Por Fabiana Tejerina, associate partner de Consultoría de EY Perú
Durante años, las estrategias de ciberseguridad se han concentrado en proteger los activos más críticos de las organizaciones. Sin embargo, en un entorno cada vez más interconectado y acelerado por la inteligencia artificial (IA), fortalecer la resiliencia en ciberseguridad exige ampliar esa mirada e identificar riesgos que pueden estar desarrollándose fuera de los espacios tradicionalmente monitoreados.
El Estudio Global de Perspectivas de Liderazgo en Ciberseguridad 2026 de EY, que recoge las respuestas de más de 800 líderes de ciberseguridad, identificó que el 36% de los activos de las organizaciones se encuentra en lo que EY denomina la “zona de vulnerabilidad”, es decir, aquellos activos con niveles de visibilidad y cobertura de ciberseguridad por debajo del promedio.
¿Cuáles son los activos más vulnerables ante brechas de ciberseguridad?
Este hallazgo evidencia que no todos los riesgos se concentran en los activos considerados estratégicos o de mayor valor para el negocio. En muchos casos, las vulnerabilidades pueden encontrarse en activos que reciben menor atención, pero que igualmente pueden convertirse en puntos de acceso para amenazas cada vez más sofisticadas.
Al respecto, el estudio identificó que los activos con mayor probabilidad de ubicarse dentro de la zona de vulnerabilidad son los de tecnología operativa (OT) y los activos físicos, seguidos por los ecosistemas y terceros (49%), los sistemas y herramientas de IA (47%) y la infraestructura de red (38%).
En ese sentido, para reducir esta “zona de vulnerabilidad”, el primer paso es ganar visibilidad. Ello exige dejar atrás enfoques predominantemente manuales e incorporar herramientas apoyadas en IA generativa que permitan mapear activos, identificar exposiciones y comprender mejor las relaciones entre sistemas, usuarios, proveedores y procesos críticos.
La importancia de ganar visibilidad
Las organizaciones que avanzan en esta dirección —denominadas por el estudio Secure Creators— utilizan IA para mejorar la visibilidad de sus activos y, al mismo tiempo, integran la ciberseguridad desde el diseño de sus soluciones de IA. Esto implica proteger los desarrollos, incorporar controles durante el ciclo de vida de los agentes de IA y coordinar mejor las capacidades de seguridad con el resto de la empresa.
El desafío también exige preparar las defensas para responder a la velocidad de las amenazas. De acuerdo con el estudio, solo el 45% de los responsables de ciberseguridad considera que su organización está preparada para enfrentar amenazas habilitadas por IA, mientras que apenas el 21% cree que lo está para responder a amenazas impulsadas por tecnologías cuánticas.
En materia de resiliencia, también debe tomarse en cuenta que cada vez más organizaciones dependen de terceros para la gestión de procesos empresariales críticos.
Evitar la dependencia a actores externos
Esta dependencia incrementa la exposición de los activos internos debido a la interacción directa entre los recursos de la organización y los proveedores de software en la nube (proveedores SaaS). Para protegerse frente a este riesgo, es necesario realizar evaluaciones de proveedores, establecer conexiones seguras con privilegios mínimos, implementar un monitoreo continuo y aplicar controles de protección durante la ejecución de los procesos.
En este nuevo escenario, fortalecer la resiliencia ya no consiste únicamente en responder mejor ante un incidente, sino también en anticiparse a una superficie de riesgo cada vez más dinámica, interconectada y difícil de observar. Las organizaciones que logren ampliar su visibilidad, gobernar tanto sus activos críticos como aquellos menos visibles e integrar la ciberseguridad desde el diseño de sus capacidades de IA estarán mejor preparadas para enfrentar la próxima ola de amenazas digitales.
