La Paradoja del Stakeholder Adversarial
Las relaciones no permanecen estáticas: evolucionan a través de transiciones que pueden ser graduales o abruptas, detectables o invisibles. El riesgo debe entenderse como una trayectoria, no como un estado.
El riesgo más peligroso no tiene nombre en el registro de actores. Tiene acceso, tiene historia de confianza, y tiene la invisibilidad que la propia legitimidad le otorga
La paradoja del stakeholder adversarial en sistemas de ciberseguridad: dinámica relacional, visibilidad y riesgo emergente
Una reinterpretación desde la complejidad sistémica: cuando el riesgo no reside en el actor sino en la dinámica de la relación
El análisis tradicional de stakeholders en ciberseguridad ha asumido implícitamente la estabilidad de los actores y la previsibilidad de sus relaciones. Sin embargo, en entornos caracterizados por alta interdependencia, complejidad adaptativa y exposición constante a amenazas, esta aproximación resulta insuficiente. El presente trabajo propone una reinterpretación del concepto de stakeholder adversarial desde una perspectiva relacional dinámica, desplazando el objeto de análisis del actor hacia la relación. Se introduce una tipología de tres estados relacionales —evolutiva, devolutiva y confusa o infiltrada— junto con la modelización de sus transiciones. Se argumenta que el riesgo no reside en el actor sino en la dinámica de la relación, y que la visibilidad relacional constituye la variable crítica para la gestión del riesgo en sistemas organizacionales complejos.
- 01 Introducción: la paradoja de la legitimidad y la amenaza
- 02 Marco teórico: relaciones como objeto de análisis
- 03 Tipología de relaciones: evolutiva, devolutiva y confusa
- 04 Dinámica de transición: el riesgo como trayectoria
- 05 Análisis epistemológico GAMO
- 06 Discusión: implicaciones para la gestión del riesgo
- 07 Conclusiones
- — Glosario de términos
- — Referencias
Introducción: la paradoja de la legitimidad y la amenaza
Los enfoques convencionales de gestión de riesgos en ciberseguridad han privilegiado la identificación y clasificación de actores, asumiendo que los stakeholders mantienen comportamientos relativamente estables en el tiempo. Este supuesto, heredado de los modelos organizacionales clásicos de Freeman (1984), ha permitido estructurar marcos de análisis útiles en entornos predecibles.
La evidencia empírica reciente, particularmente en ataques a la cadena de suministro, ha demostrado que actores legítimos pueden transformarse en vectores de riesgo sin modificar su identidad formal. El caso SolarWinds es la ilustración más documentada: una organización con acceso confiable y contratos vigentes se convirtió en el vector de uno de los ataques más significativos de la última década, sin que ningún mecanismo de clasificación de actores detectara la transición.
Este fenómeno introduce una paradoja fundamental: la coexistencia de legitimidad y amenaza en un mismo nodo relacional. Un actor que es simultáneamente confiable y riesgoso no puede ser gestionado mediante ninguna clasificación binaria. Solo puede ser comprendido si el objeto de análisis se desplaza desde el actor hacia la relación —entendida como una entidad dinámica con dirección, intensidad y visibilidad propias.
Marco teórico: relaciones como objeto de análisis en sistemas complejos
2.1 De los actores a las relaciones
Desde la teoría de stakeholders, las organizaciones operan en función de múltiples relaciones de interés. Al incorporar la visión de sistemas complejos adaptativos —Holland (1995), Simon (1969) y Morin (1990)— se reconoce que dichas relaciones son dinámicas, no lineales y sensibles a perturbaciones externas. Esto implica que el riesgo no puede modelarse únicamente como una propiedad de los activos o actores, sino como una manifestación emergente de las interacciones entre componentes del sistema.
2.2 Visibilidad relacional como variable crítica
La visibilidad relacional describe la capacidad del sistema de observar, comprender y monitorear sus propias interacciones. Se distinguen tres niveles: visibilidad completa (relación formalizada y monitorizada), visibilidad parcial (componentes no monitorizados) y ausencia de visibilidad (la relación existe pero el sistema no tiene conciencia de su naturaleza real). Las relaciones confusas o infiltradas operan en el tercer nivel: la organización no solo no sabe qué está pasando, sino que no sabe que no sabe.
2.3 Asimetría de información como amplificador del riesgo relacional
A medida que aumenta la asimetría entre lo que el sistema cree saber sobre sus relaciones y lo que realmente ocurre en ellas, aumenta exponencialmente la superficie de ataque disponible. El adversario no necesita superar las defensas del sistema: puede operar desde dentro de ellas, aprovechando la cobertura que la legitimidad le otorga.
Tipología de relaciones: evolutiva, devolutiva y confusa
Se propone una clasificación de las relaciones organizacionales en tres categorías dinámicas. La distinción fundamental no reside solo en el valor que generan, sino en su nivel de visibilidad y su potencial de transición hacia condiciones adversariales.
Dinámica de transición: el riesgo como trayectoria
Las relaciones no permanecen estáticas: evolucionan a través de transiciones que pueden ser graduales o abruptas, detectables o invisibles. El riesgo debe entenderse como una trayectoria, no como un estado. El siguiente diagrama narrativo describe los mecanismos de cada transición, sus señales observables y el principio sistémico que la caracteriza.
