Cerrando las brechas hacia la ciberresiliencia: El manual de estrategias para los ejecutivos

Con la magnitud del ataque que continúa expandiéndose a través de los avances en inteligencia artificial, dispositivos conectados y tecnologías en la nube, así como un entorno regulatorio en constante cambio, lograr resiliencia cibernética a nivel empresarial es fundamental.

Sin embargo, a pesar de la conciencia generalizada de los desafíos y situaciones vividas del pasado, aún persisten brechas significativas. Para proteger a sus organizaciones, los ejecutivos deben tratar la ciberseguridad como un tema permanente en la agenda empresarial, incorporándolo en cada decisión estratégica y exigiendo la colaboración de altos ejecutivos. 

La Encuesta Global Digital Trust Insights 2025 de PwC reveló que existen brechas importantes que las empresas deben superar antes de llegar a ser ciberesilientes. 

• Brechas en la implementación: A pesar de las crecientes preocupaciones sobre el riesgo cibernético, solo el 2% de los ejecutivos asegura que su empresa ha implementado acciones de ciberresiliencia en todas las áreas de su organización. 

• Brechas en la preparación: Las organizaciones se sienten menos preparadas para abordar las amenazas cibernéticas que más les preocupan, como los riesgos asociados a la nube y violaciones de seguridad de terceros.

• Brechas en la participación de los CISO: Menos de la mitad de los ejecutivos dicen que sus Chief Information Security Officers (CISO, por sus siglas en inglés) están involucrados en gran medida en la planificación estratégica, los informes a la junta y la supervisión de las implementaciones de tecnología. 

• Brechas en la confianza del cumplimiento normativo: Los directores ejecutivos y los CISO presentan diferentes niveles de confianza en la capacidad de sus empresas para cumplir con las regulaciones, especialmente con respecto a la inteligencia artificial, la resiliencia y la infraestructura.

• Brechas en la medición del riesgo cibernético: Si bien los ejecutivos reconocen la importancia de medir este riesgo, menos de la mitad lo hace de manera efectiva y solo el 15% mide el impacto financiero de manera significativa.

Todo esto indica la necesidad de una mejor colaboración entre la alta dirección y una inversión estratégica para fortalecer la resiliencia cibernética. Al abordar estas brechas y hacer de la ciberseguridad una prioridad empresarial, los ejecutivos pueden apuntar hacia un futuro más seguro. Los CISO pueden contribuir a este resultado compartiendo conocimientos basados en la tecnología y explicando las prioridades cibernéticas en términos empresariales (costo, oportunidad y riesgo).

Mientras el panorama de la ciberseguridad continúa evolucionando, las organizaciones se enfrentan a amenazas cada vez más inestables e impredecibles. La posibilidad de un ataque, impulsada por una mayor dependencia de la nube, la IA, los dispositivos conectados y terceros, exige un enfoque ágil y resiliente en toda la empresa. Alinear las prioridades y la preparación de la organización es esencial para mantener la seguridad y la continuidad del negocio.

Sin preparación para las amenazas más preocupantes

Las organizaciones están más preocupadas por aquello para lo que están menos preparadas. Las cuatro amenazas cibernéticas más preocupantes (amenazas relacionadas con la nube, operaciones de piratería informática y fuga de información, infracciones de terceros y ataques a productos conectados) coinciden con las áreas en las que los ejecutivos de seguridad se sienten menos preparados para abordar. Esta brecha resalta la urgente necesidad de realizar mejores inversiones y desarrollar capacidades de respuesta más sólidas.

Además, existe una brecha de percepción entre los ejecutivos de seguridad y el resto de la organización, ya que los CISO y CSO tienden a clasificar el ransomware entre las tres amenazas más preocupantes. Esto puede reflejar en su función, ya que el ransomware es más central para las tareas cibernéticas/de TI, y quienes desempeñan esa función probablemente comprenden las vulnerabilidades mejor que sus pares comerciales. Esto refuerza aún más la importancia de un mejor intercambio de información entre los equipos de liderazgo para crear una alineación en las prioridades.

Si bien el avance rápido de la IA generativa (GenAI) está generando nuevas oportunidades en todas las industrias, también presenta riesgos de ciberseguridad. A medida que las organizaciones adoptan GenAI y otras tecnologías emergentes, los directivos deben abordar vectores de ataque más complejos e impredecibles, obstáculos de integración y la naturaleza de doble filo de GenAI tanto en la ciberdefensa como en la ofensiva. Detrás de estos desafíos, hay importantes problemas legales y de datos que pueden complicar la implementación y la gobernanza de GenAI.

