El 68 por ciento de las empresas en Colombia sobreestima su ciberseguridad

No obstante, la cifra contrasta con brechas básicas dentro de las organizaciones. De acuerdo con el informe, el 40% de las empresas opera sin firewall, el 38% no utiliza inteligencia de amenazas para anticipar ataques y el 24% carece incluso de software antivirus.

Las cifras también evidencian una confusión de fondo en torno a los enfoques de defensa. Un 28 por ciento de los encuestados considera de manera equivocada que el antivirus es una herramienta de carácter proactivo, cuando en realidad se trata de un mecanismo reactivo que solo emite alertas una vez la amenaza ha sido detectada.

Entre los hallazgos también resulta preocupante que el 24% de los encuestados, respectivamente, consideren que EDR (Endpoint Detection and Response) y XDR (Extended Detection and Response) son tecnologías reactivas. En realidad, estos sistemas avanzados son partes fundamentales de una estructura preventiva, ya que correlacionan datos provenientes de múltiples vectores —como redes, correos electrónicos y entornos en la nube— para identificar intrusiones antes de que se conviertan en crisis.

“Cuando las organizaciones confunden herramientas de respuesta con capacidades de anticipación, terminan operando bajo una falsa sensación de seguridad. Esto hace que muchas empresas crean que están protegidas de forma proactiva, cuando en realidad siguen reaccionando a los incidentes una vez que ya ocurrieron. Corregir esa confusión es clave para fortalecer la resiliencia frente a amenazas cada vez más profesionales”, asegura Daniela Álvarez de Lugo, Gerente General para NOLA en Kaspersky.

Para reducir la “proactividad de fachada” y fortalecer la resiliencia digital, Kaspersky recomienda realizar ajustes en la gobernanza de seguridad, con foco en alineación estratégica, automatización y madurez tecnológica. La firma destaca las siguientes cinco medidas:

1. Promover talleres ejecutivos de alineación, orientados a aclarar a la alta dirección las diferencias entre tecnologías reactivas, como firewall y antivirus, y tecnologías proactivas, como inteligencia de amenazas, SIEM y XDR, capaces de anticipar riesgos y correlacionar eventos en etapas tempranas.

2. Desarrollar hojas de ruta tecnológicas alineadas con el nivel de madurez cibernética de la organización, consolidando controles básicos y priorizando gradualmente la integración de soluciones de detección y respuesta en endpoints (EDR) y de orquestación y automatización (SOAR), reduciendo la dependencia de procesos manuales.

3. Establecer indicadores claros de desempeño (KPIs) y de riesgo (KRIs), conectando la ciberseguridad directamente en los objetivos del negocio, con foco en métricas como el tiempo medio de detección y respuesta, la tasa de ataques evitados en la fase de reconocimiento y la frecuencia de ejercicios de simulación.

4. Crear una agenda recurrente de evaluaciones de riesgo, con periodicidad mínima trimestral, evitando que las revisiones de seguridad ocurran solo después de incidentes internos o casos ampliamente divulgados en el mercado.

5. Automatizar el uso de inteligencia de amenazas, sustituyendo la compilación manual de información por feeds integrados a las plataformas de seguridad, lo que permite identificar comportamientos anómalos en tiempo real y acelerar la respuesta a incidentes.

En un entorno donde las amenazas evolucionan con rapidez y sofisticación, el mayor riesgo para las empresas no radica únicamente en los ciberataques, sino en la falsa percepción de estar preparadas para enfrentarlos. Corregir esa brecha entre lo que se cree y lo que realmente se implementa será determinante para construir organizaciones más resilientes, capaces no solo de reaccionar, sino de anticiparse y proteger de manera efectiva sus activos digitales.

La ciberseguridad no es un tema lejano ni exclusivo de grandes empresas. Esta información puede ayudar a prevenir riesgos reales en cualquier organización. Comparta este artículo y aporte a que más empresas identifiquen sus brechas antes de que sea demasiado tarde.