Imagine lo siguiente: son las 6:47 de la mañana y su equipo de TI le llama. Los sistemas están cifrados, los clientes no pueden acceder a sus cuentas y en la pantalla de cada computadora hay una nota exigiendo un millón de dólares en criptomoneda. No es una escena de película. En 2025, el pago promedio de un ataque de ransomware fue de un millón de dólares, y la recuperación completa tomó, en promedio, 24 días. Para entonces, la pregunta ya no es técnica. Es una pregunta de negocio, de reputación y, cada vez más, de responsabilidad personal para quienes toman las decisiones.
La gestión de riesgos de TI dejó de ser un tema exclusivo del departamento de sistemas. Hoy es, sin exagerar, una función estratégica que determina si una empresa sigue operando después de un incidente o si se convierte en una nota en las noticias. Y sin embargo, muchos consejos directivos siguen tratándola como un rubro de gasto técnico en lugar de una inversión en continuidad del negocio.
El costo real de mirar hacia otro lado
Los números de 2025 son contundentes. Los ataques de ransomware a nivel global alcanzaron cerca de 7,419 incidentes registrados, un incremento del 32% respecto al año anterior. El ransomware ya está presente en el 44% de todas las brechas de datos, y más de 7,500 organizaciones aparecieron en portales de filtración en la dark web, un salto del 58% frente a 2024. El costo promedio de una brecha relacionada con ransomware llegó a 5.08 millones de dólares, superior al costo promedio general de una brecha de datos, que es de 4.44 millones.
Pero el dato que debería quitarle el sueño a cualquier director es otro: un estudio del MIT sobre 2,800 incidentes encontró que el 80% de los ataques de ransomware actuales ya utilizan herramientas de inteligencia artificial. Los atacantes automatizan el reconocimiento, personalizan el phishing y aceleran el movimiento lateral dentro de las redes. Mientras las organizaciones siguen debatiendo si adoptar IA en sus procesos, el crimen organizado ya la adoptó, y la está usando en su contra.
Además, la doble extorsión (cifrar los datos y además amenazar con filtrarlos públicamente) ya se utiliza en el 70% de los casos de ransomware. Ya no basta con tener respaldos. Si el atacante tiene sus datos y amenaza con publicarlos, el respaldo no protege la reputación de la empresa ni evita las sanciones regulatorias.
De la sala de servidores a la sala del consejo
Aquí está el giro que muchos ejecutivos aún no han asimilado: los reguladores ya no ven la ciberseguridad como un tema exclusivamente operativo. La Comisión de Bolsa y Valores de Estados Unidos (SEC) ha comenzado a fincar responsabilidades directas a directivos por revelaciones falsas o engañosas tras incidentes cibernéticos. Un caso reciente involucró cargos contra una empresa por declaraciones inexactas después de que un atacante accedió a sus servidores. La mención de marcos como el NIST CSF en reportes 10-K se multiplicó 22 veces tras la nueva regla de ciberseguridad de la SEC.
La confianza también puede ser una trampa. En Estados Unidos, el 83% de los consejos directivos y directores considera que su organización está preparada para un incidente cibernético grave. Esa cifra suena alentadora, hasta que se compara con la realidad operativa de las empresas que efectivamente sufren un ataque. La brecha entre percepción y preparación real es, quizás, el riesgo más peligroso de todos: uno que nadie mide porque nadie lo cuestiona.
¿Qué es, en realidad, la gestión de riesgos de TI?
Despojada de la jerga técnica, la gestión de riesgos de TI es un proceso sistemático para responder tres preguntas simples: ¿qué podría salir mal en nuestros sistemas de información?, ¿qué tan probable es que ocurra y qué tan grave sería?, y ¿qué estamos haciendo al respecto, antes, durante y después de que ocurra?
No se trata de eliminar el riesgo, algo imposible en cualquier organización conectada a internet. Se trata de identificarlo, priorizarlo según el impacto real en el negocio, y decidir de forma consciente si se mitiga, se transfiere (por ejemplo, mediante un seguro cibernético), se acepta o se evita.
