Seguridad que aguante hasta 2027: menos contraseñas, más contexto

La ciberseguridad ya no se diseña con la vista puesta en el próximo trimestre. Los responsables de seguridad consultados por Computerworld coinciden en que el panorama de amenazas está cambiando a una velocidad que obliga a replantear las bases mismas de la estrategia. Jeremy Koppen, CISO de Equifax, lo resume con una idea sencilla: la inteligencia artificial está alterando el ritmo en ambos bandos. Los atacantes la usan para operar a mayor escala y los defensores, para innovar más rápido. En medio de esa carrera, mantener las prácticas de siempre empieza a ser un lujo que ninguna organización puede permitirse.

El consenso entre los expertos es claro: la transformación no es opcional. Omar Khawaja, CISO y docente en el programa de CISO de la Universidad Carnegie Mellon, sostiene que los responsables de seguridad son conscientes de que su situación actual no funciona y que necesitan una transformación significativa para tener éxito en los próximos años. La pregunta ya no es si hay que cambiar, sino qué elementos concretos deben sustituirse y por cuáles.

El fin de las credenciales estáticas

Uno de los cambios más visibles afecta a algo tan cotidiano como las contraseñas. Koppen advierte de que, por muy estricta que sea la política, las contraseñas acaban pareciéndose al nombre del equipo deportivo favorito o a la temporada actual con un signo de exclamación al final, lo que las convierte en objetivos fáciles para ataques de fuerza bruta. En Equifax han eliminado las contraseñas para sus 22.000 empleados y colaboradores y ahora extienden ese estándar sin contraseñas a sus clientes B2B.

Para una pyme, la lectura no es copiar el modelo de una gran corporación, sino asumir que la contraseña reutilizada sigue siendo uno de los agujeros más rentables para un atacante. Implantar doble factor, revisar los accesos privilegiados y avanzar hacia métodos de autenticación más robustos es un primer paso realista y con impacto inmediato. Si tu plantilla comparte credenciales para el CRM o el correo, ese es el punto por donde empezar.

Automatizar el SOC o quedarse atrás

Bill Hunkapiller, CISO de la Universidad Estatal de Florida, lo dice sin rodeos: ya no somos capaces de hacer frente a los ataques y las vulnerabilidades de forma manual, y la IA lo está haciendo imposible. Su equipo lleva meses implementando agentes autónomos para sustituir tareas rutinarias de las operaciones de seguridad y sus planes pasan por ampliar el número de tareas gestionadas por máquinas.

Los datos acompañan esa tendencia. El informe State of Incident Response Readiness de Sygnia revela que el 32% de las organizaciones hace un uso extensivo de la IA en la mayoría o en todas las actividades de detección de amenazas y respuesta a incidentes, frente al 25% en 2025. Además, el 63% espera haber implantado un uso generalizado de la IA para esas actividades en 2027.

En una pyme no hace falta montar un centro de operaciones propio. Pero sí conviene revisar qué tareas repetitivas —alertas, clasificación de correos sospechosos, copias de seguridad, revisión de parches— pueden automatizarse con las herramientas que ya se tienen. Como comentamos en nuestra guía sobre ciberseguridad en la pyme, el objetivo es pasar del cortafuegos como única barrera a una gestión del riesgo de negocio.

Identidades que no son personas

Koppen señala otro frente que muchas empresas aún no han interiorizado: cada vez más actividad en las redes empresariales proviene de agentes de IA, bots y flujos de trabajo automatizados, mientras que la mayoría de los controles de seguridad tradicionales se diseñaron pensando en un usuario humano. Por eso, en su organización aplican a esas identidades la misma verificación rigurosa que a las personas.

Esto tiene una traducción práctica para cualquier equipo de IT: inventariar qué cuentas de servicio, integraciones y automatizaciones tienen acceso a sistemas sensibles. A menudo son cuentas creadas hace años, con permisos amplios y sin revisión. Si un agente automatizado puede leer la base de datos de clientes, debe estar sujeto a las mismas políticas que un empleado.

El riesgo se mide con contexto, no con una etiqueta

Otra de las prácticas que los expertos consideran agotada es la puntuación genérica de gravedad. Koppen argumenta que la calificación de crítico de un proveedor no tiene en cuenta si un sistema contiene datos sensibles, está expuesto al exterior o está protegido por otros controles. Equifax cuenta con su propio motor cuantitativo de riesgo que incorpora ese contexto para que sus equipos se centren en los problemas que suponen un riesgo real para la empresa. Hunkapiller insiste en la misma idea: comprender cómo una vulnerabilidad concreta afecta a la organización en particular.

Para una pyme, esto significa dejar de parchear por pánico y empezar a priorizar por exposición real. Una vulnerabilidad en un servidor interno sin datos críticos no merece la misma urgencia que un fallo en el portal donde los clientes introducen sus datos. Aquí encaja bien lo que ya planteamos en resiliencia de datos: no se trata solo de proteger, sino de saber qué se protege y por qué.

Más allá de la IA: geopolítica y cuántica

Los responsables de seguridad consultados no se quedan solo en la IA. La geopolítica, la llegada prevista de la computación cuántica y unos sistemas cada vez más interconectados están ampliando la superficie de ataque y deberían impulsar cambios estratégicos igualmente profundos. La presión sobre los CISO crece, y el próximo año se perfila, como mínimo, tan agitado como el actual.

Qué recomendamos desde ForgeNEX

• Revisa identidades, humanas y no humanas. Haz un inventario de cuentas, permisos y automatizaciones. Elimina lo que no se use y aplica doble factor donde falte.
• Automatiza lo repetitivo. Empieza por copias de seguridad, alertas y revisión de parches. No necesitas un SOC propio para ganar tiempo y reducir errores.
• Prioriza por contexto. Sustituye el semáforo genérico de criticidad por una evaluación que tenga en cuenta datos, exposición y controles existentes.
• Prepara el terreno para lo que viene. La cuántica y la geopolítica no son ciencia ficción: conviene revisar la criptografía y la dependencia de proveedores externos con antelación.

La estrategia de seguridad que aguante más allá de 2027 no será la que acumule más herramientas, sino la que entienda qué protege, contra quién y con qué margen de maniobra. Para una pyme, eso empieza por decisiones pequeñas tomadas a tiempo.

Fuente: Computerworld. Análisis y adaptación: ForgeNEX.