La falta de experiencia de los equipos de TI y ciberseguridad, la sobrecarga de esos especialistas y la baja concientización de los empleados son los tres factores que más preocupan a las organizaciones.
El motivo es simple: el mayor riesgo para las firmas ya no se encuentra únicamente en sus sistemas tecnológicos: el factor humano se convirtió en una de las principales puertas de entrada para un ciberataque exitoso.
En América Latina, el 79% de las organizaciones considera que los factores relacionados con las personas pueden facilitar una intrusión, incluso por encima de los controles técnicos.
Según un informe elaborado por Kaspersky, en este escenario el primer factor (la falta de experiencia de los equipos de TI y ciberseguridad) alcanza el 27% de las menciones, mientras que el segundo -sobrecarga de esos especialistas- representa el 23% y el tercero -baja concientización de los empleados- llega al 21%.
La combinación genera una brecha difícil de resolver porque una empresa puede contar con herramientas avanzadas, pero perder capacidad de defensa si quienes deben utilizarlas no tienen conocimientos suficientes, tiempo disponible o preparación para detectar una amenaza.
El fenómeno adquiere mayor relevancia en un contexto donde los ataques aumentan en cantidad y sofisticación.
La falta de experiencia entre los profesionales de TI y ciberseguridad encabeza el ranking regional, con el 27% de las respuestas.
Una brecha de conocimientos puede retrasar la identificación de una intrusión, dificultar el análisis de una alerta y extender el tiempo necesario para contener un incidente.
El problema adquiere especial importancia a medida que las compañías incorporan:
Kaspersky informó en septiembre que el 48% de las organizaciones latinoamericanas identifica la escasez de especialistas en ciberseguridad como la principal barrera para modernizar sus operaciones.
La dificultad no pasa solamente por contratar más personal, sino también por encontrar profesionales capaces de operar tecnologías de detección y respuesta cada vez más sofisticadas.
La brecha entre la inversión en herramientas y la capacidad para aprovecharlas puede convertirse así en una vulnerabilidad propia.
La sobrecarga de trabajo aparece en segundo lugar entre las preocupaciones de las empresas latinoamericanas, con el 23% de las menciones.
Los equipos de seguridad deben procesar grandes cantidades de alertas, administrar sistemas, investigar incidentes y mantener actualizada la infraestructura mientras responden a nuevas amenazas.
Esa presión puede reducir el tiempo disponible para las tareas preventivas y aumentar la posibilidad de que una señal relevante sea ignorada o atendida demasiado tarde.
Kaspersky también detectó que las organizaciones de la región están buscando reforzar sus capacidades de respuesta: el 49% planea implementar un Centro de Operaciones de Seguridad (SOC) y el 42% pretende mejorar su capacidad para responder frente a ataques complejos.
La automatización puede aliviar parte de esa presión, especialmente cuando permite priorizar alertas y reducir tareas repetitivas.
Sin embargo, la tecnología no elimina la necesidad de contar con especialistas capaces de interpretar los resultados y tomar decisiones ante un incidente.
La baja concientización en ciberseguridad entre los empleados completa el Top 3 regional, con el 21% de las menciones.
Un colaborador puede convertirse en el objetivo de una campaña de phishing, ingeniería social o suplantación diseñada para obtener credenciales y acceder a información corporativa.
El problema se vuelve más complejo porque los atacantes pueden imitar servicios utilizados diariamente por las empresas, como plataformas de correo, almacenamiento o videoconferencias.
En agosto, Kaspersky informó que detectó 4,7 millones de ataques dirigidos al entorno laboral que utilizaban señuelos asociados con Zoom, Outlook y OneDrive para intentar robar accesos o comprometer cuentas.
La capacitación continua y las simulaciones de phishing permiten reducir la posibilidad de que un empleado confíe en un mensaje fraudulento o entregue información sensible.
La seguridad, por lo tanto, deja de ser una responsabilidad exclusiva del área técnica y pasa a involucrar a toda la organización.
Los ciberdelincuentes aprovechan el factor humano porque una defensa tecnológica puede quedar inutilizada si una persona entrega credenciales, abre un archivo malicioso o modifica una configuración sin advertir el riesgo.
La ingeniería social resulta especialmente efectiva porque busca manipular decisiones antes que vulnerar directamente un sistema.
Kaspersky sostiene que incluso incidentes de alta gravedad pueden comenzar con un engaño convincente dirigido a un empleado.
El antecedente regional también es significativo: investigaciones anteriores de la compañía habían encontrado que las violaciones de políticas de seguridad por parte de empleados representaron una proporción relevante de los incidentes empresariales.
Esto explica por qué la concientización, la gestión de accesos y la preparación ante incidentes deben funcionar junto con las soluciones técnicas.
El objetivo no es eliminar el error humano, sino reducir su probabilidad y limitar el impacto cuando ocurre.
La presión sobre las empresas latinoamericanas aumenta porque las amenazas no solamente son más frecuentes, sino también más complejas.
El 81% de las organizaciones consultadas por Kaspersky afirmó haber observado un incremento significativo de los ataques durante los últimos dos años, mientras que el 83% sostuvo que estos se volvieron más sofisticados.
Al mismo tiempo, la adopción de inteligencia artificial introduce nuevos riesgos y obliga a las compañías a revisar cómo utilizan estas herramientas dentro de sus operaciones.
Kaspersky señaló que el 41% de las empresas latinoamericanas aumentó sus presupuestos de seguridad debido a la adopción de IA y que el uso no controlado de herramientas externas de inteligencia artificial por parte de empleados, conocido como Shadow AI, representa un riesgo frecuente para las organizaciones.
Esto amplía la superficie de ataque y vuelve todavía más importante establecer políticas claras sobre el uso de información corporativa en servicios externos.
En ese escenario, la capacitación debe evolucionar al mismo ritmo que las tecnologías y las técnicas utilizadas por los atacantes.
La primera medida consiste en fortalecer de manera permanente las capacidades de los equipos de TI y ciberseguridad, mediante capacitación técnica, actualización profesional y ejercicios prácticos de respuesta.
En paralelo, las empresas necesitan extender la educación en ciberseguridad a todos los empleados y realizar simulaciones periódicas que permitan identificar comportamientos vulnerables.
También resulta necesario reducir la sobrecarga operativa, establecer prioridades claras y automatizar procesos repetitivos para que los especialistas puedan concentrarse en las amenazas de mayor impacto.
Kaspersky recomienda combinar estas medidas con soluciones de protección, detección y respuesta adaptadas al nivel de madurez de cada organización.
La compañía también plantea complementar la preparación interna con servicios especializados de respuesta ante incidentes, capaces de investigar, contener y remediar ataques cuando los recursos internos no resultan suficientes.
La conclusión es clara: la tecnología puede elevar el nivel de protección, pero la experiencia, la preparación y la cultura de seguridad determinan en gran medida cuánto puede resistir una organización cuando finalmente aparece una amenaza.