El Arte de la Guerra, escrito por el estratega militar chino Sun Tzu en el siglo V a.C., es un tratado militar clásico cuya influencia trasciende el ámbito bélico. Sus principios, centrados en la victoria sin combate directo mediante superioridad moral, planificación estratégica y engaño, son aplicables a disciplinas modernas como la protección de datos y la ciberseguridad.
Este artículo adapta los 13 principios de Sun Tzu al mundo de la seguridad de la información, ofreciendo un marco estratégico frente a ciberamenazas:
1. Criterios estratégicos
Sun Tzu afirma: «La autoridad es una cuestión de inteligencia, honradez, humanidad, valor y severidad«, «disciplina quiere decir organización, cadena de mando y logística«, «la formación y los procedimientos utilizados en la estrategia militar no deben ser divulgados previamente» y «si conoces a los demás y te conoces a ti mismo, ni en cien batallas correrás peligro; si no conoces a los demás, pero te conoces a ti mismo, perderás una batalla y ganarás otra; si no conoces a los demás ni te conoces a ti mismo, correrás peligro en cada batalla«.
En la protección de datos, antes de actuar, es esencial realizar un análisis exhaustivo del entorno digital: identificar amenazas, evaluar vulnerabilidades, recursos disponibles y capacidades de liderazgo. Esto implica analizar el terreno y al adversario. Con base en este análisis, se deben diseñar políticas de seguridad, planes de respuesta a incidentes y estrategias defensivas adaptadas.
2. En medio de la batalla
Sun Tzu enfatiza: «Lo importante en una operación militar es la victoria y no la persistencia«.
Durante un ciberataque, la respuesta debe ser rápida, eficiente y económica en recursos. La clave está en detectar, contener y mitigar el incidente de inmediato para minimizar daños. Un ataque prolongado, sin una estrategia clara, agota recursos humanos y financieros. La prevención proactiva, como sistemas de detección temprana, es fundamental para evitar conflictos innecesarios.
3. La planificación de un asedio
Sun Tzu enseña: «Un verdadero maestro de las artes marciales vence a otras fuerzas enemigas sin batalla, conquista otras ciudades sin asediarlas y destruye a otras naciones sin emplear mucho tiempo«. «Es imprescindible luchar contra todas las facciones enemigas para obtener una victoria completa, de manera que su ejército no quede acuartelado y el beneficio sea total. Esta es la ley del asedio estratégico«.
La mejor defensa en ciberseguridad es prevenir, no combatir. Medidas como cifrado robusto, segmentación de redes, autenticación multifactor y monitoreo continuo debilitan al adversario antes de que ataque. La victoria radica en anticiparse al enemigo, no en enfrentarlo directamente.
4. El orden de batalla
Sun Tzu sostiene: «La invencibilidad está en uno mismo, la vulnerabilidad en el adversario«. «Las victorias que se ganan en batalla no son debidas a la suerte. Sus victorias no son casualidades, sino que son debidas a haberse situado previamente en posición de poder ganar con seguridad, imponiéndose sobre los que ya han perdido de antemano«. «Los que utilizan bien las armas cultivan el camino y observan las leyes. Así pueden gobernar prevaleciendo sobre los corruptos«.
Una defensa sólida requiere múltiples capas de seguridad: firewalls, antivirus, cifrado, monitoreo continuo y políticas de acceso mínimo. Identificar y explotar las debilidades del atacante, como errores en su malware, permite neutralizar amenazas de manera efectiva.
5. La fuerza
Sun Tzu destaca: «Hacer que los ejércitos sean capaces de combatir contra los adversarios sin ser derrotado es una cuestión de emplear métodos ortodoxos y métodos heterodoxos«. «Los buenos guerreros buscan la efectividad en la batalla a partir de la fuerza del ímpetu y no de la fuerza de cada soldado. Así pues, son capaces de escoger a la gente y dejar que la fuerza del ímpetu haga su trabajo«.
Un equipo de ciberseguridad debe ser diverso, con habilidades complementarias que maximicen el potencial colectivo. La colaboración entre expertos en redes, análisis forense, criptografía y gestión de riesgos es clave para una defensa robusta. La sinergia de talentos asegura resultados excepcionales.
6. Vacío y lleno
Sun Tzu aconseja: «Los que llegan primero al campo de batalla y esperan al adversario están en posición descansada; los que llegan los últimos al campo de batalla y entablan la lucha quedan agotados«. «Si puedes atacar a unos pocos soldados con muchos, diezmarás el número de tus adversarios«. «Cuando se dispone de pocos soldados, se está a la defensiva contra el adversario; el que dispone de muchos, hace que el enemigo tenga que defenderse«. «La victoria en la guerra no es repetitiva, sino que adapta su forma continuamente«.
En ciberseguridad, esto implica realizar auditorías y pruebas de penetración para identificar y corregir vulnerabilidades antes de que sean explotadas. Fortalecer los endpoints, aplicar parches de software y proteger cuentas privilegiadas son acciones esenciales para convertir las debilidades propias en fortalezas.
7. La lucha armada
Sun Tzu señala: «La dificultad de la lucha armada es hacer cercanas las distancias largas y convertir los problemas en ventajas». «un ejército perece si no está equipado, si no tiene provisiones o si no tiene dinero«. «Utilizar el orden para enfrentarse al desorden, utilizar la calma para enfrentarse con los que se agitan, esto es dominar el corazón.