Aprovechando GenAI para la ciberdefensa: oportunidades y desafíos

Aunque GenAI está aumentando el panorama de riesgos cibernéticos para la mayoría de las organizaciones, los ejecutivos también están utilizando esta misma tecnología para la defensa cibernética. Las tres principales formas en que aprovechan la GenAI incluyen la detección y respuesta ante amenazas, la inteligencia sobre amenazas y la detección de malware y phishing. 

Sin embargo, a pesar de estas oportunidades, las organizaciones enfrentan varios obstáculos al incorporar GenAI en sus estrategias de ciberdefensa: 

• Dificultad para integrarse con sistemas/procesos existentes (39%)

• Falta de confianza en GenAI por parte de las partes interesadas internas (39%)

• Controles internos y gestión de riesgos inadecuados (38%)

• Falta de políticas internas estandarizadas que regulen su uso (37%)

Los marcos regulatorios exigen a las empresas que cumplan rápidamente con una gama cada vez mayor de requisitos. Una oleada de nuevas regulaciones (DORA, Ley de Resiliencia Cibernética, Ley de Inteligencia Artificial, CIRCIA, Ley de Ciberseguridad de Singapur, etc.) subraya la urgencia de que las organizaciones adapten sus prácticas a estas mayores expectativas. A medida que las empresas abordan estas demandas, se enfrentan a una brecha crítica en la confianza entre los CISO/CSO y los CEO con respecto a su capacidad para lograr el cumplimiento total. Abordar estos desafíos es esencial para construir una postura de ciberseguridad resiliente y compatible que pueda soportar tanto el escrutinio regulatorio como las amenazas emergentes.

Brecha de confianza: los CISO se sienten menos seguros que los CEO sobre el cumplimiento cibernético

A pesar de la creencia de que las regulaciones cibernéticas están ayudando a la organización, existe una diferencia significativa entre la confianza de los CEO y los CISO/CSO en su capacidad para cumplir con estas regulaciones. Las brechas más grandes involucran el cumplimiento de los requisitos de IA, resiliencia e infraestructura crítica. Los CISO, que están en la primera línea de la ciberseguridad, son menos optimistas que los CEO sobre la capacidad de su organización para cumplir con estos requisitos regulatorios. 

Dado que los CISO están más en sintonía con las dificultades operativas cotidianas, las limitaciones de recursos y las posibles vulnerabilidades que pueden obstaculizar el cumplimiento de las normas cibernéticas, es fundamental que comuniquen estos riesgos de manera más eficaz al equipo de liderazgo. ¿Qué los impide? Los obstáculos potenciales incluyen barreras a la participación de los CISO en las decisiones estratégicas y la incapacidad de justificar la cantidad de inversión en riesgos cibernéticos necesaria.

Liberando el potencial de la cuantificación del riesgo cibernético: ¿Qué está frenando a las organizaciones?

A medida que las ciberamenazas evolucionan rápidamente en alcance y sofisticación, la cuantificación del riesgo cibernético se ha convertido en una herramienta fundamental que las organizaciones no pueden permitirse pasar por alto. Sin embargo, a pesar de sus beneficios ampliamente reconocidos, varios desafíos (problemas de calidad de los datos, confiabilidad de los resultados, etc.) han impedido una adopción más amplia.

La medición del riesgo cibernético es fundamental pero limitada

Si bien los ejecutivos coinciden en gran medida en que medir el riesgo cibernético es crucial para priorizar la inversión en riesgo cibernético (88%) y asignar recursos a las áreas de mayor riesgo (87%), solo el 15% de las organizaciones realmente lo están haciendo en una medida significativa (por ejemplo, cuantificación extensa del riesgo cibernético con automatización e informes exhaustivos). 

En el caso de las organizaciones que sí miden el riesgo, siete de cada diez ejecutivos indican que utilizan evaluaciones de seguridad para cuantificar el riesgo residual teniendo en cuenta la eficacia de los controles clave, como el cumplimiento de la corrección de vulnerabilidades, las revisiones de acceso de los usuarios y la finalización de la formación. Sin embargo, la adopción de prácticas de cuantificación de riesgos cibernéticos más completas sigue siendo limitada.

A medida que la ciberseguridad se va convirtiendo en una prioridad empresarial crítica, las organizaciones están empezando a ver su potencial como un diferenciador clave y una forma de mejorar su reputación y confiabilidad. Para prepararse, muchas están aumentando sus presupuestos cibernéticos con especial atención a la protección de datos y la confianza. Al invertir estratégicamente en estas áreas, las empresas no solo están generando resiliencia, sino que también se están posicionando de manera positiva ante sus clientes.

