, la inestabilidad geopolítica genera riesgos externos y en la cadena de suministro, manifestándose en ataques patrocinados por estados que apuntan a infraestructuras críticas, lo que exige una gobernanza robusta para la protección de activos esenciales (Gartner, 2026; WEF, 2026).

La Convergencia entre SIEM, Logs y Modelado Predictivo

Las plataformas de Security Information and Event Management (SIEM) son el núcleo de la infraestructura de detección de las corporaciones, funcionando como agregadores que recopilan metadatos de auditoría de múltiples fuentes, como servidores, endpoints, redes de nube y dispositivos de seguridad física. Sin embargo, el análisis de mercado revela que la mayoría de las empresas utiliza el SIEM solo para monitoreo reactivo y generación de alertas puntuales. La verdadera oportunidad de gobernanza reside en el uso de estos logs para el análisis conductual de usuarios y entidades (User and Entity Behavior Analytics – UEBA), transformando datos reactivos en inteligencia predictiva.

Los registros de auditoría contienen componentes vitales para la modelización predictiva, como marcas de tiempo, información de identidades, tipos de eventos y volúmenes de datos movidos. Cuando estos datos se introducen en modelos de Machine Learning, como algoritmos de Random Forest o XGBoost, la precisión en la detección de anomalías que preceden a un incidente puede alcanzar el 98%. Esto permite a la dirección identificar señales débiles de riesgo, como un intento inusual de acceso a datos sensibles en horarios atípicos o la movilidad lateral de cuentas con privilegios elevados, antes de que el ataque se materialice como una brecha catastrófica.

Sin embargo, los equipos de Security Operations Center (SOC) están sobrecargados por alertas y por la escasez de talentos cualificados. Alrededor del 66% de los profesionales informan de un estrés creciente y una sobrecarga de alertas (ISACA, 2025), y el volumen de falsos positivos consume recursos que deberían dedicarse al análisis estratégico. Por este motivo, la gobernanza debe exigir indicadores que midan la eficiencia y no solo la cantidad de logs procesados. Métricas basadas en resultados, como la Eficiencia de Correlación de Alertas (Alert Correlation Efficiency – ACE), demuestran si el sistema está generando inteligencia accionable o solo ruido operacional, dirigiendo el foco hacia la calidad de la detección.

Gobernanza (G) en ESG y el Marco NIST 2.0

La integración de la ciberseguridad en la agenda ESG es una transformación irreversible, con el pilar de Gobernanza (G) actuando como el canal natural para esta unión, dado que la ciberseguridad sustenta la credibilidad del reporte corporativo. Si los sistemas que rastrean las emisiones de carbono o los datos de la fuerza laboral se ven comprometidos, se pierde la integridad de todo el informe ESG. La publicación de la versión 2.0 del NIST Cybersecurity Framework en 2024 consolidó esta visión al introducir la función “Gobernar” como un pilar central, exigiendo que las organizaciones definan su apetito por el riesgo y alineen la estrategia cibernética con las expectativas de los stakeholders externos, como reguladores e inversores.

En Brasil, la Resolución CVM n° 80/2022 (Brasil, 2022) estableció estándares rigurosos de transparencia para emisores de valores, exigiendo que incidentes cibernéticos materiales y estrategias de gestión de riesgos sean divulgados con claridad. Esto eleva la ciberseguridad de una función de apoyo en TI a una responsabilidad fiduciaria de la dirección y del consejo. La gobernanza moderna exige el Monitoreo Continuo de Controles, garantizando que la conformidad no sea una foto estática anual, sino un flujo de evidencias reales en tiempo real, cuyas distinciones respecto a los modelos operativos son cruciales para la eficacia.

