Comprar más tecnología de seguridad no necesariamente hace más segura a una empresa. El verdadero desafío aparece cuando la organización crece digitalmente más rápido de lo que desarrolla su capacidad para comprender, prevenir y responder a los riesgos que ese crecimiento genera.
La ciberseguridad dejó de ser un asunto exclusivo del departamento de sistemas. Hoy está directamente relacionada con la continuidad de la operación, la protección de la información, la confianza de clientes y proveedores y, cada vez más, con la posibilidad misma de transformar una empresa sin aumentar peligrosamente su exposición.
Los datos recientes permiten dimensionar el cambio. En América Latina, el 79 % de las organizaciones planea fortalecer sus capacidades de ciberseguridad durante los próximos doce meses. En Colombia, la proporción reportada alcanza el 78 %. Sin embargo, existe una dificultad que debería preocupar mucho más que la cifra de inversión: conseguir profesionales con la experiencia necesaria puede tomar meses.
Y allí aparece una pregunta empresarial mucho más importante:
¿De qué sirve comprar mejores herramientas de ciberseguridad si la organización no ha construido la capacidad necesaria para utilizarlas correctamente?
Ese es el problema que deberíamos estar discutiendo.
👉 LEE NUESTRO BLOG...
La ciberseguridad está cambiando de naturaleza
Durante muchos años fue relativamente sencillo entender cómo una empresa abordaba la seguridad informática.
Había antivirus.
Había firewall.
Se realizaban copias de seguridad.
Se administraban usuarios y contraseñas.
Y, dependiendo del tamaño de la organización, existía una persona o un pequeño equipo responsable de mantener funcionando esa infraestructura.
Ese modelo comenzó a quedarse corto.
La empresa contemporánea funciona sobre una estructura tecnológica mucho más distribuida.
Información almacenada en la nube.
Aplicaciones contratadas como servicio.
Trabajo remoto.
Teléfonos móviles conectados a información empresarial.
Plataformas de colaboración.
Facturación electrónica.
Sistemas contables.
CRM.
Comercio electrónico.
WhatsApp.
Redes sociales.
Inteligencia artificial.
Automatizaciones.
Proveedores tecnológicos que también tienen acceso a información o infraestructura.
Cada nueva capacidad digital produce valor, pero también crea accesos, dependencias y superficies potenciales de exposición.
Por eso la ciberseguridad ya no puede analizarse simplemente preguntando:
¿Qué herramientas de protección tenemos?
La pregunta correcta comienza a ser:
¿Cómo está diseñada nuestra empresa para operar de manera segura?
Son dos preguntas completamente diferentes.
Contratar especialistas es necesario, pero no resuelve por sí solo el problema
El crecimiento de la demanda de profesionales de ciberseguridad es una consecuencia lógica de esta transformación.
Un estudio reciente de Kaspersky, realizado entre 1.800 especialistas y responsables de decisiones de seguridad y TI de 18 países —incluidos Colombia, Brasil y México— encontró que el 79 % de las organizaciones latinoamericanas planea fortalecer sus capacidades de ciberseguridad.
Existe además otro indicador significativo: el 48 % de las organizaciones latinoamericanas ha reportado dificultades para modernizar su ciberseguridad debido a la falta de especialistas.
Podríamos concluir entonces que la solución consiste simplemente en contratar más profesionales.
Pero sería una conclusión incompleta.
Porque un especialista puede administrar herramientas, analizar amenazas, configurar controles y responder ante incidentes.
Lo que difícilmente puede hacer por sí solo es corregir una organización que no tiene claramente definidos sus procesos, responsabilidades, accesos, activos tecnológicos y criterios de decisión.
Ese es el punto que con frecuencia se pierde.
La ciberseguridad también es un problema de arquitectura empresarial.
Antes de preguntarnos cuántos especialistas necesitamos, deberíamos comprender qué necesitan proteger, por qué deben protegerlo y cómo funciona aquello que estamos intentando proteger.
En TODO EN UNO.NET trabajamos precisamente desde esa lógica: primero comprender la funcionalidad empresarial y después determinar qué tecnología debe sostenerla. Si una organización necesita revisar cómo su infraestructura tecnológica acompaña realmente su operación, ese análisis puede comenzar desde nuestra Arquitectura Tecnológica Funcional (ATF):
https://t.mtrbio.com/todo-en-unonet
No se trata de comprar seguridad. Se trata de construir capacidad empresarial para operar con seguridad.
