La ciberseguridad en un mundo digital en movimiento

Al incorporar la IA, las empresas están incrementando su exposición a modelos, plataformas y servicios externos cuya seguridad también deben considerar. A las dificultades que ya planteaban la nube y las brechas en terceros, se añade la necesidad de proteger entornos de IA. Los ataques dirigidos a sistemas de IA encabezan las amenazas para las que las organizaciones se sienten menos preparadas: la mitad de los responsables tecnológicos y de seguridad los incluyen entre sus cinco principales carencias de preparación ante amenazas de ciberseguridad, proporción que alcanza el 57% en España.

La IA está aumentando las capacidades de los atacantes. Más allá de aprovechar deficiencias conocidas de seguridad con mayor velocidad, los modelos de IA más avanzados (modelos frontera) pueden identificar vulnerabilidades de software hasta entonces desconocidas y explotar sus debilidades mediante secuencias de ataque que requieren poca intervención humana. Para los equipos de defensa, esto reduce el margen disponible para identificar y corregir la exposición antes de que se explote.

Las redes de dispositivos comprometidos controladas por IA, los ataques adversarios y el envenenamiento de datos (data poisoning) figuran como los ataques basados en IA para los que las organizaciones se sienten menos preparadas. En España destacan los ataques adversarios, que alteran las entradas de los sistemas para provocar resultados incorrectos, y el malware adaptativo, señalados por el 48% y el 47% de los participantes. 

La geopolítica está transformando el panorama del ciberriesgo. Las operaciones ciber de actores estatales se han convertido en un componente permanente de la competencia geopolítica, tanto en tiempos de conflicto como de paz. El alcance de estas operaciones en entornos digitales y físicos amplía el ámbito de la ciberseguridad tanto a la tecnología operacional (OT) como a las infraestructuras físicas críticas para el negocio. 

Ante esto, las organizaciones prestan más atención a su cadena de suministro de software mientras diversifican proveedores. El 50% de los encuestados revisa su gestión del riesgo de proveedores, terceros y cadena de suministro, frente al 56% en España.

Mientras la IA concentra buena parte de la atención inmediata, la preparación frente a la computación cuántica exige decisiones cuyo efecto se verá a más largo plazo. La exposición a la computación cuántica ocupa el séptimo lugar entre las amenazas para las que las organizaciones se consideran menos preparadas. Los CISO, sin embargo, la sitúan en cuarto lugar entre sus principales preocupaciones, lo que sugiere que quienes están más próximos al ciberriesgo perciben una mayor urgencia por prepararse.

Sin embargo, solo el 21% (22% en España) declara estar implementando medidas de seguridad resistentes a la computación cuántica. En España, además, un 44% sigue en fase de exploración, como muestra la figura 3. Pasar de ese análisis a la ejecución requiere inventariar los activos criptográficos, asignar responsabilidades y entender las dependencias de proveedores. Integrar estos trabajos en la modernización tecnológica permitirá ordenar una transición prolongada sin esperar a que el riesgo obligue a actuar con urgencia. 

El desarrollo de estas capacidades se está viendo reflejado en un incremento presupuestario. El 84% de los directivos encuestados prevé un aumento del presupuesto de ciberseguridad en 2027, frente al 74% en España, ocupando la IA la primera de las prioridades de inversión, con un 58% a nivel global y un 52% en España. Esta prioridad resulta coherente con el nivel de preparación y el potencial defensivo que perciben las organizaciones. Más allá de la IA, la nube ocupa la segunda posición global, mientras que en España destacan la gestión de amenazas y de identidades y accesos, seguidas de los servicios gestionados.

Dentro de la inversión en IA, su gobierno responsable y el cumplimiento reciben la mayor atención, por delante del refuerzo de plataformas y la seguridad de su cadena de suministro. En España también destaca el control del uso de IA fuera de los mecanismos corporativos (shadow AI). Estas prioridades muestran la necesidad de acompañar la adopción de la IA con capacidades para gobernar y controlar su uso. El desafío será traducir este esfuerzo presupuestario en una reducción de la exposición y aumento de la resiliencia.

Mantener el negocio en funcionamiento cuando se produce un incidente es el objetivo último de la ciberseguridad. Sin embargo, solo el 39% de los responsables de seguridad, riesgos y operaciones afirma que sus planes de continuidad ante ciberincidentes están plenamente formalizados. España presenta un resultado más favorable, con un 50%, aunque todavía queda un recorrido importante. Además de formalizar los planes, es necesario conectar continuidad de negocio, recuperación tecnológica y gestión de crisis, y probarlas de manera conjunta antes de necesitarlas.

Para ello, conviene partir de las capacidades mínimas que permiten mantener operativa la organización y determinar qué servicios deben conservarse o recuperarse primero. Esta decisión obliga a identificar también los proveedores e infraestructuras que los sostienen, porque la resiliencia propia depende de la del ecosistema 

Muchas organizaciones están ampliando sus iniciativas de IA sin disponer de datos confiables y sin haber extendido la protección de la información que las alimenta. De media, las organizaciones han implementado de forma integral menos de la mitad de las medidas de gestión del riesgo del dato, y solo un 5% ha completado el conjunto. Las carencias abarcan desde la clasificación y prevención de fugas (donde solo el 48% ha implementado mecanismos DLP en los principales canales de salida), hasta la calidad y el control del ciclo de vida, capacidades cuyo alcance debe crecer junto con el uso de IA.

