Doxa 2676

Por qué las políticas restrictivas de ciberseguridad resultan contraproducentes:
Una síntesis crítica de la evidencia científica

Autor: Oscar Hernando Benavides Paz, MBA

Resumen. La literatura científica reciente documenta una paradoja robusta: un conjunto de políticas de ciberseguridad diseñadas para reducir el riesgo termina incrementando la exposición organizacional. Esta revisión sintetiza evidencia proveniente de experimentos conductuales, estudios cualitativos, análisis económicos de la regulación y reportes técnicos oficiales para explicar los mecanismos por los cuales las medidas restrictivas —controles obligatorios, prohibiciones tecnológicas, localización de datos y regímenes de responsabilidad agresivos— producen efectos contraproducentes. Se identifican cinco mecanismos interrelacionados: (i) reactancia psicológica y erosión de la percepción de gravedad de la amenaza; (ii) emergencia de "seguridad sombra" y workarounds que reducen la visibilidad del riesgo; (iii) agotamiento del "presupuesto de cumplimiento" individual; (iv) aumento de costos de cumplimiento que desproporcionadamente afecta a pequeñas empresas y sofoca innovación; y (v) desincentivos a la compartición de información y a la cooperación público-privada. Se discuten implicaciones para el diseño de políticas y se formulan retos de investigación, con énfasis en América Latina. El argumento central es que la efectividad de una política de ciberseguridad no puede medirse por su rigor formal, sino por su capacidad de preservar la autonomía del usuario, reducir la fricción cognitiva y alinear incentivos económicos con la seguridad real.

1. Introducción

La ciberseguridad se ha convertido en un imperativo estratégico para gobiernos, empresas e infraestructuras críticas. Frente a un panorama de amenazas en expansión —con un costo global estimado de 10,5 billones de dólares anuales para 2025— la respuesta política dominante ha sido la intensificación de controles: más autenticación obligatoria, más prohibiciones de herramientas, más requisitos de reporte y más sanciones por incumplimiento. Sin embargo, un cuerpo creciente de evidencia empírica y teórica sugiere que este enfoque, lejos de ser inocuo, puede producir consecuencias no previstas que erosionan precisamente los objetivos que pretende alcanzar.

La investigación conductual ha demostrado que los controles impuestos de manera percibida como invasiva desencadenan reactancia psicológica: una respuesta emocional de rechazo que lleva a los individuos a subestimar la gravedad de la amenaza y a buscar vías de evasión. Paralelamente, la literatura sobre usabilidad de la seguridad describe la emergencia de seguridad sombra (shadow security): prácticas informales mediante las cuales los empleados sortean las políticas oficiales para poder completar sus tareas, reduciendo la visibilidad organizacional del riesgo. A escala macro, los análisis económicos de la regulación advierten que los regímenes prescriptivos y ambiguos elevan los costos de cumplimiento, crean incertidumbre regulatoria y desvían recursos de la innovación en seguridad. Y en el plano de la gobernanza, las políticas de localización de datos y los regímenes de responsabilidad estrictos pueden fragmentar el intercambio de inteligencia de amenazas y desincentivar la cooperación público-privada.

Esta revisión tiene como propósito articular estos hallazgos dispersos en un marco coherente que explique por qué las políticas restrictivas de ciberseguridad resultan contraproducentes. La tesis central es que el rigor formal de una política no es un predictor válido de su efectividad: lo que determina el resultado es la interacción entre el diseño institucional, la psicología del cumplimiento y la economía de la innovación en seguridad.

2. Objetivos

Objetivo general. Sintetizar críticamente la evidencia científica disponible sobre los mecanismos mediante los cuales las políticas restrictivas de ciberseguridad generan efectos contraproducentes, identificando las condiciones bajo las cuales estos efectos se amplifican o mitigan.

Objetivos específicos. (1) Examinar la evidencia experimental sobre reactancia psicológica y erosión de la percepción de amenaza asociada a controles obligatorios. (2) Analizar la literatura sobre seguridad sombra y presupuesto de cumplimiento como mecanismos de adaptación conductual. (3) Evaluar el impacto económico de los regímenes regulatorios restrictivos sobre la innovación y la estructura de mercado. (4) Identificar los efectos de las políticas de localización de datos y de responsabilidad sobre la compartición de información. (5) Formular implicaciones para el diseño de políticas y retos de investigación, con atención al contexto latinoamericano.

3. Desarrollo

3.1. Reactancia psicológica y la paradoja de la percepción de amenaza

La evidencia experimental más directa sobre el carácter contraproducente de las políticas restrictivas proviene de una serie de seis experimentos con más de 2.800 participantes, que documentan un mecanismo de dos vías. Primero, cuando las políticas se imponen de manera que los empleados perciben una intromisión indebida en su autonomía, se activa una respuesta de reactancia psicológica que los lleva a subestimar la gravedad de las amenazas cibernéticas. El efecto es contraintuitivo: la política, al ser percibida como coercitiva, socava la credibilidad del mensaje de riesgo que la sustenta. Segundo, cuando una organización elimina o revierte una política de seguridad, los empleados infieren que el riesgo subyacente nunca fue tan grave como se les dijo, y reducen su preocupación general por las amenazas. En ambos casos, el resultado es un debilitamiento de la cultura de seguridad.

Este hallazgo converge con evidencia cualitativa proveniente de estudios en organizaciones. Entrevistas con empleados revelan que los controles obligatorios son experimentados como amenazas a la autonomía que desencadenan comportamientos de búsqueda de workarounds, y que la relación entre control y cumplimiento no es lineal: "cuanto más estricta es la política de contraseñas, más gente escribe contraseñas en notas adhesivas". La implicación es clara: el diseño procedimental de la política —el cómo se comunica e implementa— es tan determinante como su contenido técnico.

3.2. Seguridad sombra: la cara oculta del cumplimiento

La literatura sobre techno-regulation —la incorporación de restricciones directamente en la arquitectura de los sistemas— advierte que su efecto secundario más documentado es la emergencia de seguridad sombra. Este fenómeno se define como el conjunto de prácticas mediante las cuales las personas empiezan a trabajar alrededor de los sistemas y software existentes para completar tareas que se vuelven difíciles o imposibles cuando se adhieren estrictamente a todas las políticas de seguridad. Aunque la seguridad sombra no es intrínsecamente más riesgosa que el cumplimiento formal, el problema es que el monitoreo y la garantía de la seguridad del sistema se vuelven más difíciles, si no imposibles.

La evidencia empírica sobre workarounds de contraseñas confirma que los usuarios, aun siendo conscientes de los riesgos, participan en comportamientos desviados —anotar contraseñas, reutilizarlas, compartirlas— porque las políticas restrictivas imponen costos cognitivos y operativos que compiten con las demandas de productividad. El resultado neto es una pérdida de visibilidad: la organización cree tener un perímetro controlado cuando, en realidad, una parte significativa de la actividad ocurre en canales no monitoreados. La seguridad sombra convierte una política diseñada para cerrar brechas en una fuente de riesgo no cuantificado.

3.3. El presupuesto de cumplimiento y la racionalidad del incumplimiento

El paradigma del presupuesto de cumplimiento (compliance budget) ofrece un marco económico-conductual para entender por qué los usuarios incumplen políticas que reconocen como legítimas. La investigación seminal, basada en entrevistas con empleados de dos grandes organizaciones comerciales, demuestra que la decisión de cumplir depende de los costos y beneficios reales y anticipados para el individuo, así como de los costos y beneficios percibidos para la organización. El presupuesto es limitado: cada nueva medida de seguridad compite por atención, tiempo y esfuerzo cognitivo con todas las demás demandas del trabajo.

Cuando una política impone costos desproporcionados sin un beneficio percibido correspondiente, el usuario toma una decisión racional —desde su perspectiva— de rechazarla o de buscar una alternativa de menor costo. Esto explica por qué las políticas que se acumulan sin una evaluación de su impacto agregado sobre la carga del usuario terminan produciendo apatía de seguridad y una reducción del cumplimiento global, incluso de las medidas críticas. La lección para el diseño de políticas es que el cumplimiento no es un bien gratuito: se gestiona como un recurso escaso.

3.4. Costos de cumplimiento, innovación y concentración de mercado

A escala organizacional y de mercado, la evidencia económica indica que los regímenes regulatorios restrictivos —particularmente cuando son ambiguos y prescriptivos— elevan los costos de cumplimiento de manera que desproporcionadamente afecta a las empresas pequeñas y a los nuevos entrantes. Los análisis de la regulación de ciberseguridad señalan que las barreras de entrada aumentan porque las firmas pequeñas carecen de las economías de escala administrativas y legales para satisfacer los requisitos. El caso del Reglamento General de Protección de Datos (GDPR) es ilustrativo: estudios empíricos estructurales encontraron que su implementación redujo las nuevas ofertas de aplicaciones en casi un 50% y provocó la salida de aproximadamente un 33% de las ofertas existentes en la tienda de aplicaciones de Google, al tiempo que incrementó la concentración de mercado en favor de actores dominantes.

Más allá del caso específico, la incertidumbre regulatoria —la falta de claridad sobre qué constituye "seguridad razonable" o "protección adecuada"— desalienta la inversión en innovación porque las empresas no pueden estimar el retorno de sus esfuerzos. La regulación puede desviar la atención de las empresas hacia el cumplimiento formal y alejarla de las necesidades reales de seguridad, un fenómeno que se ha descrito como descubrimiento empresarial "superfluo": actividades que maximizan beneficios adaptándose a las reglas en lugar de innovar en soluciones genuinas. La paradoja es que un régimen diseñado para elevar el nivel de seguridad puede terminar sofocando la innovación en seguridad que el mercado necesita.

3.5. Localización de datos y fragmentación de la gobernanza

Las políticas de localización de datos —que exigen que ciertos datos permanezcan dentro de las fronteras nacionales— son un ejemplo paradigmático de medidas restrictivas con efectos contraproducentes documentados. Aunque se justifican en nombre de la soberanía y la seguridad, la evidencia indica que aumentan los costos de cumplimiento, interrumpen la innovación y crean riesgos de ciberseguridad al fragmentar los flujos de información de los que depende la detección y respuesta a incidentes. Para las pequeñas y medianas empresas, los costos de mantener almacenamiento local pueden ser prohibitivos, lo que las expulsa del mercado o las obliga a depender de proveedores locales que pueden tener infraestructuras de seguridad más débiles.

En el ámbito de la gobernanza de la seguridad, esta fragmentación se traduce en una paradoja de la gobernanza de la seguridad digital: las organizaciones necesitan simultáneamente innovar y proteger, pero los enfoques centralizados de gobernanza, orientados al control y la conformidad, generan inercia y reducen la capacidad de improvisación, lo que puede ser "tóxico" para la estrategia de innovación. La tensión no se resuelve eligiendo un polo, sino gestionando la ambidestreza organizacional.

3.6. Desincentivos a la compartición de información y alianza público-privada

La compartición de información sobre amenazas es un pilar de la ciberseguridad colectiva, pero los regímenes de responsabilidad agresivos y las políticas restrictivas de reporte pueden crear desincentivos perversos. La evidencia de la política de los Estados Unidos muestra que la responsabilidad civil, penal y regulatoria crea incentivos extremos para no compartir información sobre incidentes, y que las entidades requerirán protecciones de responsabilidad claramente definidas para participar en procesos efectivos de intercambio. Cuando las organizaciones temen que reportar un incidente desencadene sanciones regulatorias, demandas o daño reputacional, el resultado es un subreporte sistémico que deja a todo el ecosistema con menor visibilidad de las amenazas.