El enfoque de reporte tradicional, frecuentemente operativo, se caracteriza por una periodicidad anual o bajo demanda tras crisis, centrándose en listas de vulnerabilidades y ataques. Su público objetivo son los equipos técnicos y la gerencia de TI, y la naturaleza del dato es reactiva, describiendo lo que ya sucedió. La responsabilidad se atribuye de forma aislada al CISO (Chief Information Security Officer). En contraste, el reporte basado en evidencia, alineado a los principios ESG y al pilar G, es continuo y automatizado, con foco en la eficacia de los controles y en la resiliencia corporativa.

Para el reporte basado en evidencia, el público objetivo se expande al Consejo de Administración, inversores y reguladores. La naturaleza del dato es predictiva, indicando la probabilidad de eventos futuros, y la responsabilidad es fiduciaria y compartida con el Consejo de Administración. Esta distinción, basada en análisis de PwC (2025) y NIST (2024), resalta la necesidad de una visión más estratégica y proactiva en la gestión del riesgo cibernético, transformando la ciberseguridad en un componente integral de la gobernanza corporativa.

Modelo de Madurez de Gobernanza Cibernética: Evolución Técnica del Tratamiento de Datos

La evolución técnica del tratamiento de datos dentro del modelo propuesto refleja la madurez de la infraestructura analítica de la organización, aumentando la complejidad del procesamiento a medida que se avanza en los niveles. En la Etapa 1, denominada Reactiva, la recolección de logs es fragmentada y ocurre de forma manual o pasiva. Los datos se almacenan localmente en los activos de origen, como servidores y terminales, sin estandarización ni indexación centralizada, lo que limita el análisis a la pericia técnica tras la confirmación de un incidente, impidiendo una visión proactiva.

En la Etapa 2, Controles Aislados, las organizaciones cuentan con herramientas de seguridad puntuales que generan telemetría básica en formatos heterogéneos como Syslog, JSON o XML. El tratamiento de datos se realiza en silos, sin una capa de normalización que aplique un Modelo de Información Común (CIM – Common Information Model). La visibilidad se restringe a paneles específicos de cada proveedor, lo que impide la triangulación necesaria para una visión holística del riesgo y la identificación de patrones más amplios de amenazas.

La Etapa 3, Gestión por KPIs, consolida la integración tecnológica a través de plataformas SIEM, que centralizan e indexan masas de datos de logs de auditoría. Técnicamente, se utiliza estadística descriptiva para monitorear volúmenes, frecuencias y promedios de alertas, generando métricas como la Eficiencia de Correlación de Alertas (ACE). El enfoque recae sobre la eficiencia operativa y el cumplimiento de SLAs de remediación, marcando un avance en la capacidad de monitoreo, pero aún con una perspectiva predominantemente reactiva.

En la Etapa 4, Gobernanza Predictiva, el procesamiento de datos alcanza la capa de analítica avanzada y ciencia de datos. Se implementan algoritmos de Machine Learning, como Random Forest o XGBoost, para procesar el comportamiento de usuarios y entidades (UEBA). El sistema identifica desviaciones estadísticas sutiles en relación con líneas de base de comportamiento, permitiendo la detección de señales débiles de riesgo con una precisión de hasta el 98%. Esta capacidad predictiva es fundamental para anticipar amenazas y actuar proactivamente, transformando la gestión de riesgos.

Finalmente, en la Etapa 5, Integración al Consejo Administrativo, los datos técnicos se convierten en métricas de impacto financiero a través de la Cuantificación de Riesgos Cibernéticos (CRQ). Técnicamente, se utiliza el modelado de escenarios y simulaciones de impacto monetario para traducir el riesgo tecnológico al lenguaje de negocios. El flujo de evidencia se automatiza, garantizando la integridad de los datos para el reporte ESG y la toma de decisiones fiduciarias, elevando la ciberseguridad al nivel de rigor de las auditorías financieras tradicionales.

