Ciberseguridad: qué proteger primero, y con qué presupuesto

Una empresa de manufactura de doscientas personas contrata una prueba de seguridad. El informe llega con ciento cuarenta hallazgos ordenados por severidad técnica: catorce críticos, treinta y uno altos y el resto entre medios y bajos. La gerencia pregunta lo único que ese informe le permite preguntar: cuánto cuesta arreglarlo todo. La respuesta es un número que nadie aprueba, el informe se archiva y la empresa sigue igual, ahora con la certeza documentada de que está mal.

La pregunta que la gerencia necesitaba poder hacer era otra: cuál se atiende el lunes. Y esa no se responde con la severidad, porque la severidad mide qué tan grave sería si alguien aprovechara la falla, no qué tan probable es que alguien la esté aprovechando ahora.

Lo que cambió este año

El informe anual de brechas de datos de Verizon, el DBIR, analiza incidentes reales y no encuestas de percepción. Su edición de mayo de 2026 trae un cambio de orden: el aprovechamiento de fallas de software, con el 31% de los casos, superó por primera vez al robo de credenciales como vía de entrada (Verizon, DBIR 2026). El informe atribuye parte del cambio a que la inteligencia artificial acortó de meses a horas el tiempo entre que una falla se conoce y alguien la usa.

La consecuencia es poco cómoda. Durante años el consejo para una empresa mediana fue empezar por las contraseñas y el doble factor de autenticación. Sigue siendo necesario, y ya no es lo primero: si la ventana se mide en horas, la capacidad de instalar correcciones rápido pasa a ser la primera línea. Esa capacidad no se compra. Se organiza.

La lista corta

Un inventario completo de activos toma meses y queda desactualizado antes de terminarse. Lo que sí se hace en una semana es la lista corta, y sale de una sola pregunta: si mañana este sistema no está, o sus datos están alterados, qué deja de funcionar en el negocio y en cuántas horas se nota. Casi siempre quedan entre cinco y ocho sistemas arriba de todo, y el resto se ordena solo.

Esa lista se arma con operaciones en la sala, no solo con tecnología. Tecnología sabe qué sistemas existen; operaciones sabe cuáles duelen. La diferencia entre las dos listas suele ser el hallazgo más útil del ejercicio.

Un criterio público para decidir qué se corrige primero

La agencia de ciberseguridad del gobierno de los Estados Unidos, el CISA, publica el catálogo de vulnerabilidades explotadas conocidas, que en la industria se nombra por su sigla en inglés, KEV. Una falla entra al catálogo cuando hay evidencia de que alguien la está aprovechando, no cuando es teóricamente grave. Al 2 de septiembre de 2026 contenía 1.694 vulnerabilidades de 283 fabricantes (CISA, catálogo KEV), un número manejable frente a las decenas de miles que se publican cada año.

La regla que sale de ahí es difícil de discutir: primero se corrige lo que aparece en ese catálogo y existe en su empresa, y después lo demás, por severidad. Según el mismo DBIR, solo el 26% de las vulnerabilidades del catálogo estaban corregidas en las organizaciones analizadas. Es la única cifra del informe sobre la que una empresa puede actuar esta semana sin comprar nada.

Las otras tres puertas

• Los proveedores. Las brechas que involucran a un tercero llegaron al 48%. Cuatro exigencias caben en el contrato al firmar: plazo para avisar de un incidente, alcance del acceso, qué pasa con los accesos y los datos al terminar, y de quién depende el proveedor para prestar el servicio.
• Las credenciales. No todo doble factor resiste igual. Un código que el usuario puede leer en voz alta es un código que alguien le puede pedir por teléfono. Se empieza por las cuentas de administración y por el correo de quien firma.
• Las herramientas de inteligencia artificial que nadie aprobó. Su uso se triplicó hasta el 45% de los casos analizados. Prohibirlas no funciona. Lo que funciona es decir qué información no sale, qué herramienta sí está aprobada y a quién se le pregunta cuando hay duda.

Tener copias no es poder restaurar

El ransomware, el ataque que cifra los datos de la empresa y pide un pago para devolverlos, estuvo presente en el 48% de las brechas del DBIR 2026. Frente a él, restaurar desde una copia confiable es la principal vía para recuperar la operación sin depender del atacante. Y una copia que nadie ha restaurado nunca es una hipótesis, no un control: puede estar conectada a la misma red que se cifró, puede estar incompleta, o el procedimiento puede tardar tres días en vez de cuatro horas.

La prueba cuesta una tarde: restaurar uno de los sistemas de la lista corta en un ambiente aparte y cronometrarlo. Ese número es el único dato honesto sobre la capacidad de recuperación de la empresa, y la mejor forma de conocerlo es antes del incidente.

En seguridad no gana quien más compra. Gana quien decidió antes qué es lo primero que no se puede detener.