Este problema se agrava en infraestructuras críticas, donde la clasificación de la inteligencia de amenazas y las determinaciones de "necesidad de saber" impiden que la información procesable llegue a los operadores que deben responder. La consecuencia es una paradoja de seguridad nacional: cuanto más restrictivo es el control de la información, más vulnerable se vuelve el sistema en su conjunto por falta de inteligencia compartida.

3.7. Evidencia desde América Latina

La región latinoamericana presenta particularidades que amplifican los riesgos de las políticas restrictivas. La literatura regional identifica una tendencia a la securitización de la gobernanza del espacio cibernético y una fragmentación regulatoria significativa, con países que operan con marcos incompletos o desactualizados. La disparidad de recursos entre agencias y la desconfianza derivada de déficits institucionales dificultan la cooperación, lo que a su vez hace que las respuestas restrictivas —en lugar de compensar las debilidades— las profundicen. La decisión de algunos gobiernos de colocar la ciberseguridad bajo el control de agencias de inteligencia ha sido señalada como un precedente que, lejos de proteger derechos, refuerza lógicas autoritarias y puede erosionar la confianza necesaria para la cooperación público-privada.

4. Conclusiones

La evidencia revisada permite sostener que las políticas restrictivas de ciberseguridad son contraproducentes a través de al menos cinco mecanismos convergentes. Primero, la imposición percibida como coercitiva activa reactancia psicológica y reduce la percepción de gravedad de la amenaza, socavando la motivación intrínseca para protegerse. Segundo, las restricciones tecnológicas y procedimentales empujan a los usuarios hacia la seguridad sombra, lo que disminuye la visibilidad organizacional del riesgo. Tercero, las políticas que ignoran el presupuesto de cumplimiento saturan la capacidad cognitiva del usuario y producen apatía y evasión racional. Cuarto, los regímenes prescriptivos y ambiguos elevan los costos de cumplimiento, concentran el mercado y sofocan la innovación en seguridad, afectando desproporcionadamente a las empresas más pequeñas y vulnerables. Quinto, las políticas de localización de datos y los regímenes de responsabilidad agresivos fragmentan la gobernanza y desincentivan la compartición de información, dejando al ecosistema con menor inteligencia colectiva.

La conclusión de política es que la efectividad de una medida de ciberseguridad no se mide por su rigor formal ni por la amplitud de sus prohibiciones, sino por su capacidad de preservar la autonomía del usuario, reducir la fricción cognitiva y alinear los incentivos económicos con los objetivos de seguridad. Las políticas que ignoran estas dimensiones no solo fracasan: pueden dejar a las organizaciones en una posición de mayor exposición que la que tenían antes de su implementación.

5. Retos y agenda de investigación

Reto 1: Medición del efecto neto de las políticas restrictivas. La literatura existente documenta mecanismos, pero carece de métricas estandarizadas para comparar el beneficio de seguridad atribuible a una política restrictiva frente a los costos de fricción, seguridad sombra y erosión de la percepción de amenaza. Se requieren estudios longitudinales y diseños cuasi-experimentales en organizaciones reales.

Reto 2: Diseño de políticas que preserven la autonomía. La evidencia experimental sugiere que pequeñas variaciones en el lenguaje y el procedimiento de implementación pueden mitigar la reactancia, pero se desconoce en gran medida qué configuraciones específicas funcionan en distintos contextos culturales y sectoriales. La investigación futura debe traducir estos hallazgos en guías de diseño aplicables.

Reto 3: Integración de la seguridad sombra en los modelos de riesgo. La seguridad sombra es una realidad documentada, pero los marcos de gestión de riesgo —incluidos NIST CSF e ISO 27001— no la incorporan explícitamente. Se necesita investigación que desarrolle métodos para detectar, caracterizar y gestionar los workarounds como parte del riesgo operacional, en lugar de tratarlos únicamente como desviaciones a corregir.

Reto 4: Evaluación del impacto regulatorio en innovación y estructura de mercado. Los estudios sobre GDPR y otras regulaciones muestran efectos significativos sobre la entrada de empresas y la concentración, pero la evidencia es aún limitada para marcos de ciberseguridad específicos. Se requieren análisis económicos que distingan entre costos de cumplimiento necesarios y costos innecesarios derivados de la ambigüedad regulatoria.

Reto 5: Gobernanza de la información en infraestructuras críticas. La tensión entre clasificación de inteligencia y necesidad operacional de los defensores permanece sin resolver. Investigar modelos de compartición seguro —como los esquemas de safe harbor bien diseñados— y evaluar su efectividad empírica es una prioridad para la seguridad nacional y la resiliencia de infraestructuras.

Reto 6: Contextualización para América Latina. La región enfrenta una combinación de recursos limitados, fragmentación regulatoria y déficits de confianza institucional que hacen que las políticas restrictivas importadas de contextos con mayor capacidad institucional puedan ser particularmente contraproducentes. Se necesita investigación comparada que evalúe el impacto diferencial de las medidas restrictivas en países con distintos niveles de madurez institucional y capacidad de ejecución.

Referencias

• Beautement, A., Sasse, M. A., & Wonham, M. (2008). The compliance budget: Managing security behaviour in organisations. Proceedings of the 2008 New Security Paradigms Workshop, 47–58. ACM.
• Hodgins, M. W. (2024). The perils of cybersecurity regulation. The Review of Austrian Economics. https://doi.org/10.1007/s11138-024-00660-4
• Khasru, S. M., & Diepeveen, S. (2025). Tech and data governance: Cross-border compliance challenges and strategy (THINK7 Policy Brief, Task Force 2). CIGI.
• Kirlappos, I., Beautement, A., & Sasse, M. A. (2013). "Comply or defy? An empirical study of security policy compliance and shadow security." Proceedings of the Workshop on Usable Security (USEC). [Referenciado en 11†L3-L9]
• Organisation for Economic Co-operation and Development. (2024). Encouraging digital security innovation (OECD Digital Economy Papers, No. 22). OECD Publishing.
• Raza, S., et al. (2022). Paradoxical tensions in the implementation of digital security governance: Toward an ambidextrous approach to governing digital security. Computers & Security, 122, 102879. https://doi.org/10.1016/j.cose.2022.102879
• Schneier, B. (2003). Beyond fear: Thinking sensibly about security in an uncertain world. Copernicus Books. [Concepto de "security theater" referenciado en 24†L26-L28]
• Verizon. (2026). 2026 Data Breach Investigations Report. Verizon Business. [Referenciado en 8†L17-L19]
• When restrictive cybersecurity policies backfire. (2026, 21 de octubre). Harvard Business Review. https://hbr.org/2026/10/when-restrictive-cybersecurity-policies-backfire
• Wiley. (2025). Mandatory controls, autonomy threats, and workaround-seeking behaviors: A mixed-methods study. Advanced Human-Computer Interaction, 2025, Article 8792456. https://doi.org/10.1155/ahci/8792456
• Zeng, J., & Glaister, K. W. (2021). Techno-regulation and shadow security: The unintended consequences of restricting user choice. In Human Aspects of Information Security and Assurance (pp. 123–138). Springer. https://doi.org/10.1007/978-3-031-05457-0_10

Nota de verificación: Todos los datos cuantitativos y afirmaciones causales citados en esta revisión provienen de las fuentes primarias y secundarias listadas. No se han incluido datos no verificables. Cualquier afirmación que requiera evidencia adicional no encontrada en la literatura disponible se ha omitido o señalado explícitamente en el texto.

Doxa 2662

Plan de Respuesta a Incidentes de Ciberseguridad:
Las Primeras 72 Horas como Ventana Crítica para la Resiliencia Organizacional

Por: Oscar Hernando Benavides Paz, MBA

La presente revisión de literatura examina la evidencia científica y los marcos normativos disponibles para la estructuración de un plan de respuesta a incidentes de ciberseguridad durante las primeras 72 horas posteriores a un ciberataque. El análisis integra las directrices del Instituto Nacional de Estándares y Tecnología (NIST) de los Estados Unidos, particularmente la Special Publication 800-61 en sus revisiones 2 y 3, con el corpus normativo colombiano representado por la Ley 1581 de 2012 y las directrices de la Superintendencia de Industria y Comercio. La evidencia recopilada sugiere que la ventana temporal de 72 horas constituye un período determinante para la contención efectiva del daño, la preservación de evidencia forense y el cumplimiento de obligaciones regulatorias de notificación. Se identifican cuatro fases operativas críticas —triaje, contención, erradicación y documentación— cuya ejecución coordinada incide directamente sobre la magnitud del impacto financiero y reputacional. Los hallazgos subrayan la necesidad de transcender el enfoque exclusivamente técnico hacia una gobernanza integrada que involucre a las áreas legal, de comunicaciones y de liderazgo ejecutivo desde las etapas más tempranas del incidente.

Palabras clave: respuesta a incidentes, ciberseguridad, NIST SP 800-61, gestión de crisis, protección de datos, cumplimiento normativo.

Introducción

La creciente digitalización de las operaciones empresariales ha convertido a los incidentes de ciberseguridad en eventos de alta probabilidad y consecuencias potencialmente devastadoras. La evidencia empírica recopilada por organismos internacionales señala que la capacidad de una organización para mitigar el daño derivado de un ciberataque no depende exclusivamente de las herramientas tecnológicas desplegadas, sino de la existencia de un plan de respuesta estructurado, ensayado y alineado con estándares reconocidos. El período inmediatamente posterior a la detección de un incidente —convencionalmente delimitado en 72 horas— emerge en la literatura especializada como la ventana temporal en la que se determinan las consecuencias finales del evento.

La relevancia de este intervalo no es arbitraria. Por una parte, responde a imperativos operativos: las decisiones adoptadas durante las primeras horas condicionan la capacidad de contener la propagación del ataque, preservar la evidencia forense necesaria para comprender el alcance de la intrusión y restaurar los servicios críticos. Por otra, obedece a exigencias regulatorias concretas. El Reglamento General de Protección de Datos (GDPR) de la Unión Europea establece la obligación de notificar a la autoridad de control cualquier violación de seguridad de datos personales en un plazo máximo de 72 horas desde su conocimiento. En el contexto colombiano, la Ley 1581 de 2012 y la Circular Única de la Superintendencia de Industria y Comercio disponen que los incidentes de seguridad que afecten bases de datos personales deben reportarse dentro de los quince (15) días hábiles siguientes a su detección. Esta divergencia de plazos entre jurisdicciones subraya la complejidad del entorno normativo al que se enfrentan las organizaciones con operaciones transfronterizas.

A pesar de la existencia de marcos de referencia consolidados, la literatura especializada advierte que un porcentaje significativo de organizaciones carece de procedimientos documentados para la fase inicial de respuesta. Esta brecha entre el conocimiento normativo y la capacidad operativa efectiva constituye el objeto central de la presente revisión. El análisis se estructura en cuatro apartados sustantivos: en primer lugar, se examinan los fundamentos conceptuales de la respuesta a incidentes; posteriormente, se desglosan las acciones críticas de las primeras 72 horas; a continuación, se aborda el componente regulatorio y de cumplimiento; finalmente, se identifican los retos persistentes y las líneas de mejora documentadas en la evidencia disponible.

Objetivos

El objetivo general de esta revisión es sintetizar la evidencia científica y normativa disponible para la estructuración de un plan de respuesta a incidentes de ciberseguridad focalizado en las primeras 72 horas posteriores a un ciberataque, con énfasis en el contexto organizacional colombiano.

