Miles de empresas creen estar protegidas… hasta que un proveedor externo es atacado y su información queda expuesta. El problema no es la seguridad que ves, sino la que nunca evaluaste.
El reciente caso de posible filtración de datos de clientes de entidades financieras en Colombia evidencia un problema estructural que muchas empresas ignoran: la dependencia de terceros sin control real. Este artículo explica por qué ocurren estos riesgos, cómo impactan la reputación y operación empresarial, y qué debe entender un empresario para gestionar la seguridad desde una visión integral. Al finalizar, comprenderá por qué la seguridad no es un tema tecnológico, sino arquitectónico dentro de la empresa.
Cuando el problema no es el banco, sino la arquitectura
En los últimos días, una noticia sacudió el entorno empresarial y financiero en Colombia: un presunto ciberataque a un proveedor externo habría expuesto datos de clientes de entidades como BBVA y Nu Colombia.
Más allá del impacto mediático, este tipo de situaciones revela una verdad incómoda que he visto repetirse durante más de 30 años asesorando empresas:
Las organizaciones no fallan por tecnología… fallan por falta de arquitectura empresarial.
Muchas compañías creen que tener antivirus, firewalls o sistemas en la nube es suficiente. Pero la realidad es otra. La vulnerabilidad no siempre está dentro de la empresa, sino en su ecosistema.
Y ese ecosistema casi nunca se gestiona de forma estructurada.
El error silencioso: confiar sin entender
Uno de los errores más comunes que observo en empresarios es asumir que un proveedor tecnológico ya “resolvió” el tema de seguridad.
Se delega sin supervisión.
Se contrata sin auditoría.
Se integra sin análisis.
Y ahí es donde empieza el problema.
Cuando una empresa conecta sus sistemas con terceros —proveedores de software, plataformas de pagos, servicios en la nube o marketing digital— está ampliando su superficie de riesgo.
Pero la mayoría no lo sabe.
O peor aún: no lo mide.
El riesgo real no es el ataque, es la dependencia
El caso reciente no es aislado. Es simplemente visible.
Lo que ocurre todos los días en cientos de empresas es lo siguiente:
- No saben dónde están sus datos realmente
- No tienen control sobre quién accede a la información
- No evalúan la seguridad de sus proveedores
- No tienen protocolos claros ante incidentes
Esto genera una situación crítica:
La empresa cree que tiene control, pero en realidad está expuesta.
Y cuando ocurre un incidente, el impacto no es solo técnico.
Las consecuencias que no aparecen en los titulares
Cuando se habla de ciberataques, muchas veces se reduce el problema a “robo de datos”.
Pero desde una visión empresarial, el impacto es mucho más profundo:
1. Pérdida de confianza del cliente
La información es uno de los activos más sensibles. Cuando un cliente siente que su información no está protegida, la relación cambia inmediatamente.
2. Riesgos legales y regulatorios
En Colombia, la Ley 1581 de 2012 obliga a las empresas a proteger los datos personales. No importa si el error fue de un proveedor.
La responsabilidad sigue siendo de la empresa.
3. Impacto reputacional
Una crisis de datos no solo afecta el presente, sino el futuro del negocio.
4. Desorden interno
Muchas empresas descubren, en medio de la crisis, que no tienen claridad sobre sus propios procesos.
Y ese es el punto más crítico.
El problema de fondo: empresas sin diseño funcional
Después de décadas analizando organizaciones, puedo afirmarlo con claridad:
El problema no es la ciberseguridad. Es la falta de estructura empresarial.
Las empresas crecen, contratan herramientas, integran sistemas… pero nunca diseñan su arquitectura.
No definen:
- Cómo fluye la información
- Quién es responsable de cada proceso
- Cómo se conectan las áreas
- Qué riesgos existen en cada punto
Y entonces ocurre lo inevitable.
La falsa solución: comprar más tecnología
Ante estos eventos, muchas empresas reaccionan de la misma forma:
“Necesitamos más seguridad”
Y eso se traduce en:
- Comprar software
- Contratar servicios
- Implementar herramientas
Pero sin estrategia.
Sin diagnóstico.
Sin visión.
Esto genera un fenómeno que veo constantemente:
Empresas con mucha tecnología… pero poca funcionalidad.
Lo que realmente debe hacer una empresa hoy
En un entorno donde los datos son el nuevo activo estratégico, las empresas necesitan cambiar su enfoque.
No se trata de proteger sistemas.
Se trata de diseñar la organización.
Algunas reflexiones clave:
Comprender el ecosistema completo
La empresa no es solo lo que ocurre dentro. Es todo lo que está conectado.
Evaluar proveedores como parte del negocio
Un proveedor no es externo en términos de riesgo. Es parte de la arquitectura.
Definir responsabilidades claras
¿Quién responde por la seguridad? ¿Quién audita? ¿Quién decide?
Implementar control, no solo herramientas
La tecnología sin control es solo una ilusión de seguridad.
El rol de la arquitectura empresarial en este contexto
Aquí es donde muchas empresas comienzan a entender algo fundamental:
La seguridad no es un área.
Es una consecuencia.
Cuando una empresa está bien estructurada:
- Los procesos son claros
- Los riesgos son identificables
- Los proveedores están controlados
- La tecnología cumple una función
Y entonces, la seguridad deja de ser un problema reactivo.
Se convierte en un resultado natural.
Un ejemplo real que he visto repetirse
Empresas medianas con:
- CRM en la nube
- Plataformas de pago externas
- Marketing automatizado
- Sistemas contables independientes
Todo funciona… hasta que algo falla.
Y cuando falla, nadie sabe:
- Dónde ocurrió
- Cómo ocurrió
- Quién es responsable
Ese momento revela la verdad:
No había arquitectura, solo herramientas conectadas.
El futuro: empresas conscientes o empresas vulnerables
El mundo empresarial está entrando en una nueva etapa.
Ya no basta con crecer.
Hay que estructurar.
Ya no basta con digitalizar.
Hay que comprender.
Las empresas que entiendan esto tendrán una ventaja enorme.
Las que no… seguirán reaccionando a crisis.
El reciente caso no es una alerta tecnológica.
Es una alerta empresarial.
Nos recuerda que no basta con confiar, contratar o implementar.
Hay que entender.
Porque una empresa no se protege con herramientas…
Se protege con estructura.
“Las empresas no se caen por lo que saben… se caen por lo que nunca analizaron.”
“Nunca la tecnología por la tecnología en sí misma, sino la tecnología por la funcionalidad.”