Análisis epistemológico GAMO
El marco GAMO verifica que el desplazamiento del objeto de análisis —del actor a la relación— es coherente en sus fundamentos gnoseológicos, axiológicos, metodológicos y ontológicos.
| Dimensión | Análisis GAMO de la dinámica relacional | Implicación para el diseño del sistema | Principio resultante |
|---|---|---|---|
| Gnoseológica | El conocimiento organizacional sobre sus propias relaciones es inherentemente incompleto. La existencia de relaciones confusas no es una falla de inteligencia corregible: es una condición estructural derivada de la complejidad. El sistema no puede conocer todas sus interacciones porque algunas emergen de la combinación de otras, y el mapa formal nunca coincide exactamente con el mapa real de relaciones. | El análisis de riesgo debe incorporar explícitamente la incertidumbre sobre el conocimiento de las propias relaciones, no solo sobre las amenazas externas identificadas. | El sistema que cree conocer todas sus relaciones ha construido un mapa más peligroso que no tener mapa: le da falsa certeza sobre un territorio que no controla. |
| Axiológica | Los valores que sustentan las relaciones evolutivas —confianza, cooperación, continuidad— son exactamente los que generan las condiciones de las relaciones confusas. No es posible eliminar la confianza sin destruir la capacidad operativa. La gestión del riesgo relacional no consiste en reducir la confianza, sino en diseñar mecanismos que la validen de forma continua. | La organización debe desarrollar una cultura de verificación continua que sea compatible con los valores de confianza que sostienen sus relaciones evolutivas. | Confiar sin verificar es una decisión de riesgo. Verificar sin confiar es una decisión de parálisis. La madurez está en diseñar la verificación dentro de la confianza. |
| Metodológica | Los métodos tradicionales de análisis de stakeholders —mapas de actores, matrices de influencia-interés, clasificaciones estáticas— no capturan la dinámica de las relaciones en el tiempo. Se requieren métodos que midan cómo se comportan los actores, en qué dirección se mueven sus relaciones y qué patrones anómalos emergen de sus interacciones. | El análisis de riesgo relacional requiere metodologías de monitoreo continuo del comportamiento, no solo de clasificación periódica de actores. | Un método que solo fotografía a los actores en un momento no puede detectar la trayectoria que los lleva de la confianza a la adversarialidad. |
| Ontológica | El stakeholder adversarial no es un tipo de actor: es una condición emergente de la relación. No es posible identificar de antemano quién será adversarial, porque la adversarialidad emerge de la dinámica relacional, no de una propiedad fija del actor. El objeto de análisis correcto no es el actor sino la relación en el tiempo. | El diseño de sistemas de gestión de riesgo debe tener como objeto de análisis la dinámica relacional, no el inventario de actores y sus clasificaciones estáticas. | El adversario no se declara: emerge. Y emerge de las condiciones que el propio sistema crea al gestionar sus relaciones con más atención a la forma que al fondo. |
Discusión: implicaciones para la gestión del riesgo en entornos regulados
Sobre el objeto de auditoría
Las auditorías tradicionales evalúan controles aplicados a activos y actores clasificados. El modelo relacional propone ampliar ese objeto: las auditorías deben incluir el mapeo de la dinámica relacional real versus la formalizada, identificando explícitamente las relaciones confusas o parcialmente visibles que no aparecen en los registros formales.
Sobre la frecuencia de evaluación
Una clasificación de stakeholders realizada anualmente no puede capturar una trayectoria relacional que puede transitar de evolutiva a confusa en semanas. La frecuencia de evaluación debe ser proporcional a la velocidad con que las relaciones pueden cambiar de estado, no al ciclo administrativo de la organización.
Sobre el diseño de controles
Los controles diseñados para actores específicos en estados conocidos son insuficientes ante la dinámica relacional. Se requieren controles capaces de detectar cambios en la dirección de las relaciones, independientemente de la identidad del actor involucrado: análisis de comportamiento relacional, detección de anomalías en patrones de acceso y monitoreo de dependencias no documentadas.
Sobre la confianza como variable de diseño
La confianza no puede tratarse como un estado alcanzado sino como una variable que debe mantenerse actualizada mediante verificación continua. En el contexto del sector financiero boliviano bajo el RGSI, esta implicación es especialmente relevante: los marcos prescriptivos actuales asumen implícitamente la estabilidad relacional que el modelo demuestra que no existe.
Conclusiones
Términos clave del artículo
Referencias
Freeman, R. E. (1984). Strategic Management: A Stakeholder Approach. Pitman.
Holland, J. H. (1995). Hidden Order: How Adaptation Builds Complexity. Addison-Wesley.
MITRE. (2024). ATT&CK Framework v15. MITRE Corporation.
Morin, E. (1990). Introduction à la pensée complexe. ESF Éditeur.
NIST. (2018). Framework for Improving Critical Infrastructure Cybersecurity (v1.1). National Institute of Standards and Technology.
NIST. (2012). Guide for Conducting Risk Assessments (SP 800-30 r1). National Institute of Standards and Technology.
Perrow, C. (1984). Normal Accidents: Living with High-Risk Technologies. Basic Books.
Simon, H. A. (1969). The Sciences of the Artificial. MIT Press.
Teece, D. J., Pisano, G., & Shuen, A. (1997). Dynamic capabilities and strategic management. Strategic Management Journal, 18(7), 509–533.
Weick, K. E. (1995). Sensemaking in Organizations. Sage Publications.
Autor / Redactor / Director
