Las cifras de ciberataques producen titulares inquietantes, pero no siempre ayudan a un gerente a decidir qué proteger, cuánto invertir ni dónde está su exposición. Cuando una empresa escucha que el país recibió 10,9 billones de intentos de ataque, puede reaccionar de dos maneras peligrosas: entrar en pánico y comprar tecnología sin criterio, o asumir que una cifra tan descomunal pertenece a otra realidad y continuar operando como si nada. El verdadero problema no está en el número, sino en la incapacidad para traducirlo en riesgo empresarial. Un escaneo, una tentativa bloqueada, una vulnerabilidad explotada y una filtración de datos no significan lo mismo. Sin esa diferencia, la organización confunde actividad maliciosa con impacto, y termina tomando decisiones costosas, incompletas o tardías. Comprender la amenaza exige pasar del miedo estadístico al diagnóstico funcional, porque proteger una empresa no comienza comprando herramientas: comienza entendiendo qué puede perder. 👉 LEE NUESTRO BLOG...
Durante 2025, Colombia habría registrado 10,9 billones de intentos de ciberataque y cerca de 7 billones de actividades de escaneo, según información atribuida a FortiGuard Labs. El país fue ubicado entre los territorios latinoamericanos con mayor actividad maliciosa detectada. A escala global, Fortinet informó además un crecimiento importante del cibercrimen apoyado por inteligencia artificial y un aumento interanual del 389 % en las víctimas de ransomware observadas en su panorama de amenazas de 2026.
Son cifras que merecen atención. Sin embargo, su tamaño puede producir una interpretación equivocada.
Diez billones de intentos no significan diez billones de empresas atacadas, diez billones de intrusiones exitosas ni diez billones de pérdidas económicas. Una parte considerable de esa actividad corresponde a procesos automatizados que recorren internet permanentemente, identificando direcciones, puertos, servicios, versiones de software y posibles vulnerabilidades.
Una misma infraestructura puede recibir miles o millones de solicitudes maliciosas. Un solo sistema automatizado puede probar repetidamente diferentes combinaciones, rutas y debilidades. Cada interacción puede contabilizarse como un intento, aunque haya sido bloqueada antes de producir un daño.
Esto no convierte la cifra en irrelevante. La convierte en una señal que necesita contexto.
El volumen de ataques no es igual al nivel de riesgo
En más de tres décadas acompañando procesos empresariales y tecnológicos, he comprobado que muchas organizaciones toman decisiones basadas en lo que resulta visible, no necesariamente en lo que representa el mayor peligro.
Un gerente puede alarmarse ante una cifra nacional, aprobar la compra de un firewall y considerar que el problema quedó resuelto. Mientras tanto, la empresa continúa compartiendo contraseñas, utilizando cuentas de antiguos colaboradores, almacenando bases de datos sin clasificación, aplazando actualizaciones y dependiendo de copias de seguridad que nunca han sido restauradas para comprobar que realmente funcionan.
La seguridad no se mide por la cantidad de herramientas instaladas. Se mide por la capacidad de la organización para prevenir, detectar, contener, responder y recuperarse.
Dos empresas expuestas al mismo número de intentos pueden enfrentar resultados completamente distintos.
La primera mantiene actualizado su software, controla privilegios, capacita a su personal, protege sus respaldos y conoce sus activos críticos. La segunda trabaja con sistemas desactualizados, accesos compartidos y procesos que nadie documentó.
La amenaza externa puede ser similar. La vulnerabilidad interna no lo es.
Por eso, la pregunta correcta no es cuántos ataques recibe Colombia. La pregunta es qué tan preparada está cada organización para evitar que uno de esos intentos se convierta en un incidente con consecuencias operativas, legales, financieras o reputacionales.
Una cifra enorme puede generar tres decisiones equivocadas
La primera es la compra impulsiva.
Algunas empresas responden al miedo adquiriendo soluciones aisladas sin haber realizado un diagnóstico. Compran licencias, equipos, servicios de monitoreo o plataformas sofisticadas sin saber qué información poseen, cuáles procesos son esenciales ni qué riesgos deben reducir primero.
La tecnología puede ser excelente y, aun así, resultar inadecuada para la necesidad real.
Este es uno de los principios que hemos sostenido en TODO EN UNO.NET desde nuestra experiencia en consultoría: la infraestructura, la nube, la conectividad, la seguridad y el software deben evaluarse como partes de un ecosistema que respalda la operación, no como adquisiciones independientes.
La segunda decisión equivocada es la resignación.
Cuando las cifras parecen inabarcables, algunos directivos concluyen que ningún esfuerzo será suficiente. Piensan que, si hasta las grandes organizaciones sufren incidentes, una pequeña o mediana empresa no tiene posibilidades de protegerse.
Esta interpretación es especialmente peligrosa porque transforma la complejidad en inmovilidad.
La seguridad absoluta no existe, pero sí existe la reducción razonable del riesgo. Una empresa no necesita impedir cada acción hostil que ocurre en internet. Necesita evitar que las amenazas más relevantes encuentren una vulnerabilidad abierta, comprometan un activo crítico y paralicen el negocio.
