Una empresa puede invertir millones en tecnología de seguridad y seguir siendo vulnerable si las personas que deben configurarla, interpretarla y operarla no poseen las competencias necesarias. Ese es el punto que muchos comités directivos todavía subestiman: la ciberseguridad dejó de ser un asunto técnico aislado para convertirse en una capacidad empresarial que condiciona la continuidad, la reputación, el cumplimiento y la confianza. En 2026, el problema ya no consiste solamente en encontrar especialistas. También exige formar a quienes toman decisiones, administran procesos, manejan datos, contratan proveedores y utilizan inteligencia artificial. Cuando el conocimiento no crece al mismo ritmo que la tecnología, la organización acumula una deuda invisible que tarde o temprano aparece en forma de errores, incidentes, interrupciones o decisiones tardías. La pregunta correcta ya no es cuánto hemos comprado para protegernos, sino si nuestra organización sabe cómo protegerse, responder y aprender cuando algo falla. 👉 LEE NUESTRO BLOG...
Durante muchos años, la seguridad informática fue tratada como una responsabilidad casi exclusiva del área de sistemas. Mientras los servidores funcionaran, los antivirus estuvieran instalados y alguien atendiera las alertas, la dirección empresarial podía sentir que el problema estaba razonablemente controlado.
Ese modelo dejó de ser suficiente.
Hoy una empresa depende de sistemas en la nube, aplicaciones empresariales, plataformas de colaboración, proveedores externos, dispositivos móviles, bases de datos, automatizaciones, inteligencia artificial y conexiones que atraviesan prácticamente todas las áreas de la organización.
Por eso el riesgo ya no está confinado al departamento de tecnología.
Está también en recursos humanos cuando administra información sensible; en compras cuando selecciona un proveedor; en mercadeo cuando incorpora una nueva plataforma; en ventas cuando comparte documentos; en contabilidad cuando recibe una instrucción aparentemente legítima; en la gerencia cuando aprueba una inversión tecnológica que nadie sabe gobernar correctamente.
La ciberseguridad se convirtió, entonces, en una competencia organizacional.
Y precisamente allí aparece una de las mayores vulnerabilidades actuales: muchas empresas están incorporando tecnología a una velocidad muy superior a aquella con la que desarrollan las capacidades humanas necesarias para administrarla.
Los datos recientes ayudan a comprender la dimensión del problema. El informe global de Fortinet sobre brecha de habilidades en ciberseguridad de 2026 señala que el 86 % de las organizaciones encuestadas experimentó al menos una vulneración durante los doce meses anteriores, mientras que el 56 % relacionó parte de esas vulneraciones con carencias de conocimientos o personal suficientemente preparado. Además, el 71 % considera que la brecha de habilidades genera un riesgo adicional para su organización.
Pero reducir esta situación a la dificultad de contratar especialistas sería quedarse solamente en la superficie.
El verdadero problema no es solamente encontrar expertos
Cuando una empresa descubre que necesita fortalecer su ciberseguridad, la reacción más común suele ser buscar tecnología adicional.
Otro firewall.
Una nueva plataforma.
Una solución de inteligencia artificial.
Un servicio administrado.
Una herramienta de monitoreo.
Todos pueden ser componentes necesarios.
El problema comienza cuando la empresa supone que la compra de tecnología equivale automáticamente a una mejora de su capacidad de protección.
No funciona así.
Una herramienta puede identificar un comportamiento sospechoso, pero alguien debe saber interpretar la alerta.
Puede automatizar respuestas, pero alguien debe establecer correctamente las reglas.
Puede utilizar inteligencia artificial para detectar patrones, pero alguien debe entender sus límites, validar sus resultados y decidir qué hacer cuando la herramienta encuentra algo inesperado.
Puede generar miles de eventos de seguridad, pero si nadie sabe cuáles requieren atención inmediata, el volumen de información se convierte en ruido.
Por eso siempre he defendido una idea que en TODO EN UNO.NET aplicamos como criterio empresarial:
“Nunca la tecnología por la tecnología en sí misma; sino la tecnología por la funcionalidad.”
Una organización no se vuelve más segura por acumular herramientas.
Se vuelve más segura cuando consigue integrar personas, procesos, responsabilidades, conocimiento y tecnología alrededor de una capacidad concreta de prevención, detección, respuesta y recuperación.