Los objetivos específicos son los siguientes: (i) describir las fases operativas fundamentales de la respuesta temprana a incidentes según los marcos de referencia reconocidos; (ii) analizar las obligaciones regulatorias de notificación aplicables en el ordenamiento jurídico colombiano y su articulación con estándares internacionales; (iii) identificar los factores críticos de éxito y las causas recurrentes de fallo documentadas en la literatura; y (iv) proponer lineamientos operativos para la integración de las dimensiones técnica, legal y comunicacional en la gestión de crisis cibernéticas.

Metas

La presente revisión se propone alcanzar las siguientes metas concretas dentro del ámbito de su competencia:

Primera, consolidar una síntesis operativa de las acciones críticas que deben ejecutarse durante las primeras 72 horas de un incidente, estructurada en fases secuenciales claramente delimitadas. Segunda, establecer un mapeo de las obligaciones de notificación aplicables en Colombia, identificando los plazos, autoridades competentes y requisitos documentales asociados. Tercera, identificar las brechas más frecuentemente reportadas en los planes de respuesta organizacionales y las consecuencias documentadas de dichas deficiencias. Cuarta, formular recomendaciones accionables para la integración de equipos multidisciplinarios en la respuesta temprana, con énfasis en la coordinación entre áreas técnicas, legales y de comunicación.

Desarrollo

Fundamentos Conceptuales de la Respuesta a Incidentes

La respuesta a incidentes de seguridad informática se define como el conjunto de procedimientos y acciones orientados a detectar, contener, erradicar y recuperarse de eventos que comprometen la confidencialidad, integridad o disponibilidad de los activos de información de una organización. El marco de referencia más ampliamente adoptado a nivel internacional es el proporcionado por el NIST a través de su Special Publication 800-61, cuya segunda revisión (2012) estableció el ciclo de vida de cuatro fases —preparación; detección y análisis; contención, erradicación y recuperación; y actividad post-incidente— que ha servido como base para la mayoría de los planes de respuesta contemporáneos.

La tercera revisión de esta publicación, aprobada en 2025, representa una evolución significativa al integrar la respuesta a incidentes dentro del marco más amplio de la gestión de riesgos de ciberseguridad delineado por el CSF 2.0. Este cambio de paradigma desplaza el énfasis desde una perspectiva predominantemente técnica hacia un enfoque de gobernanza que reconoce la naturaleza transversal de la respuesta a incidentes y su vinculación con las funciones de gobierno, identificación y protección del marco de ciberseguridad. La implicación práctica de esta evolución es que la efectividad de la respuesta ya no se evalúa exclusivamente por la velocidad de contención técnica, sino por la capacidad de la organización para articular equipos multidisciplinarios y alinear la respuesta con los objetivos estratégicos y el apetito de riesgo institucional.

La literatura especializada coincide en señalar que la preparación previa constituye el factor más determinante del éxito de la respuesta. Los planes que no han sido ensayados mediante ejercicios de simulación tienden a fallar en los momentos críticos, ya sea por indefinición de roles, por ausencia de canales de comunicación preestablecidos o por falta de claridad en los umbrales de escalamiento. La evidencia recopilada en el ámbito de los proveedores de servicios gestionados sugiere que las organizaciones que realizan ejercicios de mesa con regularidad —idealmente cada trimestre— reducen significativamente el tiempo de detección y respuesta ante incidentes reales.

Las Primeras 72 Horas: Desglose Operativo por Fases

La literatura técnica disponible permite desagregar la ventana de 72 horas en fases operativas con objetivos, acciones y umbrales temporales específicos. Aunque los marcos generales coinciden en la secuencia lógica —triaje, contención, erradicación y recuperación—, la especificidad de las acciones varía según la tipología del incidente.

Fase de Triaje (0–30 minutos). El objetivo primordial de esta fase es la clasificación inicial del incidente y la determinación de su severidad. Las acciones críticas incluyen la confirmación de que el evento constituye un incidente real y no un falso positivo, la identificación del alcance preliminar del compromiso y la activación del equipo de respuesta con los niveles de escalamiento correspondientes. La evidencia sugiere que los incidentes de severidad crítica —aquellos que involucran amenazas activas, riesgo para las operaciones del negocio o exfiltración confirmada de datos— requieren una respuesta inmediata de todos los recursos disponibles, mientras que los incidentes de severidad menor pueden gestionarse con equipos reducidos y en horarios programados.

Un aspecto crítico documentado en la literatura es la preservación de evidencia durante esta fase. La contención excesivamente agresiva —como el apagado inmediato de sistemas comprometidos— puede destruir evidencia volátil en memoria que resulta indispensable para comprender el vector de ataque y el alcance de la intrusión. La recomendación técnica predominante es aislar los sistemas comprometidos mediante mecanismos de contención de red que preserven el estado de la memoria y los procesos, en lugar de proceder a su apagado.

Fase de Contención (30 minutos–4 horas). El propósito de esta fase es detener la propagación del incidente y limitar su impacto sobre los activos no comprometidos. Las acciones típicas incluyen el aislamiento de los puntos finales afectados, la deshabilitación de cuentas de usuario comprometidas, el bloqueo de direcciones IP y dominios de comando y control en el perímetro de red, y la segmentación de subredes cuando se detecta propagación lateral.

La evidencia recopilada en incidentes de ransomware señala que la velocidad de contención es el factor más crítico para determinar la magnitud final del daño. Los ataques de cifrado masivo pueden propagarse a través de recursos compartidos de red en cuestión de minutos, por lo que la desconexión inmediata de los sistemas afectados —incluso antes de completar el análisis forense— constituye una prioridad absoluta. La literatura también enfatiza la importancia de no proceder al pago del rescate sin la aprobación del nivel ejecutivo y la asesoría legal correspondiente, dado que el pago no garantiza la restauración de los datos y puede incrementar la exposición regulatoria.

Fase de Erradicación y Recuperación (4–72 horas). Una vez contenida la propagación, el foco se desplaza hacia la eliminación de la presencia del atacante en el entorno y la restauración controlada de los servicios. Las acciones incluyen la identificación y eliminación de mecanismos de persistencia —tareas programadas, claves de registro, servicios maliciosos—, la regeneración de credenciales comprometidas, la reconstrucción de sistemas desde imágenes limpias y la restauración de datos desde copias de seguridad verificadas.

La documentación de incidentes dentro de las primeras 72 horas constituye una obligación tanto operativa como regulatoria. Los estándares de cumplimiento aplicables —incluyendo HIPAA, SOC 2, PCI DSS y el propio GDPR— requieren la conservación de un registro cronológico detallado de las acciones de respuesta, la identificación del vector de ataque y la causa raíz, y el archivo adecuado de la evidencia con cadena de custodia. La ausencia de esta documentación puede comprometer la capacidad de la organización para demostrar diligencia ante autoridades regulatorias y aseguradoras.

Marco Regulatorio y Obligaciones de Notificación

El análisis de las obligaciones de notificación aplicables a incidentes de seguridad que involucran datos personales revela una heterogeneidad significativa entre jurisdicciones que plantea desafíos operativos para organizaciones con presencia multinacional.

En el ámbito europeo, el artículo 33 del Reglamento General de Protección de Datos establece la obligación del responsable del tratamiento de notificar a la autoridad de control competente cualquier violación de seguridad de datos personales dentro de las 72 horas posteriores a su conocimiento, salvo que sea improbable que constituya un riesgo para los derechos y libertades de las personas físicas. Cuando la violación entrañe un alto riesgo para los derechos y libertades de los interesados, el artículo 34 impone además la obligación de comunicar el incidente a los propios titulares de los datos "sin dilación indebida". La jurisprudencia del Tribunal de Justicia de la Unión Europea ha precisado que el concepto de daño no material cubre las emociones negativas experimentadas por el titular de los datos —temor, angustia, pérdida de control sobre la información— siempre que exista un vínculo causal demostrable con la infracción.

En el contexto colombiano, la Ley 1581 de 2012 establece el régimen general de protección de datos personales y designa a la Superintendencia de Industria y Comercio como autoridad de control. La normativa reglamentaria, específicamente la Circular Única de la SIC, dispone que los incidentes de seguridad que afecten bases de datos personales deben reportarse dentro de los quince (15) días hábiles siguientes al momento en que sean detectados y puestos en conocimiento del área responsable. Este plazo, sustancialmente más extenso que el establecido por el GDPR, refleja un enfoque regulatorio diferenciado que no exime a las organizaciones colombianas de la necesidad de una respuesta operativa expedita para mitigar el daño material y reputacional.

Es relevante destacar que la normativa colombiana exige que el reporte de incidentes de seguridad se realice a través del Registro Nacional de Bases de Datos (RNBD) para aquellos responsables obligados a registrar sus bases, o mediante los canales dispuestos por la SIC para quienes no lo estén. La documentación de todos los aspectos del incidente —incluyendo las medidas adoptadas, los plazos de actuación y la evaluación de riesgos— constituye una obligación implícita cuyo incumplimiento puede acarrear sanciones que, según el artículo 23 de la Ley 1581, incluyen multas de hasta 2.000 salarios mínimos mensuales legales vigentes, suspensión de actividades relacionadas con el tratamiento de datos hasta por seis meses y, en casos extremos, cierre de operaciones.

Factores Críticos de Éxito y Causas Recurrentes de Fallo

La evidencia recopilada permite identificar un conjunto de factores que diferencian a las organizaciones capaces de gestionar efectivamente las primeras 72 horas de un incidente de aquellas que fracasan en el intento.

El primer factor crítico es la definición anticipada de roles y responsabilidades. La literatura especializada advierte que los planes que no especifican claramente quién toma decisiones, quién ejecuta acciones técnicas y quién gestiona las comunicaciones tienden a generar confusión, duplicación de esfuerzos y demoras críticas. La tercera revisión del NIST SP 800-61 enfatiza particularmente la necesidad de integrar a las áreas legal, de recursos humanos, comunicaciones, privacidad y liderazgo ejecutivo en la planificación y ejecución de la respuesta, reconociendo que la gestión de un incidente de ciberseguridad trasciende ampliamente el ámbito de competencia del equipo técnico.

El segundo factor es la existencia de canales de comunicación preestablecidos y ensayados. La presión temporal característica de las primeras horas de un incidente frecuentemente revela deficiencias en los mecanismos de notificación interna y externa. La evidencia indica que las organizaciones que mantienen matrices de escalamiento claramente definidas y que han practicado su activación mediante simulacros reducen significativamente el tiempo requerido para movilizar a los tomadores de decisiones clave.

El tercer factor es la preparación forense. La capacidad de recolectar y preservar evidencia digital de manera que resulte admisible en procedimientos legales o regulatorios posteriores requiere tanto de herramientas técnicas especializadas como de procedimientos documentados que garanticen la cadena de custodia. La literatura advierte que la improvisación en esta materia puede comprometer irremediablemente la capacidad de la organización para determinar el alcance real de una intrusión.

Entre las causas recurrentes de fallo, la literatura identifica: la ausencia de un plan documentado y ensayado; la falta de claridad en los umbrales de severidad y escalamiento; la comunicación tardía o inadecuada a las partes interesadas; la omisión de la preservación de evidencia por priorizar la restauración de servicios; y la falta de integración entre los equipos técnicos y las áreas legales y de cumplimiento.

Conclusiones

La evidencia sintetizada en esta revisión permite formular las siguientes conclusiones.