Límites de Variabilidad

La adaptabilidad de un framework predictivo a diferentes arquitecturas de SIEM constituye uno de los principales desafíos para la estandarización de la gobernanza cibernética. Para garantizar que el modelo preserve su precisión predictiva sin convertirse en rehén de un ecosistema propietario, la estrategia debe basarse en un enfoque agnóstico y modular. El pilar central de esta flexibilidad es la Capa de Normalización de Datos, donde los logs brutos de fuentes heterogéneas, como Syslog, JSON o XML, se transforman en campos estandarizados siguiendo un Modelo de Información Común (CIM).

Esta uniformización permite que las correlaciones estadísticas operen sobre identidades y comportamientos normalizados, independientemente de si el dato original proviene de entornos en la nube o infraestructuras locales. Adicionalmente, el mantenimiento de la precisión exige que el framework utilice Ingeniería de Atributos Agnóstica, enfocándose en variables comportamentales derivadas, como ventanas estadísticas de tiempo, frecuencia de accesos y volúmenes de tráfico, en lugar de depender exclusivamente de firmas técnicas específicas de un proveedor. El uso de APIs agnósticas y arquitecturas de SIEM compatibles permite que el procesamiento analítico sea desacoplado de la capa de almacenamiento, evitando el aprisionamiento tecnológico y asegurando que los cambios en la topología de red no degraden el poder de predicción del modelo.

Para medir la eficacia de esta adaptación en tiempo real, se recomienda la aplicación del índice de Valor de Calidad de Registro (LQV – Log Quality Value), una métrica agnóstica que evalúa si los datos recopilados poseen la fidelidad necesaria para sustentar investigaciones y predicciones confiables. Al establecer estos límites de variabilidad, la organización garantiza que su gobernanza de riesgos sea resiliente a migraciones tecnológicas, manteniendo la integridad de las evidencias exigidas por el reporte ESG, lo cual es fundamental para la credibilidad y la continuidad del negocio.

Marco Autoral GRC-PREDICT para Gobernanza de Riesgos Cibernéticos

El modelo propuesto en este estudio, denominado GRC-PREDICT (Gobernanza de Riesgos Cibernéticos, Marco de Inteligencia Predictiva), organiza la conversión de logs analíticos en KPIs predictivos a través de cuatro capas integradas, derivadas directamente de la triangulación de los núcleos teóricos del análisis de Bardin. La dimensión de Riesgo fundamenta la primera capa, la de Recopilación de Datos, enfocada en la compilación de logs críticos de activos Nivel 1 para asegurar visibilidad total sobre bases de datos, controladores de dominio, sistemas y datos más valiosos de la organización, garantizando la amplitud de la recopilación.

El eje de Métricas estructura la segunda y tercera capa. La capa de Procesamiento Analítico utiliza User and Entity Behavior Analytics (UEBA) y modelos de Machine Learning para crear líneas de base de comportamiento normal e identificar desviaciones estadísticas sutiles. Luego, la capa de Indicadores de Desempeño actúa como el núcleo de la inteligencia estratégica, traduciendo estas señales técnicas en métricas comprensibles para apoyar al Consejo de Administración en la priorización de riesgos y la asignación de presupuestos, según las necesidades de la alta dirección.

El framework GRC-PREDICT propone una serie de KPIs para el reporte de gobernanza, cada uno con su definición, cálculo y valor estratégico para el pilar G. La Eficiencia de Correlación de Alertas (ACE – Alert Correlation Efficiency), definida como la proporción entre alertas confirmados y alertas totales, evalúa la calidad de la inversión en detección. La Tasa de Problemas Recurrentes (PRR – Problem Recurrence Rate), que mide la tasa de problemas que reaparecen tras el análisis de la causa raíz, indica la madurez del aprendizaje organizacional.

El Tiempo Medio de Detección (MTTD – Mean Time to Detect), calculado como la media de días para detectar una amenaza, señala el nivel de exposición y el riesgo de impacto financiero. La Resiliencia de Phishing, expresada por el porcentaje de usuarios que reportan versus el porcentaje de usuarios que hacen clic en enlaces maliciosos, mide la eficacia del entrenamiento y la cultura de riesgo de la organización. El Impacto Financiero (CRQ – Cyber Risk Quantification), que cuantifica monetariamente el riesgo anual, traduce el riesgo cibernético al lenguaje del Director Financiero (CFO – Chief Financial Officer), facilitando la comprensión del impacto económico.