Si su empresa está incorporando nuevas plataformas, inteligencia artificial o servicios digitales y no tiene claridad sobre si sus equipos poseen las capacidades necesarias para gobernarlos con seguridad, conviene revisar primero la arquitectura completa antes de seguir comprando tecnología:
https://t.mtrbio.com/todo-en-unonet
La brecha de habilidades también existe dentro de la dirección
Existe otra dimensión menos visible.
Muchas organizaciones hablan de ciberseguridad en términos técnicos que alejan a la alta dirección de la conversación.
Se discute sobre vulnerabilidades, endpoints, identidades, amenazas persistentes, configuraciones, autenticación, ransomware o arquitectura de red.
Todo puede ser técnicamente correcto, pero una junta directiva necesita traducir ese lenguaje a preguntas empresariales mucho más concretas:
¿Qué procesos podrían detenerse?
¿Cuánto tiempo puede permanecer inactiva la organización?
¿Qué información no podemos permitirnos perder?
¿Qué proveedores podrían convertirse en una puerta de entrada?
¿Quién tiene autoridad para tomar decisiones durante un incidente?
¿Qué actividades deben continuar aun cuando fallen nuestros sistemas?
¿Cuánto riesgo estamos dispuestos a aceptar?
¿Quién responde por ese riesgo?
Cuando estas preguntas no tienen respuestas claras, existe también una brecha de habilidades, aunque todos los cargos tecnológicos estén ocupados.
Fortinet señala que, aun cuando existe necesidad de talento especializado, casi la mitad de los responsables consultados encuentra dificultades internas para obtener aprobación para contratar más personal de ciberseguridad. El mismo informe indica además que el 51 % considera especialmente necesarias las competencias de nivel sénior.
Esto demuestra que el problema no pertenece únicamente a recursos humanos.
También pertenece a la asignación de presupuesto, al gobierno corporativo, a la gestión del riesgo y a la calidad de las decisiones ejecutivas.
La inteligencia artificial está ampliando la distancia
La inteligencia artificial está agregando una nueva capa de complejidad.
Por una parte, está fortaleciendo las capacidades defensivas.
Permite analizar grandes volúmenes de información, identificar anomalías, priorizar señales y automatizar determinadas tareas.
Pero al mismo tiempo está reduciendo barreras para los atacantes.
Fraudes más convincentes, ingeniería social personalizada, generación automatizada de contenido, suplantación y ataques a mayor escala están modificando el entorno de riesgo.
El Foro Económico Mundial advierte en su Global Cybersecurity Outlook 2026 que la aceleración de la inteligencia artificial, la fragmentación geopolítica y las diferencias de capacidades entre organizaciones están aumentando la complejidad del panorama de ciberseguridad.
Aquí aparece una paradoja empresarial importante.
Cuanto más sofisticada se vuelve la tecnología defensiva, más conocimiento necesita la organización para utilizarla correctamente.
Por eso la inteligencia artificial no elimina la necesidad de talento.
La transforma.
Ya no basta con comprender redes o infraestructura. Se necesitan competencias en riesgo, gobierno, nube, seguridad de aplicaciones, inteligencia artificial, cumplimiento, datos y capacidad para traducir problemas técnicos en decisiones empresariales.
ISC2 viene observando precisamente esa transición: la dificultad no se explica solamente por la ausencia de personas, sino también por la falta de determinadas competencias dentro de las organizaciones. Entre las habilidades que están creciendo en importancia aparecen inteligencia artificial, computación en la nube, evaluación de riesgos, seguridad de aplicaciones y gobierno, riesgo y cumplimiento.
Ese matiz es fundamental.
Una empresa puede tener empleados.
Puede incluso tener un departamento de tecnología.
Y aun así carecer de las competencias que necesita para enfrentar el riesgo actual.
La vulnerabilidad empieza mucho antes del ataque
Cuando se habla de ciberseguridad, normalmente imaginamos el momento del incidente.
Un ataque.
Una cuenta comprometida.
Un sistema bloqueado.
Una base de datos expuesta.
Pero desde la perspectiva empresarial, la vulnerabilidad comienza mucho antes.
Comienza cuando nadie revisa los permisos de acceso.
Cuando un empleado conserva privilegios que ya no necesita.
Cuando un proveedor recibe credenciales y nadie determina cómo serán revocadas posteriormente.
Cuando una aplicación se incorpora sin evaluar cómo administra la información.
Cuando un equipo adopta una herramienta de inteligencia artificial sin una política clara sobre qué datos puede introducir.
Cuando las copias de respaldo existen, pero nunca se ha probado seriamente su recuperación.
