Ciberseguridad Gobernanza TI 📅 Septiembre 2026 | ⏱️ 10 min de lectura
Hay una respuesta que se repite con sorprendente frecuencia cuando se le pregunta a una organización por su postura de ciberseguridad: «Nunca hemos tenido incidentes.» Es una respuesta tranquilizadora. Y en muchos casos, es incorrecta. No porque la organización mienta, sino porque nunca ha tenido la capacidad de detectar lo que ocurre en sus sistemas. La pregunta que toda alta dirección debería hacerse no es si han tenido incidentes. Es si tendrían la capacidad de saberlo.
📊 Los datos que cuestionan la confianza
181 días
Tiempo promedio que una organización tarda en detectar una brecha de seguridad, casi 6 meses
IBM Cost of a Data Breach Report 2025
48%
De las organizaciones no detectó la intrusión por sus propios medios: 34% supo por un tercero y 14% porque el atacante lo divulgó
Mandiant M-Trends 2026
53%
Del tráfico web global en 2025 fue automatizado, superando por segundo año consecutivo al tráfico humano
Imperva Bad Bot Report 2026
El problema de confundir ausencia de detección con ausencia de incidentes
Cuando una organización declara que nunca ha tenido incidentes de ciberseguridad, existen tres escenarios posibles. El primero, el más optimista, es que efectivamente no los ha tenido. El segundo es que los ha tenido pero no causaron daño visible. El tercero, y el más preocupante, es que los ha tenido y simplemente no tuvo la capacidad de detectarlos.
El dato de IBM es contundente: en 2025, el tiempo promedio que una organización tardó en identificar una brecha de seguridad fue de 181 días. Casi seis meses. Y una vez identificada, tomó en promedio 60 días adicionales contenerla, para un ciclo total de 241 días entre que el atacante entró y fue expulsado. Durante esos 241 días, el atacante tuvo acceso a los sistemas, datos y redes de la organización.
El informe M-Trends 2026 de Mandiant, elaborado sobre más de 500.000 horas de respuesta a incidentes durante 2025, aporta un matiz sobre quién descubre las brechas. Solo el 52% de las organizaciones detectó la actividad maliciosa por sus propios medios. Un 34% se enteró porque un tercero externo se lo notificó. Y un 14% lo supo porque el propio atacante divulgó el ataque.
Dicho de otra forma: casi la mitad de las organizaciones comprometidas no tenía la capacidad de detectar lo que estaba ocurriendo dentro de sus propios sistemas.
El dato que más debería preocupar
Mandiant documenta que cuando la organización detecta el incidente internamente, la permanencia media del atacante es de 9 días. Cuando se entera por notificación externa, esa permanencia media sube a 25 días. La diferencia no está en la sofisticación del ataque. Está en la capacidad de verlo.
Mandiant M-Trends 2026, sobre investigaciones realizadas en 2025
La conclusión es incómoda pero necesaria: la ausencia de incidentes reportados no es evidencia de que no han ocurrido. Es evidencia de que no hay capacidad de detección instalada, o de que esa capacidad no es suficiente.
La gobernanza de seguridad no es un tema de TI, es un tema de dirección
La gobernanza de seguridad es el conjunto de estructuras, políticas, roles y procesos que permiten a una organización tomar decisiones informadas sobre su riesgo tecnológico. No es instalar un antivirus. No es comprar un firewall. Es responder de forma sistemática a cuatro preguntas que toda organización debería poder contestar hoy.
¿Qué activos críticos tiene la organización y quién es responsable de protegerlos?
No se puede proteger lo que no se conoce. El inventario de activos, sistemas, datos, aplicaciones y accesos, es la base de cualquier programa de seguridad. Sin él, los recursos de protección se asignan sin criterio y los activos más críticos pueden quedar desprotegidos mientras se sobreprotegen los menos relevantes.
¿Cuál es el riesgo aceptable y quién lo decidió?
Toda organización tiene riesgos que no puede eliminar completamente. Solo puede decidir cuáles acepta y cuáles mitiga. Esa decisión no es técnica: es estratégica. Debe tomarla la alta dirección con información clara sobre las consecuencias de cada opción. Cuando no hay gobernanza, esa decisión no se toma. Simplemente se deja a la suerte.
¿Cómo sabría la organización que está siendo atacada hoy?
Detectar un ataque requiere capacidad de monitoreo activo: registros de actividad, alertas configuradas, umbrales de comportamiento anormal y alguien responsable de revisarlos. Sin esas capacidades, la detección depende de que el atacante cometa un error visible o de que el daño sea suficientemente grande como para notarse.