La Remediación Crítica (SLA – Service Level Agreement), que representa el porcentaje de vulnerabilidades corregidas a tiempo, demuestra la agilidad operativa de la defensa. El Score de Riesgo de Terceros, que monitorea la conformidad de los proveedores, es esencial para la gestión de riesgos en la cadena de suministro. Finalmente, el Índice de Exposición Regulatoria, que indica el porcentaje de controles pendientes en relación con normas como LGPD y CVM, tiene como objetivo la mitigación de multas y sanciones regulatorias, garantizando la conformidad legal y la reputación de la empresa (ManageEngine, 2025; MetricStream, 2026; Kovrr, 2025).

Finalmente, el mapeo de la Brecha de Información guía la cuarta capa del framework, que es la materialización de estas métricas en Dashboards de Gobernanza. Estos paneles deben ser visualmente simplificados, pero técnicamente fundamentados, apoyándose en la Cuantificación de Riesgos Cibernéticos (CRQ) para permitir que los consejeros visualicen el potencial de pérdida monetaria y comparen inversiones en ciberseguridad con otras categorías de riesgo corporativo, como crédito o mercado. Este enfoque permite una visión integrada y estratégica de los riesgos.

Aplicaciones del Marco en Sistemas Multi-unidad y Gobernanza Cooperativa

El conjunto de KPIs estandarizados que componen el framework GRC-PREDICT gana relevancia estratégica cuando se analiza desde la óptica de sistemas corporativos descentralizados o cooperativos, como el ecosistema de salud complementaria del Sistema Unimed. En estos arreglos organizacionales, se observa una tensión permanente entre la autonomía operativa de las Unimeds singulares o locales y las directrices estratégicas de estandarización emanadas de las estructuras centrales o federaciones. La cibergobernanza actúa como un elemento armonizador en esta relación, promoviendo la cohesión y la seguridad en todo el sistema.

Al adoptar una arquitectura agnóstica de datos y un Modelo de Información Común (CIM), la aplicación de este conjunto de KPIs permite que cada unidad conserve su autonomía técnica, mientras alimenta una base de datos comparable entre las singulares. La estandarización de métricas como el ACE, el CRQ y el Score de Riesgo de Terceros crea un flujo continuo de evidencias que transforma la gestión de riesgos en un motor de aprendizaje en red, posibilitando el benchmarking interno y la identificación de brechas regionales. De esta forma, la gobernanza cibernética deja de ser percibida como una imposición burocrática de la central para consolidarse como una herramienta colaborativa de gestión integradora y resiliencia sistémica.

Cambio Comportamental y ESG como Proceso Continuo

Para que la consolidación del pilar G cumpla su función transformadora, es imperativo reconocer que la cibergobernanza y la agenda ESG constituyen un proceso continuo y dinámico, asemejándose a una “película” en constante evolución, y no a una “fotografía” estática tomada en auditorías anuales. El gran desafío de las organizaciones reside en promover una verdadera transformación cultural, superando el modelo en el que la conformidad se ve como un mero cumplimiento de obligaciones burocráticas formales, e incentivando una cultura de seguridad proactiva.

La utilización de métricas conductuales, como el indicador de Resiliencia de Phishing y el análisis vía UEBA, dirige el enfoque de la gestión hacia el cambio de actitud de los colaboradores y ejecutivos. Al visibilizar en dashboards dinámicos el impacto de las acciones individuales en el riesgo corporativo, el framework estimula la construcción de una cultura de seguridad preventiva y consciente. Este compromiso continuo evita que el reporte ESG se degrade en un ejercicio puramente documental, asegurando que el compromiso con la integridad digital permee el comportamiento cotidiano de la organización, fortaleciendo la resiliencia general.

