La ciberseguridad empresarial ya no depende únicamente de proteger redes, dispositivos y aplicaciones. La creciente dependencia de servicios en la nube, proveedores, sistemas conectados e inteligencia artificial amplía la exposición y obliga a las organizaciones a revisar cómo previenen, detectan y responden ante nuevos riesgos.
El 2026 Global Digital Trust Insights de PwC, basado en una encuesta a 3.887 ejecutivos de negocio y tecnología de 72 países, refleja este cambio. El 60 % de los participantes sitúa el aumento de la inversión en riesgo cibernético entre sus tres principales prioridades estratégicas frente a la incertidumbre geopolítica.
Sin embargo, invertir más no significa necesariamente estar mejor preparado. Los resultados plantean una cuestión más profunda: si las organizaciones están destinando sus recursos a los riesgos correctos y cuentan con capacidad para anticipar, resistir y recuperarse de un incidente.
El riesgo cibernético ya forma parte de la estrategia empresarial
Los riesgos digitales están influyendo en decisiones que van mucho más allá del departamento de TI. Según PwC, además del aumento de la inversión en ciberseguridad, el 41 % de los encuestados contempla cambios relacionados con la ubicación de infraestructura crítica y el 39 % señala modificaciones en políticas comerciales y operativas o en seguros cibernéticos.
Incluso las relaciones con terceros están bajo revisión: el 26 % incluye cambios de proveedores entre sus tres principales respuestas estratégicas ante el escenario geopolítico.
Esto convierte la estrategia de ciberseguridad en una cuestión empresarial. Infraestructura, operaciones, proveedores, datos y continuidad forman parte de una misma exposición y requieren una visión conjunta.
Para una organización, conocer sus activos críticos y las dependencias que pueden afectar su operación es tan importante como implementar herramientas de protección. La seguridad comienza por entender qué necesita protegerse, de qué depende y cuál sería el impacto si deja de estar disponible.
¿Están las empresas tan preparadas como creen?
Existe una diferencia importante entre disponer de controles de seguridad y estar preparado para resistir un ataque. En el estudio de PwC, solo el 6 % de los participantes afirma que su organización es muy capaz de enfrentar ataques dirigidos a todas las vulnerabilidades evaluadas.
Entre los puntos analizados aparecen sistemas heredados, vulnerabilidades en la cadena de suministro, arquitecturas de red insuficientes, falta de visibilidad sobre endpoints, dispositivos conectados, software sin actualizar y controles débiles de autenticación y acceso.
El dato ayuda a entender la importancia de la resiliencia cibernética. Una empresa resiliente no es aquella que supone que puede evitar cualquier ataque, sino la que desarrolla capacidades para prevenir, detectar, contener, responder y recuperar sus operaciones.
Esto requiere conocer las vulnerabilidades antes de que sean aprovechadas. Un pentest y estudio de vulnerabilidades puede ayudar a identificar debilidades técnicas, configuraciones deficientes y posibles vías de ataque para priorizar acciones según el riesgo.
Invertir más no siempre significa estar mejor protegido
El presupuesto destinado a seguridad continúa creciendo. PwC señala que el 78 % de las organizaciones espera aumentar su presupuesto de ciberseguridad, pero la distribución de esos recursos muestra una situación menos clara.
El 67 % mantiene aproximadamente equilibrado el gasto entre medidas proactivas y reactivas. Solo el 24 % dedica significativamente más recursos a medidas preventivas.
Las medidas proactivas incluyen monitoreo, evaluaciones, pruebas, controles, capacitación y gobierno. Las reactivas aparecen después del incidente e incluyen respuesta, remediación, recuperación, atención a afectados, litigios y posibles multas.
Aumentar el presupuesto de ciberseguridad, por tanto, no garantiza una mayor resiliencia si los recursos no se asignan de acuerdo con los riesgos y dependencias reales de la organización.
La prevención tampoco significa acumular herramientas. Requiere identificar dónde existe mayor exposición y combinar evaluación de vulnerabilidades, monitoreo, gestión de amenazas, controles de acceso y procedimientos de respuesta.
IA y seguridad en la nube cambian las prioridades
La tecnología que amplía las posibilidades de las empresas también modifica sus necesidades de protección. Entre las prioridades de inversión identificadas por PwC destacan la inteligencia artificial, con un 36 %; la seguridad en la nube, con 34 %; la seguridad de red y Zero Trust, con 28 %; y la protección de datos, con 26 %.
La nube merece especial atención. A medida que aplicaciones, información y operaciones se distribuyen entre diferentes entornos, las organizaciones necesitan mantener visibilidad sobre identidades, accesos, configuraciones, datos y actividad de red.
Una estrategia de seguridad integral permite abordar diferentes capas de protección sin tratar cada control como un elemento aislado.
La IA en ciberseguridad, por su parte, está ganando espacio en tareas como búsqueda de amenazas, detección de eventos, análisis de comportamiento y evaluación de vulnerabilidades.