Cuando los empleados reciben una capacitación anual genérica que poco tiene que ver con las amenazas que realmente enfrentan.
Cuando la empresa compra tecnología sin asignar quién debe gobernarla.
Son pequeñas decisiones.
Pero las pequeñas decisiones repetidas durante años crean grandes superficies de riesgo.
Por eso una organización madura no pregunta solamente:
“¿Estamos protegidos?”
Pregunta:
“¿Qué capacidad tenemos para seguir funcionando cuando nuestra protección falle?”
Esa diferencia cambia completamente la conversación.
Capacitar no significa enviar a todos a un curso de ciberseguridad
Otra respuesta habitual consiste en resolver la brecha mediante capacitación.
Es necesaria.
Pero también puede convertirse en una solución superficial si se aplica sin criterio.
No todos necesitan convertirse en especialistas.
El gerente financiero necesita reconocer determinados patrones de fraude y comprender los controles asociados a pagos y autorizaciones.
Recursos humanos necesita entender cómo proteger información personal y credenciales.
El equipo comercial necesita conocer los riesgos relacionados con dispositivos, intercambio de archivos y accesos externos.
Los desarrolladores requieren conocimientos específicos sobre desarrollo seguro.
Tecnología necesita capacidades técnicas más profundas.
La dirección necesita comprender exposición, continuidad, responsabilidades y tolerancia al riesgo.
La junta directiva necesita formular preguntas correctas y exigir evidencia.
La formación útil, por tanto, no consiste en ofrecer el mismo contenido a toda la organización.
Consiste en identificar qué decisiones toma cada persona y qué conocimientos necesita para tomarlas con menor riesgo.
Desde una perspectiva funcional, eso significa convertir la ciberseguridad en una competencia distribuida.
No todos deben saber lo mismo.
Pero cada persona debe saber aquello que necesita para cumplir correctamente su función.
Si desea evaluar este problema desde una perspectiva empresarial —personas, procesos, tecnología, responsabilidades y continuidad— y no únicamente desde la compra de herramientas, puede conocer nuestro enfoque consultivo en:
https://t.mtrbio.com/todo-en-unonet
El conocimiento también necesita arquitectura
Las empresas suelen tener inventarios de computadores, aplicaciones, licencias y servidores.
Muy pocas poseen un verdadero mapa de capacidades.
¿Quién sabe administrar cada sistema crítico?
¿Quién puede reemplazarlo?
¿Qué conocimiento reside exclusivamente en una persona?
¿Qué proveedores concentran conocimiento indispensable?
¿Qué competencias existen internamente?
¿Cuáles deben desarrollarse?
¿Cuáles deberían contratarse externamente?
¿Qué conocimientos quedarán obsoletos en los próximos dos años?
¿Qué nuevas capacidades exigirá la adopción de inteligencia artificial?
Estas preguntas parecen pertenecer a recursos humanos, pero en realidad forman parte de la arquitectura tecnológica de la empresa.
Porque una infraestructura tecnológica que depende de conocimiento inexistente o concentrado en pocas personas es una infraestructura frágil.
Un sistema puede estar perfectamente actualizado y seguir representando un riesgo si solamente una persona comprende cómo funciona.
Un proveedor puede ofrecer una excelente plataforma y generar dependencia si la organización nunca desarrolla conocimiento interno suficiente para supervisarlo.
Una solución de seguridad puede ser extraordinaria y producir muy poco valor si nadie interpreta adecuadamente sus resultados.
La arquitectura tecnológica, entonces, debe incluir también las capacidades humanas necesarias para operarla.
Comprar seguridad sin medir capacidades crea una falsa sensación de protección
Existe un fenómeno que he observado durante años en procesos de transformación empresarial.
Cuando una organización compra tecnología, obtiene algo visible.
Existe una factura.
Un proveedor.
Una plataforma.
Una demostración.
Un contrato.
Una implementación.
Eso transmite sensación de avance.
El desarrollo de capacidades humanas es menos visible.
No aparece inmediatamente en una pantalla.
Por eso muchas veces recibe menor prioridad presupuestal.
Sin embargo, el costo de esa decisión termina apareciendo después.
Errores de configuración.
Alertas ignoradas.
Procesos inseguros.
Dependencia excesiva del proveedor.
Lentitud en la respuesta.
Mala gestión de incidentes.
Decisiones ejecutivas sin información suficiente.
