El tablero es engañoso: la curva de ataques exitosos está disminuyendo, la gravedad de los impactos está aumentando. Entre la vulnerabilidad estructural de la cadena de suministro, la geopolítica presente en escenarios híbridos y la inteligencia artificial que acelera tanto la defensa como el fraude, el perímetro a proteger se está extendiendo más rápido que los presupuestos. Una mirada al 11th Barómetro de ciberseguridad de CESIN…
El ciberbarómetro anual de CESIN es siempre instructivo aunque sólo sea porque adopta un punto de vista muy alejado del marketing de los agentes del mercado al no interesarse por la multiplicidad de ataques sino sólo por aquellos que tienen éxito. Lo que a su vez permite medir las consecuencias de forma más inteligible.
Como todos los CIO y CISO lo saben bien, cuando ocurre un ataque, el efecto dominó nunca se limita a los equipos cibernéticos y tiene un impacto directo, pero más o menos severo, en el Negocio.
en el 11th Barómetro de ciberseguridad empresarial (undécima oleada) de CESIN, publicado esta semana, el 81% de las organizaciones que han sufrido un ciberataque “importante” declaran un impacto en su actividad, en primer lugar mediante interrupciones en la producción y pérdida de imagen.
Una reducción en trampantojo
Como en años anteriores, CESIN constata un continuo descenso de los ataques exitosos. Ahora son sólo el 40% según este undécimo barómetro. Hace seis años todavía eran más del 65%.
Pero, y esta es la trampa, esta reducción no refleja en ningún caso un descenso de la amenaza, sino simplemente una mejora progresiva de las capacidades de detección, prevención y reacción rápida de las organizaciones encuestadas.
No es que el número de ataques exitosos disminuya por lo que el nivel de requisitos debería hacer lo mismo. Sobre todo porque los ataques son más devastadores. “ Cuando se demuestra el ataque, sus consecuencias siguen siendo importantes » señalan los autores del estudio. Entre las organizaciones afectadas, el 28% menciona una interrupción significativa de la producción, el 26% una pérdida de imagen, el 18% un compromiso de información o conocimientos, el 18% una pérdida de facturación, el 14% una parada de la producción durante un período significativo y el 12% una desconexión por parte de terceros (cuarentena). Acontecimientos que, de hecho, pueden resultar devastadores desde el punto de vista empresarial. Además, los ponentes señalan que “ el borrado o alteración de datos es dos veces más común que el año anterior ».
Phishing imbatible y deepfakes al acecho
Sin embargo, las puertas de entrada varían poco. El trío de vectores dominantes sigue estando bien establecido: phishing/spear phishing/smishing (55%), explotación de una vulnerabilidad (41%) y ataque indirecto a través de un tercero (35%). Las consecuencias técnicas más frecuentes reflejan esta combinación de oportunismo e industrialización: el robo de datos ocupa el primer lugar (52%), por delante de la denegación de servicio (28%) y la exposición de datos (27%).
Dos tendencias merecen especial atención. Los ataques DDoS (21%) están adquiriendo una nueva dimensión: ahora hipervolumétricos, forman parte cada vez más de estrategias híbridas vinculadas al tenso contexto geopolítico. En cuanto a los deepfakes, entran en el barómetro con un 5% de ataques, una señal débil que preocupa a los profesionales: esta tecnología amplifica las estratagemas existentes, en particular la estafa contra el presidente.
El riesgo de terceros se convierte en una vulnerabilidad estructural
Los ataques a la cadena de suministro siguen siendo una de las mayores preocupaciones. Un tercio de las empresas estima que más del 50% de sus incidentes de ciberseguridad son causados por terceros.
Y la lista de incidentes reportados confirma el carácter sistémico: el 34% cita ciberataques que explotan un defecto de seguridad de un tercero con robo de datos de clientes, el 32% vulnerabilidades críticas en productos/componentes presentes en la empresa, el 30% ransomware en un tercero con indisponibilidad e impacto colateral.
Las respuestas están organizadas, especialmente a través de la contractualización: el 85% de las organizaciones encuestadas dice integrar cláusulas de seguridad en los contratos, el 74% utiliza cuestionarios de seguridad y el 64% utiliza planes de garantía de seguridad (comités, SLA, KPI). El uso de la ciberrating también está aumentando, con un 46% de los usuarios, la herramienta ganando credibilidad tras sus controvertidos inicios.
Es decir, la ciberseguridad se gestiona tanto en compras, gestión de contratos y auditorías de proveedores como en las consolas SOC. Reducir la superficie de ataque y aplicar parches higiénicos ya no son suficientes sin una gestión cuidadosa del ecosistema de proveedores y las cadenas de subcontratación.