Se espera que los presupuestos cibernéticos aumentan el próximo año

Los presupuestos en materia de ciberseguridad se mantienen en línea con los del año pasado, y las organizaciones más pequeñas invierten un porcentaje mayor de sus recursos en comparación con las organizaciones más grandes. Esto probablemente refleja que las organizaciones más pequeñas están tratando de ponerse al día en áreas en las que las empresas más grandes ya han invertido mucho. Las organizaciones más grandes, aunque expresan inquietudes sobre las amenazas emergentes y la resiliencia, están adoptando un enfoque más mesurado en sus inversiones, probablemente debido a que cuentan con marcos de seguridad más establecidos.

Más de tres cuartas  de los ejecutivos esperan que el presupuesto cibernético de su organización aumente el próximo año. Esa cifra es mayor (82%) en el caso de las organizaciones de América del Norte y del sector de tecnología, de medios y telecomunicaciones (TMT).

Invertir en lo que más importa: la nube y la confianza en los datos van de la mano

Durante los próximos 12 meses, las organizaciones están priorizando la protección de datos, la confianza y la seguridad en la nube por sobre otras inversiones cibernéticas. Entienden que proteger la información confidencial es vital para mantener la confianza de las partes interesadas y la integridad de la marca.

Los ejecutivos empresariales y de tecnología clasifican una lista diferente de prioridades según las áreas específicas de sus funciones. 

• Los ejecutivos empresariales dicen que la protección de datos y la confianza son su principal prioridad de inversión cibernética (48%), seguida por la modernización y optimización tecnológica (43%).

• Para los ejecutivos de tecnología, la seguridad en la nube sigue siendo su principal prioridad (34 %), siguiendo la misma tendencia del año pasado. La protección de datos y la confianza son la siguiente prioridad (28%).

Ciberseguridad y confianza: la nueva ventaja competitiva

Las organizaciones consideran cada vez más la ciberseguridad como un factor diferenciador clave para obtener una ventaja competitiva. El 57% de los ejecutivos menciona la confianza del cliente y el 49% la integridad y la lealtad a la marca como áreas de influencia. A medida que aumentan las amenazas cibernéticas, una postura sólida en materia de ciberseguridad no solo implica protección, sino también la construcción de una reputación en la que los clientes y las partes interesadas puedan confiar. En un momento en que la confianza es primordial, las empresas que priorizan la ciberseguridad están mejor posicionadas para destacarse como líderes tanto en seguridad como en integridad.

Para administrar las amenazas del futuro, las inversiones por sí solas no son suficientes: las organizaciones también deben mejorar su estrategia y liderazgo en materia de ciberseguridad. Desde los esfuerzos de resiliencia retrasados hasta las deficiencias en la participación de los CISO en las decisiones estratégicas, existen áreas claras en las que se necesita una mejor alineación estratégica. Para lograrlo, las organizaciones deben emular las prácticas líderes en ciberseguridad de sus pares con mejor desempeño. Además, deben ir más allá de abordar las amenazas conocidas e implementar un enfoque ágil y seguro diseñado para las empresas, que se esfuerza por generar confianza y resiliencia duradera.

La implementación parcial no es suficiente

A pesar de la creciente preocupación por el riesgo cibernético, la mayoría de las empresas tienen dificultades para implementar plenamente la resiliencia cibernética en sus prácticas básicas. Un análisis de 12 acciones de resiliencia en las áreas de personal, procesos y tecnología indica que el 42% o menos de los ejecutivos cree que sus organizaciones han implementado plenamente alguna de esas acciones. Más preocupante aún es que solo el 2% afirma que se han implementado las 12 acciones de resiliencia en toda su organización. Esto deja una vulnerabilidad evidente: sin resiliencia completa, las empresas siguen peligrosamente expuestas a las crecientes amenazas que podrían comprometer toda la operación.

Éstas son sólo algunas áreas clave que podrían beneficiarse de la atención interorganizacional: 

• Establecer un equipo de resiliencia (sólo el 34% de los ejecutivos dice que esto se ha implementado en toda la organización)

• Desarrollo de un manual de recuperación cibernética para escenarios de pérdida de TI (solo el 35% dice que esto se ha implementado en toda la organización)

• Mapeo de dependencias tecnológicas (sólo el 31% dice que esto se ha implementado en toda la organización)

La resiliencia cibernética es una prioridad clave. ¿Por qué tantas empresas están rezagadas en áreas críticas?

Muchas empresas aún están rezagadas en la implementación de prácticas de ciberseguridad. Solo uno de cada cinco ejecutivos señala que las pone en práctica de forma habitual. Por ejemplo, solo el 20% suele anticipar los riesgos cibernéticos futuros y sólo el 21% suele asignar el presupuesto cibernético a los principales riesgos de la organización. Este retraso podría deberse a varios factores, entre ellos, la falta de previsión estratégica, recursos insuficientes o un enfoque reactivo en lugar de proactivo en materia de ciberseguridad.