¿Qué hace la organización en las primeras horas de un incidente confirmado?
El costo de una brecha crece con cada día que pasa sin contención. Las organizaciones con planes de respuesta documentados y probados contienen los incidentes en menos tiempo y con menor daño. Las que improvisan en el momento del incidente pagan más, en tiempo, en dinero y en reputación.
ℹ️ La gobernanza no es un proyecto de un mes, una política en PDF que nadie lee, o la responsabilidad exclusiva del equipo de TI. Es un programa continuo con dueño en la alta dirección, revisiones periódicas y evidencia operativa de que los controles funcionan, no solo que existen en papel.
El nuevo escenario: IA y bots que escanean tu infraestructura sin descanso
Hasta hace pocos años, ser atacado requería que un humano te eligiera como objetivo. Hoy, la mayoría de los ataques son automatizados, y la IA aceleró esa automatización de forma dramática.
El Imperva Bad Bot Report documenta un cambio estructural. En 2024, por primera vez en una década, el tráfico automatizado superó al tráfico humano en internet, alcanzando el 51% de todo el tráfico web. En 2025 esa cifra subió al 53%, mientras el tráfico humano cayó al 47% y continúa descendiendo. De ese total automatizado, los bots maliciosos representaron el 37% de todo el tráfico de internet en 2024, un aumento desde el 32% del año anterior y el sexto año consecutivo de crecimiento.
Estos bots no están buscando a tu empresa en particular. Están escaneando sistemáticamente toda la internet en busca de vulnerabilidades conocidas, configuraciones incorrectas y servicios expuestos.
36.000
Escaneos maliciosos por segundo a escala global durante 2024, un aumento de 16,7% respecto al año anterior
FortiGuard Labs Global Threat Landscape Report 2025
97.000M
Intentos de explotación registrados solo en el segundo semestre de 2024, muchos contra vulnerabilidades divulgadas años atrás
FortiGuard Labs Global Threat Landscape Report 2025
37%
Del tráfico total de internet correspondió a bots maliciosos en 2024, sexto año consecutivo de crecimiento
Imperva Bad Bot Report 2025
Los datos de FortiGuard aportan un detalle que importa: las vulnerabilidades más explotadas en 2024 no eran nuevas. CVE-2017-0147 concentró el 26,7% de todos los intentos de explotación, y CVE-2021-44228 el 11,6%. Son vulnerabilidades divulgadas en 2017 y 2021. Los atacantes automatizados siguen obteniendo resultados con fallas que deberían haberse corregido hace años.
Lo que esto significa en términos prácticos: si tu organización tiene un sitio web, un sistema expuesto a internet, un servicio en la nube o cualquier infraestructura con conectividad externa, está siendo escaneada hoy. No en el futuro. No si alguien la elige como objetivo. Ahora mismo, bots automatizados están buscando puertos abiertos, paneles de administración sin autenticación, versiones de software desactualizadas y configuraciones incorrectas. La pregunta no es si eso ocurre. Es si tu organización tiene la visibilidad para detectarlo y los controles para bloquearlo.
El punto ciego más frecuente: la nube y el hosting
Uno de los malentendidos más costosos en seguridad informática es creer que el proveedor de hosting o de cloud es responsable de la seguridad de lo que se despliega sobre su infraestructura. No lo es. La industria tiene un nombre para explicarlo: el modelo de responsabilidad compartida.
AWS, Azure y Google Cloud protegen la infraestructura física: los centros de datos, los servidores, la red global. Eso es su responsabilidad. Pero la configuración de lo que se despliega sobre esa infraestructura, qué puertos están abiertos, qué bases de datos son accesibles, qué usuarios tienen qué permisos, si los datos están cifrados, si hay un WAF habilitado, es responsabilidad de quien usa el servicio.
Lo que los proveedores no hacen por ti, aunque muchos asumen que sí
- →No configuran ni habilitan el WAF automáticamente. Ese control debe activarlo y configurarlo quien despliega la aplicación.
- →No aplican el principio de mínimo privilegio a los accesos. Los permisos excesivos son la configuración por defecto más frecuente.
- →No cifran los datos almacenados por defecto en todos los servicios. El cifrado debe activarse explícitamente.
- →No monitorean el comportamiento anómalo de las aplicaciones. Eso requiere herramientas adicionales configuradas por el cliente.
- →No alertan si una base de datos fue dejada accesible públicamente por error. Detectarlo es responsabilidad del cliente.