La amenaza geopolítica se afianza
Al mismo tiempo, otra cifra llama la atención: el 53% de los encuestados cree que la amenaza del origen estatal está aumentando. Esta es sin duda una de las lecciones más sorprendentes de este 11th edición: el ciberespionaje es percibido como un alto riesgo por el 40% de las empresas, independientemente de su tamaño. Esta conciencia se refleja en un creciente interés por la soberanía digital: el 63% de los encuestados dicen estar preocupados por cuestiones de confianza en la nube, un aumento de 11 puntos.
Pero el barómetro de 2026 también resuena con la agenda europea. Las empresas dicen que se ven afectadas por NIS2 (59%), por delante de DORA (32%) y la Ley de Resiliencia Cibernética (30%). En la nube, dos riesgos destacan claramente: cláusulas contractuales «muy difíciles de negociar» (52%) y alojamiento de datos sujeto a leyes extraterritoriales «incluso en Francia y Europa» (48%).
Paradójicamente, los CISO distinguen soberanía y nacionalidad de las herramientas. El desafío no es tanto utilizar soluciones francesas sino dominar sus dependencias tecnológicas y mantener el control sobre sus datos.
El hecho es que el aumento de las preocupaciones sobre la soberanía crea un terreno más favorable para las alternativas europeas. El barómetro no mide directamente la adopción de soluciones de startups específicamente europeas, pero da una señal clara sobre el apetito por la innovación impulsado por el ecosistema: el 39% de las empresas dice que utiliza ofertas innovadoras de startups de ciberseguridad, la mayoría de las veces de forma ocasional. Entre el 61% que prescinde de él, los obstáculos mencionados giran principalmente en torno a la madurez y sostenibilidad de las ofertas, o a la sensación de que las soluciones actuales son “suficientes y probadas”.
Defensas que fortalecen
Además, y esta es una de las lecciones recurrentes de este barómetro, los CIO y CISO están bastante satisfechos con las soluciones tecnológicas que han implementado para defenderse: el 88% de los directivos encuestados cree que las soluciones de seguridad existentes en el mercado están bastante adaptadas, o incluso completamente adaptadas, a su organización.
El trío defensivo básico alcanza niveles de implementación casi universal: firewall (98%), EDR (95%), autenticación multifactor (94%). Los gateways de seguridad del correo electrónico (93%), las soluciones EPP (91%) y las soluciones ZTNA (89%) le siguen de cerca y mantienen una gran popularidad. Otros todavía están luchando por abrirse paso, como las herramientas de gestión de postura (CSPM para la nube, SSPM para SaaS, DSPM para datos), soluciones CASB, sistemas de anonimización (a pesar de 10 años de GDPR) o incluso servicios de recompensas por errores y soluciones automatizadas de pruebas de intrusión.
La visibilidad de los activos está mejorando: el 81 % de los encuestados dice que tiene una visión completa de su flota y el 92 % ha identificado sus activos críticos. Los enfoques de Confianza Cero (31 %, +7 puntos) y los Centros Operativos de Vulnerabilidad (VOC (26 %, +9 puntos)) continúan creciendo.
IA, entre la oportunidad y la IA en la sombra
Este año, El comportamiento de los empleados se considera el más riesgoso. se convierte en el uso de servicios de IA no aprobados: el 75% de las empresas evalúa este riesgo como “alto” o “muy alto”. El barómetro también muestra que la IA se está estableciendo rápidamente: el 79 % declara que la IA es “utilizada” en la organización, pero sólo el 42 % indica que se utiliza oficialmente y ya está integrada en la estrategia de seguridad, y cualquier uso no controlado se trata como TI en la sombra.
Las campañas de sensibilización específicas sobre los riesgos de la IA generativa todavía solo afectan al 35% de las empresas. En cuanto a los incidentes que explotan directamente las capacidades de la IA, representan sólo el 3% de los casos. La señal todavía parece débil, pero en realidad hay que vigilarla muy de cerca.
Al final, este undécimo barómetro de CESIN no habla de victoria. Describe una profesión que avanza en un entorno cada vez más complejo. La disminución de los ataques exitosos demuestra la efectividad de las inversiones pasadas, pero la gravedad de los impactos sirve como recordatorio de que cada incidente cuenta. Entre la amenaza geopolítica, el riesgo de terceros y la adopción incontrolada de la IA, en 2026 los CISO tendrán que seguir protegiendo incansablemente un perímetro que se expande constantemente, con recursos que siguen siendo limitados.
Lea también:
“Debemos cuestionar esta dependencia extrema que tenemos, en general, en torno a GAFAM”
Shadow AI: cómo proteger su SI frente a la IA invisible…
La cultura de la resiliencia: el verdadero desafío detrás de NIS2…
Shadow Agentic, la suite de Shadow AI y Shadow IT.
[