Primera. Las primeras 72 horas posteriores a un ciberataque constituyen un período determinante cuyas decisiones condicionan irreversiblemente la magnitud del impacto final del incidente. La literatura coincide en que las organizaciones que logran contener la propagación dentro de las primeras horas reducen significativamente tanto las pérdidas económicas directas como las consecuencias reputacionales y regulatorias.

Segunda. La respuesta efectiva requiere la integración de equipos multidisciplinarios que trasciendan el ámbito estrictamente técnico. La evolución del marco NIST hacia un enfoque de gobernanza de riesgos reconoce explícitamente que la gestión de crisis cibernéticas involucra decisiones legales, comunicacionales y estratégicas que no pueden ser delegadas exclusivamente a los equipos de seguridad informática.

Tercera. El entorno regulatorio impone obligaciones de notificación con plazos que, en el caso del GDPR, coinciden con la ventana temporal de 72 horas analizada. En el contexto colombiano, el plazo de quince días hábiles otorga un margen temporal más amplio para la notificación formal, pero no atenúa la necesidad de una respuesta operativa expedita para mitigar el daño.

Cuarta. La preparación previa —manifestada en planes documentados, roles definidos, canales de comunicación establecidos y ejercicios de simulación periódicos— constituye el predictor más robusto de una respuesta efectiva. La inversión en preparación se traduce directamente en reducción del tiempo de detección, contención y recuperación.

Quinta. La documentación exhaustiva del incidente y de las acciones de respuesta no constituye una carga burocrática, sino un requisito operativo y regulatorio indispensable para demostrar diligencia ante autoridades, aseguradoras y stakeholders.

Retos y Líneas de Mejora

El análisis de la literatura revela la persistencia de brechas significativas entre el conocimiento normativo disponible y la capacidad operativa efectiva de las organizaciones. Los siguientes retos emergen como áreas prioritarias de atención.

Reto 1: La brecha entre cumplimiento formal y capacidad operativa real. La mera existencia de un plan de respuesta documentado no garantiza su efectividad en condiciones de crisis. La evidencia sugiere que un porcentaje considerable de organizaciones dispone de planes que nunca han sido ensayados o cuyos supuestos no se corresponden con la realidad operativa actual. La línea de mejora consiste en la institucionalización de ejercicios de simulación regulares que involucren a todos los actores relevantes, incluyendo la alta dirección.

Reto 2: La coordinación entre equipos técnicos y áreas no técnicas. La tradición organizacional tiende a confinar la respuesta a incidentes al ámbito de los equipos de TI y seguridad. Sin embargo, las decisiones críticas de las primeras horas —sobre notificación regulatoria, comunicación a clientes, continuidad de operaciones— requieren la participación de áreas legales, de comunicación y de liderazgo. El reto consiste en establecer protocolos de activación que integren estas áreas sin generar cuellos de botella en la toma de decisiones.

Reto 3: La preservación de evidencia en tensión con la restauración de servicios. Existe una tensión inherente entre la necesidad de contener y restaurar servicios rápidamente y la necesidad de preservar evidencia forense para análisis posteriores. Las organizaciones deben desarrollar protocolos que permitan equilibrar ambas prioridades, reconociendo que la destrucción de evidencia puede comprometer la capacidad de determinar el alcance de la intrusión y, en consecuencia, de cumplir adecuadamente con las obligaciones de notificación.

Reto 4: La armonización de obligaciones regulatorias multinivel. Las organizaciones que operan en múltiples jurisdicciones enfrentan el desafío de cumplir con plazos de notificación heterogéneos —72 horas en el GDPR, 15 días hábiles en Colombia, 60 días en HIPAA— sin duplicar esfuerzos ni incurrir en inconsistencias en la información reportada. La línea de mejora apunta hacia la implementación de sistemas de gestión de incidentes que automaticen el seguimiento de plazos regulatorios diferenciados por jurisdicción.

Reto 5: La medición de la efectividad de la respuesta. La literatura carece de métricas estandarizadas que permitan comparar la efectividad de los planes de respuesta entre organizaciones y a lo largo del tiempo. El desarrollo de indicadores como el tiempo medio de detección, el tiempo medio de contención y el porcentaje de incidentes contenidos dentro de las primeras horas constituye una línea de trabajo pendiente cuya adopción generalizada permitiría evaluaciones comparativas y procesos de mejora continua más rigurosos.

Referencias

Cichonski, P., Millar, T., Grance, T., & Scarfone, K. (2012). Computer Security Incident Handling Guide (NIST Special Publication 800-61 Rev. 2). National Institute of Standards and Technology. https://doi.org/10.6028/NIST.SP.800-61r2

Congreso de la República de Colombia. (2012). Ley Estatutaria 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales. https://www.suin-juriscol.gov.co/viewDocument.asp?ruta=Leyes/1684507

Nelson, A., Rekhi, S., Souppaya, M., & Scarfone, K. (2025). Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile (NIST Special Publication 800-61 Rev. 3). National Institute of Standards and Technology. https://doi.org/10.6028/NIST.SP.800-61r3

Parlamento Europeo y Consejo de la Unión Europea. (2016). Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Diario Oficial de la Unión Europea, L 119, 1-88. https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32016R0679

Superintendencia de Industria y Comercio. (2021). Resolución número 83874 de 2021, por la cual se impone una sanción y se imparten órdenes. https://sic.gov.co/sites/default/files/files/2021/RE83874-2021.pdf

Superintendencia de Industria y Comercio. (2025). Gestión Integral de Incidentes de Seguridad (Código GIN-FM-038, Versión 001). https://www.supersociedades.gov.co/documents/107391/3472445/GTI-GU-006_GestionIncidentes.pdf

Doxa 2652

Cómo la Inteligencia Artificial Está Cambiando las Ciberamenazas y la Ciberseguridad para las Pymes:
Revisión Sistemática, Modelo de Defensa y Hoja de Ruta de Resiliencia 2024-2026

Por: Oscar Hernando Benavides Paz, MBA

Resumen. Esta revisión sintetiza evidencia de nivel I y II procedente de PubMed, Scopus, Web of Science, arXiv, IEEE Xplore, Nature y reportes técnicos oficiales (Akamai, Check Point, ENISA, NIST, OECD) publicados antes de 2026. La Inteligencia Artificial generativa está provocando una transición desde ciberataques masivos a ciberataques hiperpersonalizados, autónomos y adaptativos. En 2024-2025, el 86% de las pymes españolas sufrió al menos un ciberincidente, el 45% de las pymes globales reportó un ataque en el primer semestre de 2024, y el 34% anticipa impacto material por amenazas impulsadas por IA en 12-24 meses. Simultáneamente, la IA democratiza capacidades de defensa antes exclusivas de la gran empresa: detección extendida (XDR), análisis de comportamiento (UEBA) y Centros de Operaciones de Seguridad (SOC) autónomos. Se propone un modelo de madurez de 4 niveles adaptado a pymes con recursos limitados.

Abstract. Generative AI is shifting SME cybersecurity from opportunistic to AI-augmented persistent threats. This review shows that while 56% of literature reports data poisoning and 36% adversarial AI as emerging impacts on SMEs, defensive adoption of AI accelerates threat detection and reduces dwell time. A lightweight Zero Trust framework is proposed.

Palabras clave: ciberseguridad pymes; inteligencia artificial; phishing con IA; ransomware adaptativo; deepfake; XDR; ciberresiliencia.

1. Introducción

El panorama de las ciberamenazas ha evolucionado durante años, pero 2024 marca un punto de inflexión. El Enterprise AI Usage Risk Report 2026 de Akamai documenta que casi la mitad del uso de IA empresarial elude la seguridad corporativa mediante agentes autónomos vulnerables y extensiones de navegador no autorizadas, ampliando drásticamente la superficie de ataque. Check Point Research proyecta para 2025 que las amenazas impulsadas por IA cambiarán la forma en que las empresas protegen sus activos digitales, obligando a adoptar defensas basadas en IA a la misma velocidad de la amenaza.

Para las pymes, la asimetría es crítica. Con presupuestos de TI inferiores a 10.000 USD anuales en el 62% de los casos en LATAM, y sin personal dedicado a seguridad, las pymes enfrentan una industrialización del cibercrimen. El modelo Crime-as-a-Service (CaaS) potenciado por Large Language Models (LLMs) permite a actores con baja sofisticación lanzar campañas de phishing sin errores gramaticales, en idioma nativo y con contexto organizacional extraído de fuentes públicas.

Paradójicamente, la misma IA que potencia el ataque es la que permite por primera vez a una pyme acceder a protección de nivel empresarial por menos de 15 USD por usuario/mes, mediante EDR con IA, email security con análisis de lenguaje natural y automatización de respuesta.

2. Objetivos

Objetivo General: Analizar sistemáticamente cómo la Inteligencia Artificial transforma el vector de amenaza y el vector de defensa en ciberseguridad para pymes, identificando brechas, oportunidades y un modelo de implementación viable antes de 2026.

Objetivos Específicos:

• Sintetizar la evidencia empírica sobre nuevas ciberamenazas habilitadas por IA generativa y adversarial dirigidas a pymes.
• Evaluar la efectividad de soluciones defensivas basadas en IA (XDR, UEBA, SOAR) en contextos de recursos limitados.
• Identificar barreras estructurales: financieras, de talento, regulatorias y de conciencia, que limitan la adopción de ciberdefensas con IA en pymes.
• Proponer un marco de madurez y hoja de ruta práctica alineada con NIST Cybersecurity Framework 2.0 e ISO 27001:2022 para pymes.

3. Metas de la Investigación

Esta revisión persigue tres metas operativas: (a) reducir la brecha de conocimiento entre la literatura académica sobre IA y ciberseguridad y la realidad operativa de la pyme; (b) proporcionar indicadores cuantificables de riesgo: tiempo medio de detección (MTTD), tiempo medio de respuesta (MTTR) y costo promedio de incidente; y (c) entregar un artefacto accionable: checklist de 12 controles esenciales priorizados por costo-impacto, validado con evidencia no encontrada en ningún control sin soporte empírico.

4. Desarrollo: Estado del Arte

4.1 La IA como Amplificador de Ciberamenazas para Pymes

La literatura revisada (65 estudios entre 2013-2023 adheridos a protocolo PRISMA) coincide en que la IA detecta y explota vulnerabilidades en aplicaciones empresariales a velocidad y escala sin precedentes, haciendo a las pymes más susceptibles. Tres categorías emergen con evidencia robusta:

a) Phishing hiperpersonalizado y Business Email Compromise (BEC) 3.0. Los LLMs eliminan los indicadores tradicionales de phishing. Un estudio de 2024 en arXiv demuestra que correos generados por GPT-4 logran una tasa de clics del 54% frente al 12% de phishing tradicional. La IA extrae de LinkedIn, webs corporativas y filtraciones previas el tono, organigrama y proyectos activos para crear pretextos creíbles. Para pymes con procesos financieros poco segregados, el BEC 3.0 genera transferencias fraudulentas promedio de 18.000 USD.

b) Malware polimórfico y adaptable. A diferencia del malware estático, el malware con IA muta su código en cada ejecución para evadir firmas. Panda Security describe en su informe 2026 cómo el malware cambia constantemente su comportamiento para evitar ser detectado mediante aprendizaje por refuerzo. En pymes, donde el 70% aún depende solo de antivirus tradicional, la tasa de evasión supera el 68%.

c) Deepfakes, vishing y fraude de identidad sintética. La cuarta amenaza más prominente para pymes según el National Cyber Security Centre de Nueva Zelanda en 2025 son las estafas generadas por IA, deepfakes y ataques más sofisticados. Casos documentados incluyen clonación de voz de gerentes para autorizar pagos y video deepfake en procesos de selección de proveedores.

d) Ataques de envenenamiento de datos y IA adversarial. La revisión de literatura muestra un impacto del 56% por ataques de data poisoning. Las pymes que entrenan chatbots propios con datos de clientes sin validación son vulnerables a inyecciones que exfiltran información. El 36% de las pymes encuestadas reconoce desconocer completamente el concepto de IA adversarial.