En España, la implantación de políticas de clasificación en toda la organización es más frecuente (55%) que en el conjunto global (49%), aunque las capacidades de calidad del dato se sitúan en el 31%, frente al 40% global. Este desequilibrio merece atención porque proteger el acceso a la información y asegurar su fiabilidad son condiciones necesarias para utilizarla como base de decisión en procesos automatizados.

La misma tecnología que está acelerando los ataques ofrece a los equipos de seguridad una oportunidad para ampliar su capacidad de respuesta. Allí donde el volumen de alertas y la velocidad del análisis superan lo que puede abordarse manualmente, la IA puede ayudar a detectar actividad maliciosa y concentrar la atención en los casos que requieren intervención. En este sentido, la detección de amenazas y generación de alertas encabeza las prioridades globales de aplicación de IA en ciberdefensa, seguida de la detección de fraude y de phishing.

En España, este potencial se orienta especialmente al análisis y priorización de vulnerabilidades, que ocupa el primer lugar con un 54%, frente al 41% global, seguido de la detección de amenazas y alertas. 

Confiar en una recomendación de IA y permitir que actúe sobre un entorno productivo implican niveles de riesgo diferentes. Aunque existe interés por incorporar agentes a la ciberdefensa, solo el 22% de los encuestados, tanto globalmente como en España, autorizaría una ejecución plenamente autónoma, incluidas acciones de contención y remediación de alto impacto. La autonomía parcial tiene mayor aceptación: un 38% global permitiría ejecutar acciones de bajo riesgo, manteniendo la aprobación humana para las restantes. En España, esta opción se sitúa en el 29% y tienen más peso los usos meramente consultivos, lo que sugiere una mayor cautela al delegar la ejecución.

El avance hacia una mayor autonomía será gradual. Las tareas repetibles, bien delimitadas y de riesgo acotado, ofrecen un punto de partida para comprobar cómo se comportan los agentes y qué supervisión necesitan. El enriquecimiento de inteligencia de amenazas, la cuarentena de correos de phishing o la remediación de malware figuran entre las actividades en las que existe mayor disposición a autorizarlos. 

Las dudas sobre la fiabilidad y madurez de la tecnología constituyen la principal barrera para ampliar la autonomía de agentes IA, según el 55% global y el 52% en España. Como factores que condicionan el uso de IA defensiva se añaden la falta de confianza sobre la responsabilidad y explicabilidad de las decisiones, junto con el riesgo de ataques adversarios, así como las limitaciones de competencias para supervisar y gobernar estos sistemas.

Los agentes producen resultados probabilísticos. Por ello, su grado de autonomía debe determinarse según los controles que existan entre su actuación y sus consecuencias. La salida del agente debe pasar por un control en el que el agente no pueda influir, por ejemplo, una revisión, un flujo de aprobación o la validación por otro sistema. La trazabilidad, la capacidad de intervenir y los mecanismos para revocar permisos completan una supervisión en la que debe quedar claramente asignada la responsabilidad humana. A medida que se acumulen evidencias sobre su fiabilidad, será posible valorar una mayor autonomía dentro de límites compatibles con el riesgo del negocio.

A diferencia de ediciones anteriores, las prácticas fundamentales del gobierno del ciberriesgo se muestran mejor establecidas y la implicación de la alta dirección está avanzando. Nueve de cada diez líderes coinciden en la existencia de mecanismos de supervisión del consejo, responsabilidad de la alta dirección en la gestión del ciberriesgo, así como su integración en la gestión integral del riesgo de la organización. Sin embargo, solo el 34%, frente al 41% en España, se muestra totalmente de acuerdo en que las decisiones de negocio habitualmente desencadenan una evaluación del ciberriesgo, de forma que la aplicación en el día a día parece estar menos consolidada.

Para comprobar si la estrategia de ciberseguridad reduce la exposición, responsables de seguridad, CEO y consejos coinciden en priorizar los resultados de auditoría y la eficacia de los controles, lo cual permite orientar las inversiones con criterios compartidos. Los responsables de seguridad conceden también relevancia a la frecuencia y gravedad de los incidentes y a la madurez frente a marcos de referencia, mientras que los CEO y los consejos sitúan la continuidad y los tiempos de recuperación como una de las principales métricas de referencia.

Al hacerse extensiva la IA por distintas funciones, también es necesario precisar quién responde por su gobierno y sus riesgos. Conviven modelos apoyados en tecnología, ciberseguridad o funciones específicas de IA, sin que exista una solución organizativa única. Un 26% global atribuye la responsabilidad principal a un líder o función dedicada a la IA, porcentaje que alcanza el 35% en España. Cualquiera que sea el modelo, delimitar las responsabilidades permitirá coordinar la adopción y establecer cómo se supervisan sus decisiones.

Ante estas carencias, recurrir a proveedores especializados permite incorporar capacidades difíciles de desarrollar y mantener únicamente con recursos internos. A nivel global, IA y seguridad cloud encabezan las prioridades de uso de servicios gestionados, en consonancia con las principales brechas de preparación y las prioridades de inversión. En España destaca la gestión de amenazas, elegida por el 51% frente al 39% global, seguida de la seguridad en la nube.