Una empresa puede tener mucha tecnología y poca seguridad
Existe una paradoja interesante.
Mientras más digitalizamos una organización sin revisar su arquitectura tecnológica, más complejo puede convertirse protegerla.
Imaginemos una empresa que durante diez años ha ido incorporando soluciones según aparecen las necesidades.
Primero instaló un servidor.
Después contrató almacenamiento en la nube.
Más adelante incorporó Microsoft 365 o Google Workspace.
Después un CRM.
Luego una plataforma de facturación.
Posteriormente herramientas para marketing.
WhatsApp Business.
Software especializado.
Aplicaciones móviles.
Automatizaciones.
Y ahora comienza a incorporar inteligencia artificial.
Cada decisión probablemente tenía sentido cuando fue tomada.
El problema aparece cuando nadie observa el conjunto.
¿Quién tiene acceso a qué?
¿Qué información existe en cada plataforma?
¿Qué usuarios permanecen activos después de retirarse de la empresa?
¿Qué permisos tienen proveedores externos?
¿Dónde están almacenadas las copias de seguridad?
¿Quién puede restaurarlas?
¿Qué ocurre si una plataforma deja de funcionar?
¿Qué servicios dependen de una única persona?
¿Qué dispositivos personales acceden a información empresarial?
¿Qué aplicaciones están intercambiando información?
¿Quién administra las credenciales críticas?
¿Qué sucedería mañana si una cuenta administrativa fuera comprometida?
Estas preguntas parecen técnicas.
En realidad, son preguntas empresariales.
Porque detrás de cada una existe un proceso que puede detenerse, información que puede perderse, dinero que puede desaparecer o confianza que puede deteriorarse.
El problema comienza mucho antes del ciberataque
Esta es quizás una de las ideas más importantes que un empresario debería comprender.
La seguridad no comienza cuando aparece una amenaza.
Comienza cuando diseñamos la organización.
Una empresa con responsabilidades ambiguas tendrá dificultades para administrar correctamente los accesos.
Una empresa que no conoce sus activos tecnológicos difícilmente podrá protegerlos.
Una empresa que no clasifica su información tratará de proteger todo de la misma manera.
Una organización dependiente de una sola persona tendrá problemas cuando esa persona no esté disponible.
Una compañía que incorpora plataformas sin criterios de arquitectura terminará acumulando vulnerabilidades y dependencias.
Y una organización que adopta inteligencia artificial sin comprender cómo circula su información puede abrir nuevas exposiciones sin siquiera advertirlo.
Por eso siempre hemos insistido en TODO EN UNO.NET en una idea que hoy adquiere todavía mayor relevancia:
Nunca la tecnología por la tecnología en sí misma; sino la tecnología por la funcionalidad.
También en ciberseguridad.
El talento especializado debe conocer el negocio
Existe otro componente que considero fundamental.
El profesional de ciberseguridad del futuro empresarial no puede limitarse a conocer herramientas.
Necesita comprender procesos.
Necesita entender cómo gana dinero la organización.
Qué información es crítica.
Qué operaciones no pueden detenerse.
Qué proveedores son esenciales.
Qué obligaciones regulatorias existen.
Qué impacto tendría la indisponibilidad de determinado sistema.
Qué riesgos son aceptables.
Y cuáles simplemente no lo son.
Porque proteger una empresa no significa intentar eliminar todos los riesgos.
Eso sería prácticamente imposible.
Significa identificar cuáles riesgos pueden comprometer seriamente la continuidad empresarial y construir controles proporcionales alrededor de ellos.
Aquí aparece una diferencia importante entre administrar tecnología y construir arquitectura tecnológica.
La administración pregunta:
¿Está funcionando?
La arquitectura pregunta:
¿Está funcionando como debería funcionar para esta empresa, con niveles adecuados de seguridad, continuidad, costo y capacidad de evolución?
Esa segunda pregunta es considerablemente más estratégica.
La inteligencia artificial aumenta todavía más el desafío
La expansión de la inteligencia artificial introduce una nueva variable.
Kaspersky reportó en junio de 2026 que el 97 % de las organizaciones latinoamericanas consultadas consideraba incorporar IA en las operaciones de sus centros de seguridad para mejorar detección, automatización y respuesta. Al mismo tiempo, identificaba dificultades relacionadas con integración, calidad de datos, costos y disponibilidad de especialistas.
