IA y geopolítica mueven la inversión en ciberseguridad: claves para pymes

La ciberseguridad ha dejado de ser un gasto técnico para convertirse en una decisión estratégica. Un estudio reciente de PwC, elaborado con respuestas de 3.934 líderes de negocio, tecnología y seguridad de 71 países —entre ellos 116 directivos españoles—, confirma que la inteligencia artificial y la tensión geopolítica están empujando una nueva ola de inversión en protección digital. Para una pyme, la lectura no es «gastar más», sino «gastar mejor» y entender que el riesgo ha cambiado de forma.

La IA, primera prioridad presupuestaria

El dato es contundente: el 58% de las organizaciones a nivel global y el 52% de las españolas sitúan la IA entre sus principales prioridades presupuestarias en ciberseguridad. La IA ya no es solo una promesa de futuro; es una línea de gasto concreta. Pero el mismo estudio advierte de un giro incómodo: por primera vez, los ataques dirigidos contra sistemas de inteligencia artificial encabezan la lista de amenazas para las que las empresas se sienten menos preparadas. Lo reconoce el 50% de los responsables de seguridad consultados a nivel global y el 57% en España.

Es decir, las pymes están invirtiendo en IA para defenderse, pero al mismo tiempo abren una nueva superficie de ataque que aún no controlan. Entre los riesgos que más preocupan destacan las redes de dispositivos comprometidos controladas por IA, los ataques adversarios y el envenenamiento de datos. En el caso español, el 48% señala los ataques adversarios como una de sus principales preocupaciones, mientras que el 47% cita el malware adaptativo impulsado por inteligencia artificial.

Geopolítica: el riesgo ya no es solo digital

La tensión geopolítica también está reordenando las prioridades. El informe destaca que los ciberataques promovidos por actores estatales se extienden cada vez más allá de los entornos puramente digitales para afectar a tecnologías operacionales e infraestructuras críticas. Como consecuencia, el 50% de las compañías está revisando la gestión del riesgo de proveedores, terceros y cadenas de suministro, porcentaje que se eleva al 56% entre las empresas españolas.

Para una pyme, esto tiene una traducción muy concreta: el proveedor de software, el integrador o el servicio cloud que usas forman parte de tu perímetro de riesgo. No basta con proteger tus equipos; hay que exigir garantías a quien te suministra tecnología. Y no hablamos solo de grandes corporaciones: cualquier negocio que dependa de una cadena de suministro digital está expuesto.

La computación cuántica, la asignatura pendiente

Otro de los desafíos emergentes que identifica el estudio es la computación cuántica. A pesar de las implicaciones que esta tecnología podría tener para los actuales sistemas criptográficos, solo el 21% de las empresas en todo el mundo —y el 22% en España— está implantando medidas de seguridad resistentes a la computación cuántica. En paralelo, un 44% de las organizaciones españolas continúa evaluando el impacto potencial de esta tecnología.

Dicho de otro modo: casi la mitad de las empresas españolas sabe que el problema existe, pero aún no ha pasado de la evaluación a la acción. En una pyme, la recomendación no es lanzarse a migrar toda la criptografía, sino empezar por inventariar dónde se guardan los datos más sensibles y qué algoritmos los protegen. Es un trabajo de fondo que conviene planificar con años de antelación, no con semanas.

Planes de continuidad: la brecha entre decir y hacer

El estudio de PwC advierte de que el incremento de la inversión por sí solo no garantiza una mayor resiliencia. Actualmente, solo el 39% de los responsables de seguridad, riesgos y operaciones afirma contar con planes de continuidad del negocio plenamente formalizados e integrados para responder a incidentes de ciberseguridad. España presenta una situación más favorable, con un 50% de las organizaciones que afirman disponer de estos mecanismos.

«La ciberresiliencia debe consolidarse como un pilar estratégico del negocio, integrado desde el primer momento en la toma de decisiones de la alta dirección», afirma Jesús Romero, socio responsable de Soluciones de Seguridad de Negocio en PwC España.

La cita apunta a un problema de gobierno, no solo de tecnología. Y ahí las pymes tienen una ventaja: al tener estructuras más pequeñas, pueden integrar la ciberseguridad en la toma de decisiones con menos burocracia que una gran corporación. La clave está en hacerlo antes del incidente, no después.

La paradoja de la supervisión

El informe también observa una mayor implicación de los equipos directivos en la supervisión de los riesgos cibernéticos. Sin embargo, esa preocupación aún no se traduce de forma consistente en las decisiones empresariales: aunque nueve de cada diez líderes aseguran contar con mecanismos de supervisión, solo el 34% a nivel global y el 41% en España considera que las decisiones de negocio incorporan habitualmente una evaluación específica del riesgo cibernético.

Traducido a la vida de una pyme: tener un comité o un responsable de seguridad no equivale a que cada decisión de negocio —abrir un nuevo canal de ventas, contratar un SaaS, externalizar la facturación— pase por un filtro de riesgo. Esa es la brecha que conviene cerrar.

Qué recomendamos desde ForgeNEX

Ante este panorama, proponemos un enfoque práctico y por etapas, pensado para equipos pequeños con presupuesto limitado:

1. Inventario de IA y datos. Antes de invertir en herramientas de IA defensiva, identifica qué sistemas de IA usas, qué datos los alimentan y quién tiene acceso. Sin inventario no hay control.
2. Revisión de proveedores. Aplica el mismo criterio que el 56% de las empresas españolas: exige garantías de seguridad a tus proveedores críticos y documenta esa evaluación.
3. Plan de continuidad mínimo viable. No necesitas un documento de cien páginas; necesitas saber qué haces en las primeras 24 horas tras un incidente. Formalízalo y practícalo.
4. Hoja de ruta criptográfica. Empieza por inventariar algoritmos y datos sensibles. La computación cuántica no es urgente hoy, pero la migración lleva años.
5. Gobierno del riesgo en las decisiones. Incorpora una pregunta simple en cada proyecto: ¿qué riesgo cibernético introduce esto y quién lo asume?

Como ya analizamos en Ciberseguridad en la pyme: del cortafuegos al riesgo de negocio, el salto pendiente no es técnico sino de mentalidad. Y la nueva ola de inversión que describe el estudio confirma que ese salto ya está ocurriendo en las empresas que quieren seguir operando. La IA puede ayudar a encontrar fallos antes que el atacante, como vimos en GPT-6 Cyber, pero también abre puertas que hay que saber cerrar.

El estudio concluye que la ciberseguridad está dejando de ser una cuestión exclusivamente tecnológica para convertirse en un elemento estratégico que condiciona la capacidad de las organizaciones para innovar, crecer y operar en un contexto marcado por la inteligencia artificial, la complejidad regulatoria y la incertidumbre geopolítica. Para una pyme, eso significa que la próxima conversación sobre ciberseguridad no debería empezar por el cortafuegos, sino por el negocio.

Fuente: Computerworld. Análisis y adaptación: ForgeNEX.