PwC también identifica el crecimiento de la IA agéntica: sistemas capaces de ejecutar determinadas tareas con mayor autonomía y colaborar con equipos humanos. Entre las áreas donde las organizaciones planean priorizar estos agentes aparecen la seguridad en la nube y la protección de datos, ambas con 39 %, seguidas por defensa y operaciones de ciberseguridad, con 38 %.
Esto no elimina la necesidad de supervisión humana. Cuanto mayor sea la autonomía de una herramienta, más importantes resultan el gobierno, los permisos, la calidad de los datos y la definición de responsabilidades.
La brecha de talento también aumenta el riesgo
La evolución tecnológica está creando otro desafío: disponer de personas capaces de utilizar y supervisar estas nuevas capacidades.
La falta de conocimiento sobre la aplicación de IA a la defensa cibernética aparece como una de las principales barreras en el estudio de PwC, señalada por el 50 % de los participantes consultados sobre este aspecto. El 41 % identifica además la falta de habilidades relevantes.
El problema también aparece en tecnologías operacionales y entornos IIoT. En este ámbito, el 47 % de los responsables de seguridad identifica las brechas de habilidades y recursos especializados entre sus tres principales obstáculos.
Incorporar nuevas herramientas sin contar con personas, procesos y responsabilidades capaces de administrarlas puede aumentar la complejidad sin resolver las brechas existentes.
Por esta razón, una estrategia de ciberseguridad necesita evaluar no solo qué tecnología falta, sino también qué capacidades puede mantener la organización internamente y cuáles requieren apoyo especializado.
Servicios administrados como extensión del equipo interno
La falta de capacidades especializadas está modificando también la función de los servicios administrados. Ya no se trata únicamente de externalizar tareas, sino de acceder a conocimiento, cobertura y escala que pueden resultar difíciles de mantener dentro de una organización.
PwC identifica inteligencia artificial, seguridad en la nube, gestión de amenazas, protección de datos y seguridad de red entre las principales áreas donde las empresas consideran utilizar servicios administrados.
La tendencia resulta especialmente visible entre quienes ya experimentaron un incidente grave: el 48 % de las organizaciones que había sufrido un ataque importante prioriza servicios administrados para abordar brechas de talento, frente al 39 % del conjunto de organizaciones encuestadas.
Esto no implica sustituir al equipo interno. Los servicios especializados pueden complementar sus capacidades, asumir funciones que requieren conocimiento específico y proporcionar apoyo en áreas donde mantener cobertura propia resulta complejo.
De los hallazgos de PwC a una estrategia más resiliente
Los datos del informe muestran que mejorar la ciberseguridad empresarial requiere conectar tecnología, personas y procesos. Para una organización, esa preparación puede organizarse alrededor de seis prioridades:
| Prioridad | Qué revisar | Objetivo |
|---|---|---|
| Visibilidad | Activos, datos, terceros y dependencias | Conocer la exposición real |
| Prevención | Evaluaciones, monitoreo y controles | Reducir riesgos antes del incidente |
| Respuesta | Procedimientos, responsables y recuperación | Limitar impacto e interrupciones |
| IA | Casos de uso, datos, controles y supervisión | Automatizar sin crear riesgos innecesarios |
| Talento | Capacidades internas y brechas | Identificar conocimiento crítico |
| Servicios administrados | Necesidades especializadas y cobertura | Complementar capacidades internas |
La prioridad dependerá de la situación de cada empresa. Una organización con poca visibilidad sobre sus activos probablemente necesite resolver ese problema antes de incorporar capacidades avanzadas de automatización. Otra con infraestructura distribuida puede necesitar concentrarse primero en identidades, nube, red y terceros.
La ciberseguridad debe llegar a la dirección de la empresa
Una de las conclusiones del informe de PwC es que las organizaciones con una visión más avanzada están alineando la seguridad con la estrategia empresarial y dando mayor importancia a la preparación frente a la reacción.
Esto distribuye responsabilidades entre distintos niveles de dirección. El CEO necesita relacionar la resiliencia con continuidad, crecimiento y confianza; el CIO o CTO debe incorporar controles desde el diseño y adopción de tecnologías; el CISO necesita traducir riesgos técnicos en posibles impactos para el negocio; y el CFO debe considerar tanto el costo de prevenir como las consecuencias financieras de responder y recuperarse de un incidente.
La ciberseguridad empresarial es, por tanto, una responsabilidad compartida. Los especialistas siguen siendo esenciales para gestionar los aspectos técnicos, pero las decisiones sobre riesgo, inversión, continuidad y prioridades necesitan involucrar también a la dirección.
Convertir la incertidumbre en preparación
Los hallazgos de PwC muestran un escenario donde las empresas están aumentando sus inversiones mientras enfrentan amenazas en la nube, dependencias de terceros, sistemas heredados, nuevas capacidades de IA y dificultades para encontrar talento especializado.
Responder a estos riesgos no requiere únicamente sumar herramientas. Exige mayor visibilidad, prevención, capacidad de respuesta, conocimiento especializado y una estrategia de seguridad alineada con las prioridades del negocio.
Si su organización necesita evaluar sus riesgos, fortalecer controles o complementar las capacidades de su equipo de TI, puede contactar con Ovnicom para revisar las prioridades de su estrategia de ciberseguridad.