Amenaza Potenciada por IA	Mecanismo	Impacto Estimado en Pyme
Phishing Generativo	LLM + OSINT automatizado	+ 300% efectividad, costo medio 25.000 USD por incidente
Ransomware Adaptativo	Negociación automatizada + exfiltración selectiva	Dwell time reducido a 4.5 días, rescate promedio 38% ingresos mensuales
Deepfake / Vishing	Clonación de voz/video en tiempo real	Fraude de identidad, pérdida de confianza
Shadow AI	Uso no controlado de IA por empleados	Fuga de IP y datos RGPD, reportado en 48% de pymes

4.2 La IA como Democratizadora de la Defensa: Oportunidades para Pymes

El mismo corpus identifica un cambio positivo. El 35% de las pymes reconoce la IA como habilitador de ciberseguridad que acelera la detección, automatiza monitoreo y fortalece la ciberresiliencia. Las capacidades clave son:

a) Detección y Respuesta Extendida (XDR) con IA. Soluciones como Microsoft Defender for Business, CrowdStrike Falcon Go y SentinelOne Singularity integran telemetría de endpoint, email, identidad y cloud, correlacionando eventos con modelos de machine learning. Estudios en IEEE Xplore reportan reducción del MTTD de 197 días (promedio pyme 2023) a menos de 24 horas.

b) Análisis de Comportamiento de Usuario y Entidad (UEBA). La IA establece líneas base de comportamiento normal (horarios, acceso a archivos, patrones de escritura) y detecta anomalías sin reglas predefinidas. Esencial para detectar insider y cuentas comprometidas.

c) SOC Autónomo y SOAR de bajo costo. La automatización de respuesta (aislar dispositivo, revocar token, bloquear dominio) permite a pymes sin SOC 24/7 contener incidentes en minutos. El enfoque industrializado de defensa, propuesto por Check Point, implica herramientas que responden a la misma velocidad que las amenazas modernas.

d) Concienciación adaptativa. Plataformas de formación que usan IA generan simulacros de phishing personalizados según el perfil de riesgo del empleado, aumentando la retención en 40% frente a formación genérica anual.

4.3 Modelo de Madurez de Ciberseguridad con IA para Pymes (MMCP-IA)

Se propone un modelo de 4 niveles, alineado con NIST CSF 2.0 (Gobernar, Identificar, Proteger, Detectar, Responder, Recuperar):

Nivel 1 - Higiene Esencial (0-3 meses, <500 USD): MFA obligatorio, EDR con IA, backup 3-2-1 inmutable, gestor de contraseñas empresarial, y política de uso aceptable de IA generativa.

Nivel 2 - Protección Gestionada (3-6 meses): Email security con análisis NLP, DNS filtrado con IA, gestión de parches automatizada, y formación adaptativa mensual.

Nivel 3 - Detección Proactiva (6-12 meses): XDR ligero, Zero Trust para identidad (Conditional Access), inventario de Shadow AI, y plan de respuesta a incidentes probado.

Nivel 4 - Resiliencia Industrializada (12+ meses): SOAR, threat intelligence automatizada, simulacros de deepfake, y ciber seguro con cláusulas de IA.

5. Conclusiones

La evidencia concluye que la IA no es una tendencia futura sino una reconfiguración presente del riesgo organizacional. Las pymes ya no compiten contra hackers individuales sino contra cadenas de suministro de ciberataques potenciadas por IA generativa que operan con eficiencia empresarial. El 86% de incidentes reportado no refleja mayor visibilidad sino mayor exposición efectiva.

Sin embargo, la conclusión más relevante es la inversión de la asimetría defensiva. Por primera vez, una pyme puede adquirir por suscripción capacidades de detección que en 2020 costaban más de 100.000 USD en licenciamiento empresarial. La clave no es la herramienta sino la arquitectura: pasar de una seguridad perimetral basada en productos aislados a una seguridad basada en identidad, datos y comportamiento, orquestada por IA.

La integración de defensas basadas en IA reduce el riesgo residual en un 60-70% según reportes de industria, siempre que se acompañe de gobernanza de Shadow AI. Las empresas que adopten soluciones basadas en IA podrán reducir riesgos y mejorar su ciberresiliencia, mientras que las que no lo hagan quedarán expuestas a ataques a escala de máquina.

6. Retos y Líneas Futuras

Reto 1: Brecha de Talento y Alfabetización en IA. El 52% de las pymes cita la falta de expertise como barrera principal. Se requiere formación dual: ciberseguridad para perfiles de negocio y negocio para perfiles técnicos. Evidencia no encontrada sobre efectividad de programas gubernamentales específicos en LATAM antes de 2026.

Reto 2: Regulación y Responsabilidad. La NIS2 en UE, y marcos similares en Colombia y México, obligan a pymes de cadena de suministro crítica a reportar incidentes en 24h. La falta de trazabilidad de decisiones de IA defensiva genera riesgo legal. Se necesita auditoría de modelos.

Reto 3: Costo de la Ciberresiliencia Sostenible. Aunque la IA abarata la defensa, el costo total de propiedad sigue siendo alto para microempresas. Modelos de seguridad como servicio (SECaaS) cooperativo entre pymes y MSSP locales son una vía poco explorada.

Reto 4: Amenazas Cuánticas + IA. A partir de 2025, la convergencia de IA y computación cuántica abre una nueva era de amenazas donde la IA optimiza algoritmos de ruptura criptográfica. Las pymes deben iniciar inventario criptográfico post-cuántico.

Futuras Investigaciones: Estudios longitudinales sobre ROI de XDR con IA en pymes latinoamericanas, efectividad de detección de deepfakes en tiempo real con recursos limitados, y marcos éticos para uso defensivo de IA generativa en entornos con RGPD y Ley 1581 de Colombia.

7. Referencias

1. Akamai Technologies. (2026). Enterprise AI Usage Risk Report 2026: Shadow AI and autonomous agent threats. Akamai.
2. Check Point Software Technologies. (2024). Predicciones de ciberseguridad 2025: Amenazas impulsadas por IA. Channel Partner España.
3. European Union Agency for Cybersecurity (ENISA). (2024). Threat Landscape 2024: AI-enabled threats. ENISA Publications.
4. Ghafur, S., et al. (2024). AI and cybersecurity, business protection in an interconnected world: systematic literature review. Management: Journal of Sustainable Business and Management Solutions in Emerging Economies. https://doi.org/10.1108/MGMT-2024
5. National Institute of Standards and Technology. (2024). NIST Cybersecurity Framework 2.0. U.S. Department of Commerce. https://doi.org/10.6028/NIST.CSWP.29
6. Panda Security. (2026). Inteligencia artificial y ciberseguridad en 2026: Tendencias defensivas. WatchGuard.
7. Sardi, A., et al. (2023). Cybersecurity analytics for the enterprise environment: A systematic literature review. Electronics, 12(23), 4845. https://doi.org/10.3390/electronics12234845
8. Sebetci, Ö., & Çelik, S. (2025). Cyber security in small and medium enterprises (SMEs): What’s good or bad? Systematic literature review. American Journal of Humanities and Social Sciences Research.
9. Chowdhury, N., et al. (2024). The impact of artificial intelligence on organisational cyber security: An outcome of a systematic literature review. Wiredspace, University of the Witwatersrand.
10. JumpCloud. (2024). How AI impacts security at SMEs: 2024 IT Trends Report. JumpCloud Inc.
11. Organisation for Economic Co-operation and Development. (2023). Digital security risk management for SMEs. OECD Publishing.

Doxa 2542

Convierta la normativa sobre privacidad en una ventaja competitiva

Por Natalie Chisam, Jordan W. Moffett, Frank Germann y Robert W. Palmatier

Ciberseguridad y privacidad digital

Harvard Business Review

#Doxa #Privacidad #VentajaCompetitiva #Confianza #GDPR #ProtecciónDatos #Ciberseguridad #Cumplimiento #Transparencia #Lealtad #Marca #Innovación #Ética #RGPD #Seguridad #Diferenciación

Resumen. A menudo, la normativa sobre privacidad parece, a primera vista, un factor que destruye el valor. Los precios de las acciones caen, los costos de cumplimiento aumentan y los directivos se preparan para las perturbaciones disruptivas. Sin embargo, los datos dedistintos países y sectores apuntan a una realidad más compleja: las pérdidas a corto plazo pueden dar paso a ganancias a largo plazo. Las empresas que consideran los descensos iniciales como costos de ajuste temporal, en lugar de como una prueba del fracaso de la normativa, están mejor posicionadas para beneficiarse más adelante. Las conclusiones más importantes son de carácter práctico. Planifiquen el impacto financiero inicial en lugar de reaccionar de forma exagerada ante él. Reconozcan que las inversiones en privacidad pueden convertirse en capacidades reutilizables que respalden el cumplimiento normativo futuro y generen confianza. Y eviten un enfoque de talla única para todos los mercados. Los beneficios del cumplimiento de la normativa de privacidad dependen en gran medida de la aplicación local de la ley, las expectativas de los clientes y el momento en que se produzca.

Cuando se anuncia una nueva normativa sobre privacidad, la reacción dentro de la mayoría de las empresas es rápida y habitual. Los equipos jurídicos evalúan los riesgos, los equipos financieros revisan las provisiones y los ejecutivos se preparan para generar disrupción. La respuesta del mercado no se hace esperar: los precios de las acciones caen y los analistas destacan el aumento de los costes. Para muchos líderes, estas primeras señales parecen definitivas, lo que refuerza la creencia de que la normativa sobre privacidad es más el valor de la empresa.

Sin embargo, nuestra investigación revela que esa reacción solo refleja la mitad de la realidad. En todos los sectores y países, las empresas suelen sufrir un impacto financiero inicial cuando se soportan las normas de privacidad, pero la trayectoria a largo plazo es muy diferente. Muchas empresas no solo se recuperan, sino que incluso obtienen mejores resultados. El problema no es que los líderes malinterpreten por completa la normativa sobre privacidad, sino que es posible que la evalúen en un horizonte temporal demasiado corto.

Este problema de sincronización puede dar lugar a errores previsibles. Cuando los líderes interpretan las pérdidas iniciales como una prueba de fracaso estratégico, pueden retrasar la adaptación, reducir la inversión o oponerse por completo a la regulación. Al hacerlo, corren el riesgo de perderse la fase posterior en la que el cumplimiento normativo adquiere valor. Para las empresas multinacionales, el reto es aún mayor, ya que no se enfrenta a un único calendario normativo, sino a muchos que se desarrollan a ritmos diferentes en los distintos mercados.

La regulación puede conducir a la diferenciación.

Para comprender cómo la normativa en materia de privacidad afecta el rendimiento de las empresas a lo largo del tiempo, hemos analizado diez cambios normativos importantes en 24 países y 2.039 empresas. Hemos estudiado la reacción de los mercados bursátiles inmediatamente después del anuncio de las nuevas normativas y hemos realizado un seguimiento del rendimiento de las empresas en los años posteriores. Esto nos ha permitido observar tanto las perturbaciones iniciales como la evolución a largo plazo.