La magnitud del problema tiene respaldo institucional. En diciembre de 2024, la CISA emitió la Directiva Operacional Vinculante 25-01, que mandata a las agencias federales de Estados Unidos a asegurar sus entornos cloud específicamente por la prevalencia de configuraciones incorrectas que exponen datos sensibles. Si las agencias del gobierno con mayor escrutinio del mundo requieren una directiva vinculante para corregir este problema, es razonable asumir que la mayoría de las organizaciones privadas enfrenta una situación equivalente o peor.
El WAF es un ejemplo concreto. Un WAF filtra el tráfico malicioso antes de que llegue a una aplicación web. Bloquea ataques de inyección SQL, cross-site scripting y ataques de fuerza bruta. La mayoría de los proveedores de hosting lo ofrecen como servicio adicional. La mayoría de las organizaciones no lo contratan, no lo configuran correctamente, o lo configuran en modo monitor sin activar el bloqueo. El resultado es una capa de seguridad que existe en teoría pero no protege en la práctica.
La madurez en ciberseguridad no es una meta, es un proceso continuo
Una organización madura en ciberseguridad no es la que tiene todos los controles perfectos. Es la que tiene visibilidad sobre su estado real, toma decisiones informadas sobre su riesgo y mejora sistemáticamente. Esa madurez se construye en etapas y tiene puntos de partida concretos independientemente del tamaño o sector de la organización.
Primer paso
Inventario de activos, sistemas y accesos
Identificar qué sistemas, aplicaciones y datos existen, quién tiene acceso a qué y cuál es el nivel de exposición de cada activo crítico. Sin este inventario, todo lo que viene después es especulación.
Segundo paso
Diagnóstico de brechas y vulnerabilidades
Identificar qué vulnerabilidades existen, cuáles están siendo activamente explotadas en el contexto del sector y cuál es el impacto potencial para la organización específica. Los datos de FortiGuard muestran que las vulnerabilidades más explotadas tienen años de antigüedad, lo que significa que este ejercicio suele revelar riesgos corregibles de inmediato.
Tercer paso
Controles técnicos, de proceso y de personas
Implementar los controles que reducen el riesgo más crítico con la mayor eficiencia, priorizando por impacto potencial, no por costo o comodidad. Esto incluye controles técnicos, procesos documentados y capacitación de las personas.
Cuarto paso
Visibilidad operativa y plan de respuesta
Establecer la capacidad de detectar actividad anómala, definir quién responde ante un incidente y qué hace en las primeras horas, y documentar ese protocolo antes de necesitarlo. IBM documenta que las organizaciones con uso extensivo de IA y automatización en seguridad registraron un costo promedio de brecha de USD 3,62 millones, frente a USD 5,52 millones en las que no las tienen.
Para las organizaciones sujetas a la Ley 21.663 o la Ley 21.719, la gobernanza de seguridad no es opcional. Es una obligación regulatoria con consecuencias sancionables. Para las demás, es la diferencia entre saber que están seguras y creer que lo están.
Para entender las obligaciones de la Ley 21.663, revisa nuestra entrada sobre qué es la ANCI y qué puede exigirle a tu empresa. Para las obligaciones de la Ley 21.719, revisa la guía práctica para cumplir antes de diciembre 2026. Y para la gobernanza de seguridad en entornos IT y OT, revisa nuestra entrada sobre CISM, ISO 27001 e IEC 62443.
Nunca haber tenido un incidente reportado es una buena noticia, o no es ninguna noticia. Depende de si la organización tenía la capacidad de detectarlo. En un entorno donde el tráfico automatizado supera al humano, donde los escaneos maliciosos ocurren 36.000 veces por segundo y donde casi la mitad de las organizaciones comprometidas se entera por terceros, la confianza sin visibilidad no es seguridad. Es suerte. Y la suerte no es una estrategia de gestión de riesgos.
Fuentes: IBM, Cost of a Data Breach Report 2025, elaborado con Ponemon Institute · Mandiant / Google Cloud, M-Trends 2026, basado en más de 500.000 horas de respuesta a incidentes durante 2025 · Imperva, Bad Bot Report 2025 y Bad Bot Report 2026 · FortiGuard Labs, Global Threat Landscape Report 2025 · CISA, Binding Operational Directive 25-01, diciembre 2024.
¿Tu organización sabe realmente cuál es su postura de seguridad hoy?
En CSITI realizamos diagnósticos de ciberseguridad que responden con evidencia las cuatro preguntas clave de gobernanza. El resultado es un plan de acción concreto y priorizado.