La tercera decisión equivocada es delegar toda la responsabilidad al área tecnológica.
La ciberseguridad no es únicamente un asunto del ingeniero, el proveedor de soporte o la persona que administra el correo. También depende de compras, talento humano, finanzas, servicio al cliente, dirección general y de cada área que recopila, comparte o conserva información.
Una cuenta creada sin autorización, un proveedor contratado sin evaluación, un archivo enviado al destinatario equivocado o un colaborador que entrega sus credenciales pueden abrir una puerta que ningún dispositivo puede cerrar por sí solo.
Cuando la empresa necesita reconocer su exposición y convertirla en prioridades comprensibles para la dirección, una conversación consultiva puede ser más útil que otra demostración comercial de software: https://t.mtrbio.com/todo-en-unonet
Intento, incidente e impacto: tres conceptos que la dirección debe separar
Un intento de ataque es una acción que busca descubrir, probar o aprovechar una posible debilidad.
Un incidente ocurre cuando esa acción afecta o amenaza realmente la confidencialidad, integridad o disponibilidad de un sistema o de la información.
El impacto aparece cuando el incidente produce consecuencias para la organización: interrupción operativa, pérdida de datos, fraude, sanciones, costos de recuperación, incumplimientos contractuales o deterioro de la confianza.
Esta diferencia es fundamental.
Un millón de intentos bloqueados puede generar menos daño que un solo correo fraudulento abierto por una persona con acceso a información sensible. Miles de escaneos automatizados pueden ser menos graves que una cuenta de administrador sin autenticación adicional.
El volumen ayuda a comprender la intensidad del entorno. El impacto potencial ayuda a decidir.
La dirección empresarial necesita ambas perspectivas, pero no debe confundirlas.
También debe distinguir entre los datos producidos por proveedores de tecnología y los incidentes gestionados por autoridades nacionales. MinTIC informó que ColCERT gestionó 1.427 incidentes de seguridad digital en 2024 y 697 durante 2025. Esta reducción no contradice necesariamente el crecimiento de los intentos detectados: las métricas observan fenómenos distintos, utilizan fuentes diferentes y responden a metodologías particulares.
Comparar directamente ambas cifras sería como enfrentar el número de vehículos que circulan por una carretera con la cantidad de accidentes atendidos. Los dos datos son útiles, pero no significan lo mismo.
El activo más importante no siempre es el servidor
Cuando se habla de ciberseguridad, muchas organizaciones comienzan revisando computadores, redes y aplicaciones. Es necesario hacerlo, pero resulta insuficiente.
La evaluación debe partir de los activos que sostienen el negocio.
Para una clínica, pueden ser las historias y la disponibilidad de los sistemas de atención.
Para una empresa comercial, la información de clientes, los pedidos, la facturación y el acceso a los canales de venta.
Para una firma profesional, los documentos confidenciales, el conocimiento acumulado y la reputación.
Para una planta industrial, los sistemas que controlan la producción y la continuidad de la operación.
Cuando no se identifican estos activos, la inversión se distribuye según percepciones, urgencias comerciales o recomendaciones generales. Se protege lo más visible, aunque no sea lo más importante.
La dirección debe preguntarse qué proceso no puede detenerse, qué información causaría mayor daño si fuera expuesta, qué dependencia tecnológica no tiene reemplazo inmediato y cuánto tiempo puede operar la organización sin sus sistemas principales.
Las respuestas permiten establecer prioridades.
La ciberseguridad también es protección de datos y confianza
En Colombia, el problema no termina cuando se recupera un sistema.
Una organización que trata datos personales tiene responsabilidades sobre su recolección, almacenamiento, circulación, uso, seguridad y eliminación. Una falla tecnológica puede convertirse simultáneamente en un problema legal, reputacional y de gobierno corporativo.
La Superintendencia de Industria y Comercio ha intensificado sus actuaciones en esta materia. Durante 2025 se informó sobre 101 investigaciones relacionadas con posibles violaciones al régimen de protección de datos y multas acumuladas por más de 5.157 millones de pesos. También se confirmaron sanciones que incluyeron la suspensión temporal de actividades de tratamiento de información.
El mensaje para los empresarios es claro: proteger información no consiste únicamente en evitar que un atacante ingrese. También exige demostrar que la organización conoce los datos que administra, limita los accesos, controla a sus encargados, responde a los titulares y adopta medidas verificables.
La confianza digital no se declara en una política publicada en la página web. Se construye mediante decisiones internas coherentes.
Por esta razón, la ciberseguridad no debería administrarse como un conjunto de herramientas dispersas. Necesita una Arquitectura de Protección de Datos y Confianza Digital (APDP) que conecte tecnología, información, personas, cumplimiento, continuidad y dirección empresarial.
Una arquitectura comienza por comprender, no por comprar
La empresa necesita observar su realidad antes de intervenirla.