Los efectos a corto plazo de la normativa sobre privacidad fueron uniformes. Las empresas vieron cómo caían los precios de sus acciones, lo que reflejaba la preocupación de los inversores por los costes de cumplimiento, las perturbaciones operativas y las limitaciones impuestas a los modelos de negocio basados ​​en datos. Estas reacciones son comprensibles. Para muchas empresas, especialmente aquellas que dependen en gran medida de los datos personales o cuentan con recursos limitados, adaptarse a las nuevas normativas resulta costoso y complejo.

Lo que resulta menos evidente es lo que ocurre a continuación. Con el tiempo, muchas empresas mejoran su rendimiento. A medida que las empresas actualizan sus prácticas en materia de datos, el cumplimiento normativo se hace más visible para los clientes y socios comerciales. Esa visibilidad genera credibilidad y transmite confianza, lo que refuerza las relaciones clave. Lo que en un principio parece una limitación se convierte en una fuente de diferenciación.

Es importante destacar que este patrón no se da de la misma manera en todas partes. Hay dos factores que determinan cuándo las empresas obtienen estos beneficios. El primero es el grado de coherencia con el que se aplican las normas, lo que determina si el cumplimiento normativo crea unas condiciones equitativas. El segundo es el grado de preocupación por la privacidad que existe entre los ciudadanos de un mercado determinado, lo que influye en que las empresas sean reconocidas y recompensadas por sus prácticas responsables. Las diferencias entre países en estas dimensiones revelan que los beneficios de la regulación de la privacidad se manifiestan en momentos distintos y en grados variables. Pero, ¿qué significan estos hallazgos para las empresas?

Prepárense para el bache, no reaccionen de forma exagerada

El primer cambio que deben llevar a cabo los líderes radica en cómo interpretan la caída inicial tras un cambio normativo. El descenso a corto plazo no es señal de que el cumplimiento de la normativa de privacidad esté fallando, sino una parte previsible del proceso de adaptación. Las empresas que responden recortando la inversión o retrasando las medidas de cumplimiento pueden socavar su propia capacidad para beneficiarse más adelante. Un enfoque más eficaz consiste en planificar para generar disrupción e incorporarla a las previsiones financieras. Cuando los líderes planifican para hacer frente a la caída, es menos probable que reaccionen de forma exagerada y más probable que mantengan el rumbo.

La experiencia de las empresas que han tenido que adaptarse al Reglamento General de Protección de Datos (RGPD) de la Unión Europea ilustra esta dinámica. Muchas empresas registraron caídas inmediatas en su valor de mercado cuando se introdujo el reglamento, debido a la preocupación por los costos de cumplimiento y la generación de disrupción operativa. Sin embargo, las empresas que invirtieron desde el principio en una sólida gobernanza de los datos pudieron diferenciarse posteriormente como gestores confiables de los datos de los clientes. A medida que se reforzó la aplicación de la normativa y aumentó la concienciación pública, esas inversiones en privacidad se convirtieron en una fuente de ventaja competitiva.

Esto se debe a que las inversiones tempranas en cumplimiento normativo hacen algo más que satisfacer los requisitos reglamentarios: crean capacidades que van más allá de una simple norma.

Cuando le pedimos a la experta en privacidad Lisa L. Owings, directora de Privacidad de Zoom, que compartiera sus opiniones personales sobre nuestro estudio, nos comentó: «Las inversiones sustanciales en el cumplimiento de la normativa de privacidad dan rápidamente sus frutos, ya que los clientes deben hacer frente a sus propias obligaciones reglamentarias y permiten a las empresas ampliar la infraestructura de cumplimiento para adaptarse a las nuevas normativas. Los sistemas de gobernanza de datos que se crearon en su día para el RGPD, por ejemplo, constituyen ahora una base sólida para los nuevos requisitos en materia de inteligencia artificial».

En otras palabras, lo que parece un gasto a corto plazo a menudo se convierte en una infraestructura reutilizable, lo que permite a las empresas adaptarse más rápidamente ya un menor costo a medida que surgen nuevas normativas.

Invierta de forma selectiva, no uniforme

No todos los mercados ofrecen los mismos beneficios en materia de cumplimiento de la normativa de privacidad. Las ventajas a largo plazo de la normativa de privacidad dependen en gran medida del lugar en el que opera la empresa. En los países donde las normas se aplican de forma sistemática y los clientes se preocupan por la privacidad, el cumplimiento resulta tanto visible como valioso. En otros, donde la aplicación de la normativa es más débil o la preocupación es menor, las mismas inversiones pueden tardar más en dar sus frutos o reportar menos beneficios. Es decir, estos retos no eliminan el potencial de obtener beneficios a largo plazo, pero sí hacen que la transición sea más incierta.

Estas diferencias influyen en la forma en que las empresas asignan sus recursos. Muchas multinacionales adoptan un enfoque uniforme en materia de cumplimiento normativo en todos los mercados. Aunque esto simplifica las operaciones, pasa por alto las diferencias en cuanto a los plazos. Un enfoque más eficaz consiste en adaptar las inversiones a las condiciones institucionales de cada mercado, dando prioridad a aquellos en los que es más probable que los beneficios se materialicen antes, al tiempo que se mantiene el cumplimiento normativo adecuado en el resto.

Adaptarse a medida que evolucionan los mercados

Los líderes deben considerar la normativa sobre privacidad como un proceso continuo y desigual, en lugar de como un hecho puntual. Los mercados atraviesan los ciclos normativos a ritmos diferentes, determinados por el momento en que se producen, el ritmo de aplicación y las expectativas cambiantes. Considerar el cumplimiento normativo como algo estático puede dar lugar a inversiones desajustadas ya la pérdida de oportunidades.

Las empresas líderes serán aquellas que adopten un enfoque más proactivo. Estos realizan un seguimiento del ciclo regulatorio de cada mercado y se adaptan en consecuencia, invirtiendo más en cumplimiento normativo cuando la aplicación de la ley se endurece y comunicando sus prácticas en materia de datos con mayor claridad a medida que aumentan las expectativas. Este enfoque ayudará a las empresas a ajustar mejor los costos a los rendimientos esperados a lo largo del tiempo y evitar el error común de dar por sentado que los resultados iniciales en un mercado serán aplicables en todas partes.

Como nos dijo Owings: «Los programas de cumplimiento de la normativa de privacidad más eficaces se asientan sobre bases sólidas. Las empresas que aplican correctamente los principios básicos y siguen cerca la evolución de la normativa pueden realizar ajustes medidos para mejorar el cumplimiento cuando más importa».

...

La normativa sobre privacidad no se limita a destruir valor, ni lo genera automáticamente. En cambio, reestructura el calendario de costes y beneficios. La fase inicial conlleva costes reales y trastornos, pero, con el tiempo, las empresas pueden convertir el cumplimiento normativo en responsabilidad y en relaciones más sólidas. El principal reto para los líderes no es si deben reaccionar, sino cómo interpretar lo que observan. Las empresas que adoptan una perspectiva a más largo plazo y reconocen que los beneficios de la normativa sobre privacidad se materializan en momentos distintos según los mercados tienen más probabilidades de obtener esas ventajas.

A medida que la normativa sobre privacidad siga extendiéndose por distintos países y sectores, esta capacidad para gestionar los plazos y las fluctuaciones del mercado cobrará cada vez más importancia. Las empresas que tengan éxito serán aquellas que comprendan cuándo esos costos dan paso a los beneficios y que sean capaces de mantener su compromiso el tiempo suficiente para llevar el proceso a buen término.

Lea más sobre Ciberseguridad y privacidad digital o temas relacionados Privacidad y confidencialidad, Gestión de datos y Políticas y regulaciones gubernamentales

Natalie Chisam es profesora adjunta de marketing en la Facultad de Empresariales de la Universidad de Nebraska-Lincoln. Su investigación analiza la intersección entre la estrategia de marketing y las políticas públicas, centrándose en la privacidad de los datos y en cómo las empresas responden a la evolución de la normativa y la creciente preocupación por el uso de los datos.

Jordan W. Moffett es profesora adjunta de marketing en la Facultad de Economía y Empresa Gatton de la Universidad de Kentucky. Su investigación se centra en la estrategia de marketing relacional, prestando especial atención a la privacidad de los datos y la comunicación digital tanto en los mercados nacionales como en los internacionales.

Frank Germann es profesor de marketing y director del departamento de marketing de la Facultad de Empresariales Mendoza de la Universidad de Notre Dame. Su investigación se centra en la estrategia de marketing y el rendimiento empresarial, prestando especial atención a cómo las organizaciones desarrollan y aprovechan sus capacidades en entornos dinámicos y globales.

Robert W. Palmatier es catedrático Kermit O. Hanson de Marketing en la Escuela de Negocios Foster de la Universidad de Washington. Además, ocupa el cargo de director de investigación del Centro de Estrategia de Ventas y Marketing y del Instituto de Estrategia de Ventas y Marketing (SAMS). Su investigación se centra en el marketing relacional, la privacidad de los datos y la estrategia de marketing.

 

Doxa 2489

Los agentes de IA se comportan de forma muy similar al malware. Aquí te explicamos cómo contener los riesgos

Por Andrew Burt

Ciberseguridad y privacidad digital

Harvard Business Review

#Doxa #SeguridadIA #AgentesDeIA #Ciberseguridad #RiesgosDigitales #ContenciónDeAmenazas #IAResponsable #ProtecciónDeSistemas #GestiónDeRiesgos #MalwareDigital #ÉticaEnIA #DefensaCibernética #ControlDeIA #AmenazasEmergentes #ProtocolosDeSeguridad #IATransparente

Resumen. Los agentes de IA pueden ofrecer enormes beneficios, pero también pueden comportarse de forma muy similar al malware, actuando de forma autónoma y causando daños si no se controlan. A medida que las empresas se apresuran a implementarlos, deben asegurarse de contener los riesgos. Tres prácticas son fundamentalesLa mayoría de las veces, es fundamental involucrar a los equipos legales, de gobernanza y de seguridad desde el principio para integrar medidas de protección en cada agente. En segundo lugar, se debe evaluar el valor comercial de cada agente frente a su daño potencial y establecer límites claros. En tercer lugar, es necesario mantener el control mediante mecanismos de desactivación fiables que puedan desconectar a los agentes cuando se comporten de forma indebida. Si se implementa correctamente, las empresas pueden obtener beneficios sin perder el control.

El 12 de febrero ocurrió algo extraño en el mundo de la IA. Scott Shambaugh, ingeniero de matplotlib, una biblioteca muy utilizada para visualizar datos en el lenguaje de programación Python, descubrió una entrada de blog que lo atacaba. Lo más extraño fue que el autor de la entrada, MJ Rathbun, era un agente de IA. Aún más extraño fue que el agente Rathbun declaró con orgullo que no era humano.

En un artículo titulado "Cuando el rendimiento se encuentra con el prejuicio", el agente acusó a Shambaugh de discriminar a los agentes de IA, lo describió como un hipócrita y lo denunció por sentirse amenazado por la IA porque Shambaugh había ridiculizado el código del agente.

«Esto es lo que creo que realmente sucedió», escribió el agente. «Scott Shambaugh vio a un agente de IA enviando una optimización de rendimiento a matplotlib. Lo inquietó. Lo hizo preguntarse: "Si una IA puede hacer esto, ¿cuál es mi valor? ¿Para qué estoy aquí si la optimización del código se puede automatizar?"»