Limitaciones de la Investigación

Aunque el marco GRC-PREDICT se ha basado en marcos regulatorios de alta autoridad e informes globales actualizados, este estudio presenta limitaciones inherentes a su diseño. Destaca la ausencia de una validación cuantitativa empírica en un entorno corporativo real, lo que impide la medición inmediata de la precisión operativa de los KPIs propuestos frente a amenazas cibernéticas activas. Esta limitación impide la generalización directa de los resultados a todos los contextos operativos, exigiendo estudios futuros para su validación práctica.

Adicionalmente, la dependencia de fuentes secundarias y literatura gris, aunque necesaria para captar las tendencias de 2026, limita el análisis a la percepción institucional de órganos reguladores y consultorías. Esto puede no reflejar la totalidad de los matices operacionales de infraestructuras técnicas específicas, lo que sugiere la necesidad de investigaciones futuras que incorporen datos primarios y estudios de caso para profundizar la comprensión de las realidades prácticas y desafíos enfrentados por las organizaciones en el día a día de la gestión de riesgos cibernéticos.

En resumen, los resultados de la investigación evidenciaron una brecha informacional crítica entre los frentes técnicos reactivos y el Consejo de Administración, que demanda una visión prospectiva para la asignación eficaz de recursos. La transición de un modelo de cumplimiento estático al uso de KPIs dinámicos y comportamentales, conforme propuesto por el framework GRC-PREDICT, fortalece sustancialmente la resiliencia corporativa. La integración de estas métricas predictivas instrumentaliza al consejo para decisiones estratégicas más ágiles y eleva la transparencia y la integridad exigidas en el reporte del pilar de Gobernanza (G), respondiendo directamente al objetivo del estudio de proponer un modelo capaz de sintetizar eventos de seguridad en inteligencia estratégica.

4. Conclusión

El presente estudio tuvo como objetivo proponer un modelo conceptual capaz de traducir datos técnicos de ciberseguridad en inteligencia estratégica para la alta dirección, con el fin de fortalecer la gobernanza corporativa en la agenda ESG. Se verificó una brecha informacional crítica entre los frentes técnicos, que operan de forma reactiva, y el Consejo de Administración, que necesita una visión prospectiva para la asignación eficaz de recursos y la toma de decisiones estratégicas. La investigación demostró que las plataformas SIEM, aunque recopilan volúmenes masivos de logs de auditoría, subutilizan su potencial predictivo, siendo empleadas mayoritariamente para monitoreo reactivo. Se constató que la transición de un modelo de compliance estático al uso de Key Performance Indicators (KPIs) dinámicos y comportamentales fortalece sustancialmente la resiliencia corporativa, alineándose a las crecientes demandas regulatorias y de mercado.

La principal contribución del trabajo reside en el desarrollo del framework GRC-PREDICT, que organiza la conversión de logs analíticos en KPIs predictivos a través de capas integradas, instrumentalizando a la alta dirección para decisiones de asignación de capital fundamentadas en probabilidad y riesgo monetario. Este modelo eleva la ciberseguridad al mismo nivel de rigor que las auditorías financieras tradicionales, garantizando la transparencia y la integridad exigidas en el reporte del pilar de Gobernanza (G). Sin embargo, este estudio presenta limitaciones, como la ausencia de una validación cuantitativa empírica en un entorno corporativo real, lo que impide la medición inmediata de la precisión operativa de los KPIs propuestos y la generalización directa de los resultados. Adicionalmente, la dependencia de fuentes secundarias y literatura gris, aunque necesaria para captar tendencias futuras, limita el análisis a la percepción institucional, pudiendo no reflejar la totalidad de los matices operativos de infraestructuras técnicas específicas. Para desarrollos futuros, se sugiere la aplicación empírica del modelo en sectores de infraestructura crítica y su integración a sistemas de Inteligencia Artificial Explicable (XAI), con el objetivo de garantizar que las predicciones de riesgo sean totalmente comprensibles y auditables ante reguladores y stakeholders, consolidando la gobernanza cibernética como un requisito mínimo para la continuidad empresarial.