Debe identificar sus sistemas, datos, usuarios, proveedores, integraciones, dispositivos, procesos críticos y obligaciones. También necesita reconocer prácticas informales que suelen permanecer fuera de los inventarios: archivos almacenados en cuentas personales, aplicaciones contratadas directamente por un área, accesos que nunca fueron eliminados y bases de datos copiadas para trabajar desde casa.
Después debe analizar la relación entre probabilidad e impacto.
No todas las vulnerabilidades representan la misma urgencia. No todos los sistemas requieren el mismo nivel de protección. No todos los controles producen el mismo beneficio.
Una plataforma crítica expuesta a internet, sin actualizaciones y con datos personales, necesita una intervención diferente a la de un equipo aislado utilizado para tareas de bajo impacto.
Finalmente, la organización debe ejecutar un plan por prioridades, asignar responsables, definir indicadores y comprobar resultados.
Ese orden evita dos extremos frecuentes: gastar demasiado en soluciones que no reducen el riesgo principal o gastar demasiado poco hasta que ocurre una crisis.
Para construir una hoja de ruta que relacione activos, riesgos, cumplimiento y continuidad, el punto de partida está disponible en https://t.mtrbio.com/todo-en-unonet
Las preguntas que revelan la verdadera madurez
Una empresa puede conocer rápidamente su situación respondiendo con honestidad algunas preguntas.
¿Existe un inventario actualizado de sistemas, dispositivos, aplicaciones y bases de datos?
¿Se eliminan oportunamente los accesos de las personas que cambian de cargo o salen de la organización?
¿Las cuentas críticas utilizan mecanismos adicionales de autenticación?
¿Las actualizaciones tienen responsables y fechas definidas?
¿Las copias de seguridad están separadas del entorno principal y se han probado?
¿Existe un procedimiento para reportar incidentes?
¿La dirección sabe quién toma decisiones durante una contingencia?
¿Los proveedores con acceso a información han sido evaluados?
¿Se conoce qué datos personales se recolectan y para qué finalidad?
¿Los colaboradores reciben formación práctica frente a correos fraudulentos, manejo de contraseñas y uso responsable de la información?
Las respuestas negativas no deben utilizarse para buscar culpables. Deben convertirse en un mapa de trabajo.
La madurez no consiste en afirmar que todo está protegido. Consiste en conocer las brechas, priorizarlas y demostrar avances.
El indicador que importa es la capacidad de recuperación
Las organizaciones suelen medir cuántos ataques bloquearon, cuántos correos maliciosos detectaron o cuántas amenazas eliminó el antivirus. Son indicadores útiles, pero hablan principalmente de actividad técnica.
La dirección necesita indicadores empresariales.
¿Cuánto tiempo tardaría la organización en detectar un acceso no autorizado?
¿Cuánto demoraría en recuperar su operación?
¿Qué porcentaje de los sistemas críticos cuenta con respaldo probado?
¿Cuántas cuentas tienen privilegios superiores a los necesarios?
¿Cuántos proveedores acceden a información sensible?
¿Qué procesos podrían continuar manualmente durante una interrupción?
¿Cuándo se realizó el último ejercicio de respuesta?
Estas preguntas trasladan la conversación desde el miedo hacia la capacidad.
Una empresa preparada no es aquella que nunca será atacada. Es aquella que reduce las posibilidades de éxito, detecta las anomalías, limita el daño y recupera sus funciones esenciales sin improvisar.
La cifra correcta debe conducir a una decisión correcta
Los 10,9 billones de intentos atribuidos a Colombia describen un entorno digital sometido a exploración y presión permanentes. Ignorarlos sería irresponsable. Interpretarlos como 10,9 billones de ataques exitosos también lo sería.
Las cifras de ciberseguridad deben servir para despertar atención, no para sustituir el análisis.
El empresario necesita saber qué mide el informe, quién recopiló la información, durante qué periodo, con qué infraestructura y bajo qué definición de intento. También necesita comparar esa información con sus propios activos, incidentes, vulnerabilidades y capacidades.
Solo entonces el dato se convierte en criterio.
El verdadero riesgo no es que existan millones o billones de intentos en el país. El verdadero riesgo es que una organización no sepa qué protege, dependa de controles que nunca ha probado y descubra sus debilidades cuando la operación ya está detenida.
La ciberseguridad empresarial exige liderazgo, gobierno de datos, disciplina operativa y tecnología seleccionada por su funcionalidad. No puede construirse desde el temor ni desde la improvisación.
Cada empresa colombiana necesita dejar de preguntarse si algún día será observada por los atacantes. Los sistemas automatizados probablemente ya la han observado.
La pregunta decisiva es si encontrarán una puerta abierta y si la organización sabrá actuar cuando algo ocurra.
Proteger la empresa significa proteger su capacidad de operar, cumplir, responder y conservar la confianza de quienes le entregan información. Esa responsabilidad merece un diagnóstico serio y una arquitectura propia, no una colección de productos adquiridos después de leer un titular.
Para convertir la preocupación en una ruta empresarial verificable y funcional, conozca nuestro enfoque consultivo en https://t.mtrbio.com/todo-en-unonet