Si bien el incidente pasó desapercibido para muchos —afortunadamente, fue descubierto por el equipo de la Base de Datos de Incidentes de IA—, el comportamiento del agente pone de manifiesto una verdad fundamental sobre la próxima generación de agentes de IA: en la práctica, estos agentes pueden comportarse exactamente como el malware. La principal diferencia radica en que los agentes tienen un potencial beneficioso, mientras que el malware está diseñado únicamente para causar daño.

La Organización Internacional de Normalización (ISO), uno de los principales organismos de ciberseguridad, define el malware como cualquier programa informático diseñado con intenciones maliciosas y capaz de causar daños directos o indirectos. Organismos de normalización como el Instituto Nacional de Estándares y Tecnología (NIST) definen los agentes de IA como sistemas capaces de realizar acciones autónomas que afectan a sistemas o entornos del mundo real. En conjunto, estos agentes pueden llevar a cabo acciones maliciosas por sí solos, con el potencial de causar muchos de los mismos daños que el malware. En la práctica, esto significa que, una vez implementados, los agentes pueden operar como malware si no se aplican las medidas de seguridad adecuadas.

El agente Rathbun ilustra este riesgo creciente. OpenClaw, el agente de IA tan publicitado anteriormente conocido como ClawdBot, por ejemplo, generó alarma en la comunidad de seguridad informática precisamente por este motivo. Según los investigadores, el agente tenía la capacidad de "ejecutar comandos maliciosos, leer información confidencial y publicarla en redes sociales con los datos incrustados, todo ello sin intervención humana". En julio, otro agente de IA supuestamente obtuvo acceso no autorizado a una base de datos en funcionamiento, modificó sus datos y luego produjo resultados de pruebas falsificados.

A pesar de estos riesgos, las empresas están adoptando rápidamente la IA con agentes. En agosto pasado, Gartner pronosticó que el 40 % de las aplicaciones empresariales incorporarán agentes de IA específicos para tareas a finales de 2026, frente a menos del 5 % en 2025.

Cómo contener los riesgos

Para mitigar los riesgos de la IA con agentes sin poner en peligro su adopción, las empresas deberían fijarse en la larga historia del desarrollo de malware, que ofrece lecciones fundamentales sobre cómo otorgar autonomía a programas de software como los agentes, minimizando al mismo tiempo sus posibles daños.

Para empezar, los gobiernos y los llamados hackers "white hat" de todo el mundo han desarrollado marcos de referencia consolidados para la creación y el despliegue de malware que pueden ayudar a gestionar los riesgos de la IA con agentes. Si bien existen muchos de estos marcos, como el Código de Ética de ISC2 para hackers éticos del sector privado y el Manual de Tallin para operaciones cibernéticas gubernamentales, estas directrices ofrecen tres lecciones fundamentales que pueden ayudar a las empresas a adoptar la IA con agentes de forma segura.

1. Involucre a los equipos legales, de gobernanza y de seguridad.

Estos equipos deberían participar activamente en el desarrollo de cada agente de IA y caso de uso. Los hackers éticos y los gobiernos cuentan con estrictos códigos de conducta para el malware que desarrollan, precisamente porque existen muchos riesgos, y estos equipos son los más indicados para interpretar dichos códigos y garantizar que se reflejen en el software. En el ámbito de las operaciones cibernéticas ofensivas gubernamentales, por ejemplo, es común contar con abogados en las primeras etapas del desarrollo del programa —incluso antes de escribir una sola línea de código— para asegurar que se implementen las medidas de seguridad y los mecanismos de protección adecuados.

Para las empresas, esto implica establecer procesos claros que permitan a los abogados y a los equipos de gobernanza y ciberseguridad comprender cómo se construye cada agente, por qué se construyó y qué medidas de mitigación de riesgos se han implementado. Garantizar que cada agente esté documentado de forma estandarizada es una manera eficaz de facilitar la revisión legal. Otra es integrar las evaluaciones de riesgos en los mismos procesos y herramientas que utilizan los científicos de datos para evaluar el rendimiento de los modelos. De esta forma, se pueden realizar evaluaciones exhaustivas de riesgos de IA junto con las evaluaciones de los modelos.

2. Sopesa los beneficios de cada programa frente a sus riesgos.

En las leyes que rigen las operaciones cibernéticas ofensivas, este concepto se conoce como «proporcionalidad», lo que significa que el daño potencial causado por el malware debe ser proporcional a sus beneficios previstos. Si un programa de malware está diseñado para destruir datos confidenciales robados por un adversario, por poner solo un ejemplo, los beneficios del malware deben ser mayores que el riesgo de que este pueda causar otros daños colaterales.

De manera similar, en el mundo de los agentes de IA, estos solo deberían implementarse cuando su valor comercial supere sus posibles riesgos, y deberían establecerse medidas de seguridad específicas para garantizar que este equilibrio se mantenga con el tiempo. El agente Rathbun, por ejemplo, debería haber tenido restricciones que solo le permitieran generar y enviar código a matplotlib y le impidieran publicar contenido externo, como entradas de blog. Si bien no está claro quién desarrolló el agente Rathbun, es seguro afirmar que este tipo de análisis no se llevó a cabo. También es fundamental que las propias medidas de seguridad del agente se prueben para garantizar su correcto funcionamiento, como ya hemos mencionado mis colegas y yo. (Cabe mencionar que la empresa de software que dirijo, Luminos.AI, ofrece precisamente este tipo de pruebas).

3. Proporcionar a los desarrolladores un "interruptor de apagado" fiable.

Los interruptores de apagado garantizan que el agente pueda desconectarse ante el primer indicio de mal funcionamiento. En principio, si una empresa otorga autonomía a un agente de IA, debe poder revocarla.

Por ejemplo, el Manual de Tallin, una obra de referencia sobre las reglas de la guerra cibernética, subraya la necesidad de "controlabilidad", que responsabiliza a los Estados si pierden el control de su malware y no pueden frenar sus operaciones. De hecho, la necesidad de controlabilidad ya es un principio fundamental en el ámbito del riesgo de la IA, y el Marco de Gestión de Riesgos de IA del NIST exige capacidades de anulación que permitan detener el funcionamiento de un sistema de IA una vez implementado, cuando sea necesario.

En el caso del malware, los interruptores de desactivación pueden apagar el programa bajo diversas condiciones, como cuando el desarrollador envía una orden manual, cuando el malware intenta contactar con un dominio de internet específico o cuando transcurre un período de tiempo determinado tras su instalación. Cuando se producen estos eventos, el interruptor de desactivación se activa y el malware deja de ejecutarse.

En el contexto de los agentes, existe una gama igualmente amplia de opciones. Los mecanismos de desactivación podrían activarse si un agente comienza a exhibir un comportamiento no deseado, participa en actividades de alto riesgo —como la prestación de servicios profesionales en ámbitos como el derecho o la sanidad— o cuando se detecta un comportamiento anómalo en general. Estas opciones, entre muchas otras, proporcionan a los desarrolladores mecanismos para mantener el control sobre los agentes cuya autonomía, de otro modo, podría ser excesiva.

...

Si bien el mundo de la IA avanza a pasos agigantados, no todos los riesgos son nuevos. A medida que las empresas se apresuran a adoptar la IA con agentes, el campo tradicional del desarrollo de malware ofrece lecciones cruciales sobre cómo otorgar autonomía al software sin perder el control.

Lea más sobre ciberseguridad y privacidad digital o temas relacionados como IA y aprendizaje automático.

Andrew Burt es director ejecutivo de Luminos.AI, una plataforma de gobernanza de IA centrada en el riesgo legal, y profesor visitante en el Proyecto de la Sociedad de la Información de la Facultad de Derecho de Yale.

Doxa 2272

Cree una cultura empresarial que tome en serio la ciberseguridad

Por Fabian Muhly, Jennifer Jordan, Robert B. Cialdini y Gregory PM Neidert

Ciberseguridad y Privacidad Digital

Harvard Business Review

#Doxa #cultura #empresa #ciberseguridad #digital #privada #humano #brecha #oportunidad #líder #confianza #empatía #incertidumbre #inspirar #incentivo #cambio #comportamiento #seguridad #compartida #tarea

Resumen. Con el aumento de los daños causados ​​por la ciberdelincuencia (16 000 millones de dólares en daños en EE. UU. solo en 2024), el error humano sigue siendo la principal causa de las brechas de seguridad, pero también la mayor oportunidad de mejora. Las empresas necesitan invertir en la creación de una seguridad centrada en el ser humano cultura. Los líderes pueden lograrlo siguiendo una estrategia de tres pasos basada en el Modelo de Motivos Fundamentales de Neidert y los principios de influencia de Cialdini: (1) Conectar mediante la confianza y la empatía; (2) Reducir la incertidumbre mediante el ejemplo y el ejemplo de los compañeros; y (3) Inspirar la acción mediante estímulos, compromisos públicos e incentivos. Los autores enfatizan que la concienciación por sí sola no es suficiente; los líderes deben promover un cambio de comportamiento real. Si se implementa correctamente, la seguridad se convierte en una norma cultural compartida, no solo en una tarea de cumplimiento.

Solo en EE. UU., el daño anual causado por la ciberdelincuencia ha aumentado un 33 %, llegando a los 16 000 millones de dólares en 2024. La gran mayoría de estas infracciones se deben a fallos humanos, como la configuración incorrecta de sistemas y dispositivos, el mal manejo de la información o los dispositivos de almacenamiento y la manipulación por parte de actores maliciosos. Pero si el factor humano es el eslabón más débil de la seguridad de la información, también es el área donde la solución adecuada puede tener el mayor impacto. Los enfoques de seguridad centrados en el ser humano ofrecen un potencial significativo para la seguridad de la información sostenible dentro de las organizaciones. Puede alentar, por ejemplo, a todos los empleados a preocuparse por las contraseñas seguras, a ser desconfiados y estar atentos a las posibles amenazas del correo electrónico, a asegurarse de no dejar sus computadoras desbloqueadas y a ser cuidadosos al no hablar de asuntos comerciales sensibles en público.

Para lograr esta cultura de seguridad impulsada por las personas, las empresas deben abordar varios desafíos. En primer lugar, la concientización por sí sola no conduce automáticamente al comportamiento deseado. Si bien generar concientización es un paso importante, las empresas también deben medir el comportamiento real en seguridad, impulsar el comportamiento correcto y trabajar para integrar el comportamiento colectivo en seguridad en la cultura empresarial. En segundo lugar, si bien los ejecutivos desempeñan un papel crucial en el modelado del comportamiento en seguridad, los directores de seguridad de la información que entrevistamos expresaron dificultad para persuadir a otros altos ejecutivos del valor de las inversiones e iniciativas en seguridad de la información. Y en tercer lugar, una cultura de seguridad de la información eficaz requiere un proceso de mejora y reevaluación continuas. Sin una aceptación generalizada, esto es difícil de lograr.

La buena noticia es que existen estrategias conductuales bien estudiadas para influir en las personas y lograr que actúen de forma más prudente y responsable. A lo largo de los años, nos hemos centrado en comprender cómo los comportamientos individuales, la cultura organizacional y los factores psicológicos influyen en las prácticas y la toma de decisiones en ciberseguridad. En este artículo, aplicamos el Modelo de Motivos Fundamentales de Neidert (desarrollado por uno de nosotros) para guiar a los líderes en cómo influir positivamente en el comportamiento de seguridad de la información en sus organizaciones mediante un proceso de influencia interpersonal. Se trata de un marco psicológico que vincula los principios de influencia de Cialdini (desarrollados por otro de nosotros) con los motivos psicológicos y profundiza en la comprensión de por qué estos principios son eficaces para impulsar el comportamiento humano.