Esto demuestra algo interesante.
La inteligencia artificial puede contribuir a resolver parte de la escasez de capacidad operativa.
Pero también requiere personas capaces de gobernarla.
Porque automatizar una mala decisión solamente permite cometerla más rápido.
Y utilizar inteligencia artificial sobre procesos tecnológicos desordenados no corrige necesariamente el desorden.
Puede amplificarlo.
Por eso considero que las empresas deberían resistirse a una tentación que veremos con frecuencia durante los próximos años:
creer que la IA reemplazará la necesidad de construir conocimiento interno.
Probablemente ocurrirá lo contrario.
Las herramientas serán cada vez más poderosas.
Precisamente por eso necesitaremos personas con mayor criterio para decidir cómo utilizarlas.
Antes de contratar más personas, conozca su arquitectura
Esto no significa retrasar contrataciones necesarias.
Significa evitar contratar sin diagnóstico.
Una organización debería poder responder al menos cuatro preguntas antes de decidir cómo fortalecer su equipo de seguridad:
¿Qué debemos proteger?
No todos los activos tienen el mismo valor.
¿De qué debemos protegerlos?
Los riesgos dependen del sector, operación, infraestructura y modelo de negocio.
¿Qué capacidad tenemos actualmente?
Personas, procedimientos, herramientas, proveedores y conocimientos.
¿Qué capacidad necesitamos desarrollar?
Aquí puede aparecer una combinación diferente para cada empresa: talento interno, capacitación, servicios especializados, automatización y nuevas herramientas.
Solo después debería comenzar la conversación sobre productos y contrataciones.
Si su empresa ha acumulado infraestructura, servicios en nube, aplicaciones y proveedores durante años y hoy resulta difícil comprender cómo encaja todo, una revisión de Arquitectura Tecnológica Funcional puede ayudar precisamente a construir esa visión integral:
https://t.mtrbio.com/todo-en-unonet
Porque antes de fortalecer aquello que tenemos, necesitamos comprender realmente qué tenemos.
El riesgo humano tampoco se resuelve exclusivamente con capacitación
Existe además una tendencia a afirmar que "las personas son el eslabón más débil".
No comparto completamente esa manera de plantearlo.
Las personas pueden cometer errores.
Por supuesto.
Pero una arquitectura tecnológica bien diseñada debería asumir que esos errores ocurrirán y reducir sus consecuencias.
Durante septiembre de 2026, otra investigación de Kaspersky encontró que el 79 % de las organizaciones latinoamericanas consultadas identificaba factores relacionados con las personas entre los elementos que pueden contribuir al éxito de un ciberataque; la falta de experiencia en los equipos de TI y seguridad aparecía como una preocupación destacada.
La respuesta habitual sería capacitar.
Es necesario.
Pero no suficiente.
Si una persona puede eliminar accidentalmente información crítica sin posibilidad de recuperación, existe un problema de arquitectura.
Si una contraseña comprometida permite acceder a toda la infraestructura, existe un problema de arquitectura.
Si la salida de un empleado deja cuentas activas durante meses, existe un problema de proceso y arquitectura.
Si nadie sabe quién tiene permisos administrativos, existe un problema de gobierno.
Si un proveedor puede acceder indefinidamente a información que ya no necesita, existe un problema de control.
La capacitación disminuye la probabilidad del error.
La arquitectura disminuye su impacto.
Necesitamos ambas.
La ciberseguridad también debe tener indicadores empresariales
Otro cambio necesario consiste en abandonar indicadores exclusivamente técnicos.
Un gerente difícilmente puede tomar decisiones estratégicas con un informe lleno de vulnerabilidades, eventos, alertas y códigos que no comprende.
La dirección necesita otra conversación.
¿Cuáles procesos críticos podrían detenerse?
¿Cuánto tiempo podríamos operar sin determinado sistema?
¿Cuánto tardaríamos en recuperar información?
¿Qué porcentaje de accesos críticos utiliza autenticación reforzada?
¿Cuántos usuarios tienen privilegios superiores a los necesarios?
¿Cuánto tiempo tarda la empresa en retirar accesos cuando alguien abandona la organización?
¿Cuáles proveedores representan dependencias críticas?
¿Cuándo fue probada realmente la recuperación de las copias de seguridad?
¿Cuáles sistemas no tienen sustitución inmediata?