Durante un incidente, el equipo de ciberseguridad debe actuar con coordinación y seguir un plan de respuesta claro para evitar el caos. La inversión en herramientas y formación es crucial para garantizar una defensa efectiva y sostenible.
8. Las variables
Sun Tzu advierte: «La norma general de las operaciones militares es que el mando militar recibe órdenes de la autoridad civil para formar un ejército«. «Los generales que conocen todas las variables posibles para aprovecharse del terreno saben cómo manejar las fuerzas armadas. Si los generales no saben cómo adaptarse de un modo ventajoso, aunque conozcan la disposición del terreno, no pueden aprovecharse de él. Si están al mando de ejércitos, pero ignoran las artes de la total adaptabilidad, aunque conozcan el objetivo a lograr, no pueden hacer que los soldados luchen por él«. «Si el ejército no tiene disciplina, esto quiere decir que el general no es tomado en serio«.
Cada organización enfrenta amenazas únicas. Las medidas de seguridad deben diseñarse según el sector, tamaño y tipo de datos. Un liderazgo adaptable, capaz de tomar decisiones en contextos cambiantes, es esencial para el éxito.
9. Maniobras militares
Sun Tzu recomienda: «Generalmente, un ejército prefiere un terreno elevado y evita un terreno deprimido, aprecia la luz y detesta la oscuridad«. «Si se mueven los árboles, es que el enemigo se está acercando. Si hay obstáculos entre los matorrales, es que has tomado un mal camino«. «Si el enemigo ve una ventaja pero no la aprovecha, es que está cansado«. «Si se castiga a los soldados antes de haber conseguido que sean leales al mando, no obedecerán, y, si no obedecen, serán difíciles de emplear«.
La planificación estratégica, la disciplina en la ejecución y el liderazgo efectivo son fundamentales. Conocer las debilidades del atacante, como patrones predecibles en sus ataques, permite anticiparse y neutralizar amenazas.
10. El terreno
Sun Tzu explica: «Algunos terrenos son fácilmente transitables, otros son difíciles, algunos son neutros, otros son estrechos, accidentados 0 abiertos«. «Cuando los generales son débiles y carecen de autoridad, cuando las órdenes no son claras, cuando oficiales y soldados no tienen solidez y las formaciones son anárquicas, se produce la revuelta«. «Los generales que son derrotados son aquellos que son incapaces de calibrar a los adversarios, entran en combate contra fuerzas superiores en número o mejor equipadas, y no seleccionan a sus tropas según los niveles de preparación de las mismas«.
En ciberseguridad, el «terreno» es el entorno digital. Las tácticas deben adaptarse a él, utilizando herramientas precisas para proteger sistemas sin comprometer recursos propios. Anticiparse al enemigo mediante monitoreo proactivo evita ataques sorpresa.
11. Las nueve clases de terreno
Sun Tzu detalla: «No combatas en un terreno de dispersión, no te detengas en un terreno ligero, no ataques en un terreno clave [ocupado por el enemigo], no dejes que tus tropas sean divididas en un terreno de comunicación. En terrenos de intersección, establece comunicaciones; en terrenos difíciles, entra a saco; en terrenos desfavorables, continúa marchando; en terrenos cercados, haz planes; en terrenos mortales, lucha«.
Adaptarse a las circunstancias del terreno es crucial. Por ejemplo, el monitoreo continuo permite anticiparse a amenazas. Ensayar planes de respuesta y prepararse para escenarios críticos asegura una reacción efectiva.
12. El ataque mediante el fuego
Sun Tzu advierte: «Ganar combatiendo o llevar a cabo un asedio victorioso sin recompensar a los que han hecho méritos trae mala fortuna y se hace merecedor de ser llamado avaro«. «La ira puede convertirse en alegría, y la cólera puede convertirse en placer, pero una nación destruida no se puede hacer renacer, y la muerte no puede convertirse en vida«.
Reconocer y recompensar a los miembros del equipo que enfrentan amenazas fortalece la moral y la lealtad. Proteger los activos digitales es esencial para evitar pérdidas irreparables, como la destrucción de datos o la reputación de la organización.
13. Sobre el uso de espías
Sun Tzu enfatiza: «La información previa no puede obtenerse de fantasmas ni espíritus, ni se puede tener por analogía, ni descubrir mediante cálculos. Debe obtenerse de personas; personas que conozcan la situación del enemigo«.
En el contexto actual, los «espías» son expertos en ciberseguridad, como hackers éticos, que identifican vulnerabilidades y anticipan las tácticas de los atacantes. Su conocimiento es crucial para fortalecer las defensas y mantenerse un paso adelante.
Conclusión
Los principios de El arte de la guerra de Sun Tzu ofrecen un marco estratégico atemporal.
La planificación meticulosa, la prevención proactiva, la adaptabilidad frente a las amenazas y el uso eficiente de recursos y talento humano son esenciales para anticiparse a los ciberataques. Al aplicar estas enseñanzas, las organizaciones pueden construir defensas robustas, proteger sus activos digitales y lograr la «victoria» sin necesidad de combatir directamente, asegurando la seguridad y continuidad en un mundo cada vez más interconectado y vulnerable.
No se pierda nuestro podcast sobre el artículo