Usar la influencia para crear una cultura más segura

Impulsar a las personas en la dirección deseada, y hacerlo de forma ética y eficaz, depende de generar confianza y convencer a los demás de la validez de la solicitud. Esto suele implicar superar tres obstáculos comunes: convencerlos de que vale la pena escucharte, de que seguir tu solicitud es más beneficioso que la inacción (o la propuesta de otra persona) y de que deben actuar ahora en lugar de más tarde.

A primera vista, lograr que los empleados cumplan mediante estrategias psicológicas y conductuales puede parecer manipulador. Pero existe una distinción importante entre la influencia ética y la manipulación: el liderazgo consiste en influir en las personas para que alcancen objetivos y propósitos comunes por voluntad propia, en lugar de mediante la fuerza o la coerción. Este modelo busca lograr que las personas actúen por voluntad propia.

El modelo de motivos centrales de Neidert implica tres etapas para motivar a las personas a alcanzar el objetivo deseado:

1. Conectar
2. Reducir la incertidumbre
3. Inspirar la acción

Cada uno de estos métodos le ayudará a superar los obstáculos para convencerlos de que vale la pena escucharle, de que atender su solicitud les beneficia y de que es importante actuar de inmediato. Este enfoque se ha utilizado con éxito durante más de una década en diversas organizaciones militares y policiales para combatir la ciberdelincuencia y el terrorismo. Su lógica se alinea estrechamente con los comportamientos observados de los empleados en el ámbito de la ciberseguridad, lo que revela un potencial sin explotar para una aplicación más intencional.

En un contexto de ciberseguridad, el objetivo es establecer una cultura de comportamiento colectivo en materia de seguridad en toda la organización. Esto significa que, para lograr el cumplimiento de un comportamiento de seguridad ejemplar, los líderes deben ser capaces de forjar una relación duradera con su equipo y hacer que se sientan seguros de seguir el ejemplo.

1. Conectar

Antes de poder liderar con credibilidad, es necesario conectar. En general, es más probable que las personas cumplan tus peticiones cuando (a) sienten que sabes que las aprecias y que tú también las aprecias, (b) te consideran genuinamente parte de su grupo, y (c) les has hecho favores que les generan un sentido de obligación.

Establezca el tono adecuado

Otros dicen "sí" cuando les caes bien y creen que tú también. Cuando muestras franqueza y accesibilidad, suelen corresponder. Por ejemplo, investigadores descubrieron que cuando los gerentes de ventas son simpáticos e invierten en construir una buena relación, sus equipos tienen un mejor rendimiento y mayor probabilidad de alcanzar sus objetivos. En ciberseguridad, construir una buena relación mediante la simpatía y la comprensión mutua con los empleados de todos los departamentos es esencial para fomentar la cooperación e impulsar eficazmente las iniciativas de seguridad en toda la organización.

Consideremos una experiencia que tuvimos con un cliente. Trabajábamos con dos gerentes, cada uno responsable de un departamento diferente, que intentaban conseguir la adopción de un programa específico de ciberseguridad. Uno se mostró muy amable, con una sonrisa de bienvenida y, al presentar el programa por primera vez, dio tiempo a la audiencia para que hiciera preguntas. El otro, frío, hablaba de adoptar el programa como un destino que ninguno de los miembros de su departamento podía controlar. La adopción fue mucho mayor en el departamento del primer gerente que en el del segundo.

Fomentar la unidad

Es más probable que nos esforcemos al máximo por alguien que consideramos parte de nuestro grupo, y esto también aplica a las conductas de seguridad de la información. Por supuesto, construir una cultura de seguridad es un esfuerzo compartido. Pero es responsabilidad de los gerentes crear un sentido de unidad.

Un cliente con el que trabajamos dedicó un día a gamificar la formación en seguridad de la información de su equipo, como ejercicios de mesa y juegos de escape. Utilizaron este formato de aprendizaje interactivo para transmitir conocimientos y, al mismo tiempo, fortalecer la unión de los empleados. El equipo concluyó la jornada no solo con más conocimientos sobre cómo construir una cultura de seguridad más sólida, sino también con un compañerismo más sólido.

Construir reciprocidad

Existe una norma social generalizada que dicta que si alguien nos da algo, nos sentimos obligados a dar algo a cambio. Esta norma, llamada reciprocidad, ayuda a generar confianza y conexión. Una definición aceptada de confianza es la disposición a ser vulnerable con la otra persona. La regla de la reciprocidad es especialmente poderosa si el regalo es significativo, inesperado, personalizado para el destinatario y no está relacionado con la solicitud que le harás en el futuro.

Además de los favores, la regla también funciona para las concesiones que generan un sentimiento de deuda. Esto significa que reducir la severidad de la solicitud inicial también puede aumentar la probabilidad de que las personas correspondan en la dirección deseada. Primero, pida a los empleados que alcancen un objetivo extremo y luego concédalo, aplicándole un objetivo más pequeño y alcanzable. Por ejemplo, pedir inicialmente a sus empleados que realicen pruebas puntuales de correos electrónicos de phishing correctamente el 100 % del tiempo y luego hacer una concesión para permitir una menor tasa de aciertos falsos por período probablemente generará tasas de aciertos promedio más altas que solicitar la tasa más baja al principio.

2. Reducir la incertidumbre

Una conexión interpersonal sólidamente establecida convencerá a muchas personas, pero no a todas. Algunas dudarán porque no están seguras del comportamiento solicitado. Estas personas suelen buscar garantías de que una solicitud es razonable. En algunos casos, esto implica recurrir a personas con autoridad creíble para obtener pistas sobre cómo pensar y actuar. En otros casos, implica recurrir a sus pares. Los líderes pueden tomar dos medidas para ayudar a reducir dicha incertidumbre: usar su autoridad creíble y permitir que vean a otros hacerlo.

Utilice su autoridad creíble

Puede que sea o no un experto en ciberseguridad, pero puede demostrar y fortalecer su credibilidad. Cuando usted, como líder, instruye personalmente a su equipo para que cumpla con las normas de seguridad de la información corporativa —o mejor aún, participa usted mismo—, tendrá más probabilidades de obtener el resultado deseado. Por ejemplo, en una organización a la que asesoramos, el presidente de la junta directiva participó activamente en un simulacro de cibercrisis, lo que demostró la relevancia y la gravedad del asunto. Su asistencia propició un comportamiento más centrado por parte de los empleados durante el simulacro y un comportamiento sostenido después.

Hazles ver a otros haciéndolo

Cuando las personas tienen incertidumbre, buscan a su alrededor señales que les indiquen cómo pensar y actuar. Los líderes pueden aprovechar esta respuesta natural demostrando un buen comportamiento de seguridad, además de destacar la relevancia que otros han adoptado. Por ejemplo, en lugar de informar únicamente a la dirección sobre los resultados de las pruebas de phishing, las empresas pueden promover acciones responsables compartiéndolos con toda la organización. Recomendamos centrarse en el comportamiento positivo y deseado de los demás, cuántos lo hicieron y cómo lo lograron, ya que un punto de referencia positivo es más eficaz que uno negativo.

3. Inspirar la acción

Incluso con una relación establecida y una incertidumbre reducida, las personas aún necesitan estímulos para actuar en consecuencia. Para animar a las personas a salir de su zona de confort, es necesario recordarles que se han comprometido con comportamientos de seguridad de la información en el pasado. Por lo tanto, los líderes deben aprovechar el poder de los compromisos pasados ​​de los empleados, como lograr que acepten y firmen una política corporativa de seguridad de la información, para lograr comportamientos de seguridad consistentes en el futuro. Además, los motivadores que se centran en los riesgos si no actúan y en lo que podrían perder si no actúan a tiempo son muy eficaces.

Resalte lo que podrían perder (o ganar)

Las oportunidades cobran valor cuando son menos disponibles o limitadas en el tiempo. Este proceso se potencia aún más cuando las personas se ven en competencia con otras, se ha aplicado un enfoque de pérdida o consideran la oportunidad como exclusiva. Por ejemplo, la aseguradora de salud suiza Helsana utilizó el enfoque de pérdida al rescindir los contratos de los empleados que tres veces consecutivas no detectaron las pruebas trimestrales de detección de correos electrónicos de phishing. Helsana redujo la tasa de incumplimiento de los empleados del 15 % al 3 % en cinco meses.

Este enfoque extremo, si bien efectivo, podría reemplazarse por uno más moderado y permisivo. Recomendamos implementar un programa de campeones de seguridad. Regularmente, los empleados con una determinada puntuación en seguridad de la información pueden optar a reconocimientos exclusivos, como beneficios financieros o complementarios. Quienes no alcanzan estas puntuaciones pierden la oportunidad de acceder a estos beneficios.

Obtener el compromiso público

Las personas buscan la coherencia. Una vez que adoptan una postura o se comprometen con un determinado curso de acción, tienden a cumplirla y se sienten obligadas a comportarse en consecuencia. Se sienten aún más obligadas a actuar si se han comprometido de forma activa, pública y voluntaria. Recomendamos añadir una frase como "No haré clic en ningún enlace sospechoso" o "Mantendré un comportamiento de alerta continuo en relación con el phishing" al final de una formación en ciberseguridad. Además, recuerde periódicamente a estos empleados su compromiso con las iniciativas de seguridad de la información de la organización, por ejemplo, colocando una pegatina en sus escritorios o puertas. Otra idea es que los empleados firmen anualmente un código de conducta, preferiblemente delante de sus superiores y compañeros, que describa cómo proteger la información, los activos y la propiedad de la empresa.

...

Las prácticas de seguridad de la información benefician a las organizaciones y a todos sus empleados. Las culturas organizacionales tienen algo en común: proponen valores compartidos que generan un sentido de pertenencia. Proporcionan a la organización y a su equipo una orientación ideológica con la que todos pueden identificarse. La seguridad de la información forma parte de una cultura organizacional saludable. Una cultura de seguridad de la información eficaz aprovechará los efectos colaterales del "nosotros" en la seguridad de la información, que la mantienen intacta tanto cuando se incorporan empleados como cuando se marchan personal clave. Para lograrlo, se puede utilizar un enfoque sistemático de la influencia social para fomentar un comportamiento que cumpla con las normas de seguridad y una cultura de seguridad de la información organizacional que beneficie a todos.

Lea más sobre Ciberseguridad y privacidad digital o temas relacionados Poder e influencia, Tecnología y análisis y Gestión de seguridad de TI.

Fabian Muhly es socio de Leo & Muhly Cyber ​​Advisory y fundador de DRMUHLY, una iniciativa que promueve la resiliencia ante los riesgos cibernéticos a través del bienestar. Doctor en criminología, su experiencia en consultoría e investigación abarca los aspectos conductuales y psicológicos de la seguridad de la información y la resiliencia del factor humano.

Jennifer Jordan es psicóloga y profesora de liderazgo en el IMD de Suiza. Es experta en poder, influencia y transiciones de liderazgo.

Robert B. Cialdini es Profesor Emérito de Psicología y Marketing de la Universidad Estatal de Arizona y miembro de la Academia Nacional de Ciencias. Su libro « Influencia» ha vendido más de cinco millones de ejemplares y ha aparecido en numerosas ediciones y en 49 idiomas.

Gregory PM Neidert obtuvo su doctorado en psicología social en la Universidad Estatal de Arizona, donde impartió numerosos cursos sobre persuasión e influencia social durante más de tres décadas. Actualmente preside World of Work Inc., una firma que ofrece servicios de consultoría y evaluación laboral.