Esos indicadores permiten convertir la seguridad tecnológica en información para tomar decisiones.
Y cuando eso ocurre, la conversación deja de pertenecer exclusivamente al departamento de TI.
Comienza a formar parte de la dirección empresarial.
La seguridad debe acompañar el crecimiento
Una empresa no debería tener que elegir entre innovar y protegerse.
Ese falso dilema aparece cuando la seguridad se incorpora tarde.
Primero desarrollamos el proyecto.
Después implementamos la plataforma.
Después conectamos información.
Después creamos usuarios.
Después comenzamos a operar.
Y finalmente alguien pregunta:
"¿Esto es seguro?"
Para entonces modificar la arquitectura puede resultar costoso.
El enfoque debería invertirse.
Cuando evaluamos una nueva solución tecnológica deberíamos analizar desde el comienzo:
qué información utilizará;
quién accederá;
cómo se autenticarán los usuarios;
con qué sistemas se integrará;
qué ocurrirá si falla;
cómo recuperaremos la operación;
cómo podremos retirar la plataforma en el futuro;
y qué dependencia generará respecto del proveedor.
Eso no frena la innovación.
La hace sostenible.
La escasez de especialistas revela un problema más profundo
Que casi ocho de cada diez organizaciones latinoamericanas quieran fortalecer su capacidad de ciberseguridad es una señal positiva.
Significa que el problema está entrando definitivamente en la agenda empresarial.
Pero también puede producir una reacción equivocada:
una carrera por contratar profesionales y comprar herramientas sin revisar previamente la estructura que esas personas deberán administrar.
El verdadero desafío durante los próximos años probablemente no será solamente encontrar expertos.
Será construir organizaciones capaces de integrar adecuadamente esos expertos dentro de una arquitectura coherente.
Empresas donde tecnología, procesos, personas, información, seguridad y estrategia no funcionen como mundos independientes.
Porque la transformación digital está haciendo algo que muchas organizaciones todavía no han terminado de comprender:
está convirtiendo la arquitectura tecnológica en parte de la arquitectura del negocio.
Cuando los sistemas se detienen, la empresa se detiene.
Cuando la información desaparece, una parte del negocio desaparece.
Cuando una identidad digital es comprometida, la organización puede perder control sobre operaciones críticas.
Cuando un proveedor tecnológico falla, puede fallar también la empresa que depende de él.
Entonces la ciberseguridad deja definitivamente de ser "un asunto de sistemas".
Se convierte en capacidad empresarial.
La pregunta que debería hacerse hoy la dirección
No es:
"¿Tenemos antivirus?"
Tampoco:
"¿Cuánto estamos gastando en ciberseguridad?"
Ni siquiera:
"¿Necesitamos contratar un experto?"
La pregunta debería ser más profunda:
Si mañana ocurre un incidente serio, ¿sabemos exactamente qué debemos proteger, quién debe actuar, qué sistemas son prioritarios y cómo continuar operando?
Si la respuesta no es clara, probablemente existe una deuda tecnológica y organizacional que todavía no ha sido suficientemente comprendida.
Y esa deuda no necesariamente se resuelve comprando otra herramienta.
Se comienza resolviendo cuando conocemos nuestra empresa, comprendemos nuestra infraestructura, identificamos dependencias, asignamos responsabilidades y construimos tecnología alrededor de la funcionalidad que realmente necesita el negocio.
Ese es precisamente el propósito de una Arquitectura Tecnológica Funcional.
Si esta lectura le hizo descubrir que su organización ha venido incorporando tecnología más rápido de lo que ha construido criterios para gobernarla, podemos comenzar una conversación para comprender dónde están hoy las principales dependencias, riesgos y oportunidades de fortalecimiento:
https://t.mtrbio.com/todo-en-unonet
Porque el objetivo de la ciberseguridad no debería ser convertir cada empresa en una fortaleza tecnológica.
Debería ser algo mucho más empresarial:
permitir que la organización continúe funcionando, creciendo e innovando aun cuando el entorno digital se vuelva cada vez más complejo.
La tecnología puede ayudarnos a proteger la empresa.
Las personas pueden administrarla.
La inteligencia artificial puede ampliar nuestras capacidades.
Pero solamente una organización que comprende cómo todas esas piezas se relacionan podrá convertir la ciberseguridad en verdadera resiliencia empresarial.
Arquitectura: Arquitectura Tecnológica Funcional (ATF).