Fortinet encontró en su estudio regional de 2025 que el 63 % de los participantes de América Latina y el Caribe identificó la falta de habilidades y capacitación como una de las principales causas de intrusiones, mientras que el 35 % señaló costos superiores a un millón de dólares derivados de incidentes cibernéticos durante 2024.
No conviene interpretar esas cifras como una predicción para cualquier empresa particular.
Sí sirven, en cambio, para comprender algo más importante:
la falta de capacidad tiene consecuencias operativas y financieras.
La ciberseguridad debe incorporarse a la forma de operar
La respuesta sostenible no puede depender de campañas ocasionales.
Debe integrarse a la gestión diaria.
Cada nuevo proyecto tecnológico debería incluir una evaluación de capacidades necesarias.
Cada contratación crítica debería considerar competencias relacionadas con seguridad.
Cada proveedor tecnológico debería ser evaluado también desde su impacto sobre el riesgo.
Cada proceso importante debería identificar quién puede acceder a qué información.
Cada iniciativa de inteligencia artificial debería considerar gobierno, datos, permisos y responsabilidades antes de escalar.
Cada incidente debería producir aprendizaje organizacional.
Y cada inversión tecnológica debería responder una pregunta muy sencilla:
¿Tenemos las personas, los procesos y el conocimiento necesarios para obtener de esta herramienta el resultado que estamos esperando?
Cuando la respuesta es no, comprar primero y aprender después suele salir más costoso.
Una empresa segura no es aquella que nunca falla
La seguridad absoluta no existe.
Por eso una organización madura no construye su estrategia alrededor de la fantasía de evitar todos los incidentes.
Construye capacidad para reducir su probabilidad, contener su impacto, responder con rapidez y recuperar la operación.
Eso es resiliencia.
Y la resiliencia depende tanto de tecnología como de personas.
Depende de que alguien detecte.
De que alguien comprenda.
De que alguien decida.
De que alguien comunique.
De que alguien ejecute.
De que alguien aprenda.
Por eso la brecha de habilidades en ciberseguridad representa finalmente una brecha de capacidad empresarial.
No estamos hablando solamente de especialistas que faltan.
Estamos hablando de organizaciones que necesitan aprender a funcionar en un entorno donde tecnología, datos, inteligencia artificial, cumplimiento y riesgo ya no pueden administrarse por separado.
La pregunta que debería llegar a la próxima reunión directiva
En lugar de preguntar cuánto estamos gastando en ciberseguridad, propongo una pregunta diferente:
“¿Qué tendría que saber hacer nuestra organización mañana si hoy ocurriera un incidente serio?”
La respuesta probablemente revelará más que cualquier catálogo de herramientas.
Mostrará dependencias.
Vacíos de conocimiento.
Procesos sin responsables.
Decisiones no documentadas.
Proveedores críticos.
Capacidades que necesitan fortalecerse.
Y allí comienza una verdadera estrategia.
Primero comprendiendo cómo funciona la empresa.
Después identificando qué capacidades necesita.
Finalmente alineando tecnología, talento, procesos y gobierno alrededor de riesgos reales.
Ese orden importa.
Porque la transformación tecnológica sin desarrollo organizacional produce complejidad.
La tecnología sin criterio produce dependencia.
La automatización sin gobierno produce nuevos riesgos.
Y la ciberseguridad sin capacidades humanas produce una peligrosa sensación de protección.
Después de más de tres décadas acompañando organizaciones en procesos administrativos y tecnológicos, sigo encontrando vigente el mismo principio: una inversión tecnológica solo tiene verdadero sentido cuando mejora la funcionalidad de la empresa y fortalece su capacidad para decidir, operar y responder.
La brecha de habilidades en ciberseguridad no debe tratarse únicamente como una dificultad de contratación.
Debe ser incorporada a la estrategia empresarial, al gobierno tecnológico, a la continuidad, a la formación y al desarrollo organizacional.
Las empresas que comprendan esto dejarán de preguntarse solamente qué herramienta necesitan comprar.
Empezarán a preguntarse qué organización necesitan construir para utilizar correctamente la tecnología que ya poseen.
Si desea revisar si la tecnología, las capacidades internas y los riesgos de su empresa están realmente alineados, puede iniciar una conversación consultiva con TODO EN UNO.NET:
https://t.mtrbio.com/todo-en-unonet
La ciberseguridad del futuro no dependerá únicamente de tener mejores herramientas.
Dependerá de construir empresas que sepan utilizarlas, gobernarlas y convertirlas en verdadera capacidad empresarial.