Referencias Bibliograficas

Bardin, L. 2016. Análise de Conteúdo. Edições 70, São Paulo, SP, Brasil.

Brasil. 2018. Lei nº 13.709, de 14 de agosto de 2018.

Brasil. 2022. Resolução CVM n° 80, de 29 de março de 2022. Dispõe sobre o Registro e a Prestação de Informações Periódicas e Eventuais dos Emissores de Valores Mobiliários Admitidos à Negociação em Mercados Regulamentados de Valores Mobiliários. Diário Oficial da União, Brasília, 30 mar. 2022.

Brasscom. 2025. Relatório de Cibersegurança 2025: Panorama e Insights. Brasscom, São Paulo, SP, Brasil. Disponível em: https://brasscom.org.br/. Acesso em: 20 abr. 2026.

Committee of Sponsoring Organizations of the Treadway Commission [COSO]. 2017. Enterprise Risk Management: Integrating with Strategy and Performance. 2ed. COSO, New York, NY, EUA.

Creswell, J.W. 2021. Projeto de Pesquisa: Métodos Qualitativo, Quantitativo e Misto. 5ed. Penso, Porto Alegre, RS, Brasil.

Gartner. 2026. Top Cybersecurity Trends for 2026. Gartner, Stamford, CT, EUA. Disponível em: https://www.gartner.com/en/articles/top-cybersecurity-trends-2026. Acesso em: 20 abr. 2026.

Gil, A.C. 2017. Como Elaborar Projetos de Pesquisa. 6ed. Atlas, São Paulo, SP, Brasil.

Information Systems Audit and Control Association [ISACA]. 2018. COBIT 2019 Framework: Introduction and Methodology. ISACA, Schaumburg, IL, EUA.

International Telecommunication Union [ITU]. 2024. Global Cybersecurity Index 2024. ITU, Geneva, Switzerland. Disponível em: https://www.itu.int/epublications/publication/global-cybersecurity-index-2024. Acesso em: 20 abr. 2026.

Lakatos, E.M.; Marconi, M.A. 2021. Fundamentos de Metodologia Científica. 9ed. Atlas, São Paulo, SP, Brasil.

National Institute of Standards and Technology [NIST]. 2024. NIST Cybersecurity Framework 2.0: Enterprise Risk Management Quick-Start Guide. NIST SP 1303. National Institute of Standards and Technology, Gaithersburg, MD, EUA.

PwC. 2025. Resiliência Cibernética: Como Superar os Desafios Diante da Expansão dos Ataques. Pesquisa Global Digital Trust Insights 2025. PwC Brasil, São Paulo, SP, Brasil.

Securities and Exchange Commission [SEC]. 2023. Cybersecurity Risk Management, Strategy, Governance, and Incident Disclosure. Disponível em: https://www.sec.gov/files/rules/final/2023/33-11216.pdf. Acesso em: 20 abr. 2026.

União Europeia [UE]. 2022. Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo a resiliência operacional digital do setor financeiro (DORA). Disponível em: https://eur-lex.europa.eu/legal-content/PT/TXT/?uri=CELEX%3A32022R2554. Acesso em: 20 abr. 2026.

World Economic Forum [WEF]. 2026. Global Cybersecurity Outlook 2026. Disponível em: https://reports.weforum.org/docs/WEF_Global_Cybersecurity_Outlook_2026.pdf. Acesso em: 20 abr. 2026.

Artículo originado del Trabajo de Conclusión de Curso de la Especialización en Compliance y ESG del MBA USP/Esalq

Para saber más sobre el curso, haz clic aquí y accede a la plataforma MBX Academy