Los marcos que están reescribiendo las reglas
Dos marcos de referencia dominan la conversación en 2026. El primero es el NIST Cybersecurity Framework 2.0, que desde su actualización incorporó una sexta función llamada “Gobernar” (Govern), además de las cinco funciones clásicas: Identificar, Proteger, Detectar, Responder y Recuperar. Esta nueva función es la que conecta directamente la ciberseguridad con la estrategia de la organización: contexto organizacional, apetito de riesgo, roles de supervisión y gestión de riesgos en la cadena de proveedores.
El segundo es ISO 27001, el estándar internacional para sistemas de gestión de seguridad de la información. El dato interesante es que ambos marcos son altamente complementarios: una organización certificada en ISO 27001 ya cumple aproximadamente el 83% de los requisitos del NIST CSF, mientras que una organización alineada con NIST CSF ya cubre alrededor del 61% del camino hacia la certificación ISO 27001. Las organizaciones más maduras usan el NIST CSF como el relato estratégico que presentan al consejo, e ISO 27001 como el sistema operativo que genera la evidencia día a día.
Cinco preguntas que todo directivo debería poder responder
Sin entrar en tecnicismos, cualquier líder de negocio debería tener respuesta clara a lo siguiente. Primero, ¿sabemos exactamente qué activos de información son críticos para que el negocio siga funcionando? Segundo, ¿tenemos un inventario actualizado de nuestros proveedores externos y el acceso que tienen a nuestros sistemas? Tercero, ¿cuánto tiempo podríamos operar sin nuestros sistemas principales antes de que el daño sea irreversible? Cuarto, ¿existe un plan de respuesta a incidentes que se haya probado en los últimos doce meses, no solo escrito en un documento? Y quinto, ¿el consejo directivo recibe reportes de riesgo de TI en un lenguaje que realmente entiende, con métricas de negocio y no solo indicadores técnicos?
Si alguna de estas preguntas genera duda o silencio, ahí está, con toda probabilidad, el punto ciego de la organización.
Cómo empezar sin paralizarse
La buena noticia es que la gestión de riesgos de TI no exige transformar una organización de la noche a la mañana. Los equipos más efectivos avanzan en ciclos cortos y visibles. Comienzan con un ejercicio de identificación de activos críticos: qué sistemas, datos y procesos, si desaparecieran por doce horas, causarían un daño real al negocio. Después priorizan, porque no todos los riesgos merecen el mismo presupuesto ni la misma urgencia; un riesgo de baja probabilidad y bajo impacto no debería competir por los mismos recursos que uno de alta probabilidad y alto impacto.
El siguiente paso, con frecuencia el más ignorado, es poner a prueba los planes existentes mediante simulacros reales, no solo revisiones documentales. Un plan de continuidad que nunca se ha ensayado es, en la práctica, una suposición. Finalmente, la madurez llega cuando el riesgo de TI se convierte en un punto recurrente de la agenda del consejo, con métricas claras y comparables a lo largo del tiempo, en lugar de aparecer únicamente después de un incidente.
Ninguna organización alcanza la madurez completa en un trimestre, y tampoco es necesario. Lo que sí es necesario es que la conversación empiece ahora, con datos reales y decisiones deliberadas, en lugar de esperar a que un correo de rescate en la pantalla la inicie por ustedes.
El riesgo de no decidir
Quizás la conclusión más incómoda de todo esto es que no gestionar el riesgo de TI también es una decisión, simplemente una decisión tomada por default y sin información. Las empresas que tratan la gestión de riesgos como un ejercicio continuo, integrado a la estrategia y con participación activa del liderazgo, no solo reducen la probabilidad de un incidente grave. También reducen el tiempo de recuperación, protegen su reputación frente a clientes y reguladores, y sobre todo, mantienen el control de la narrativa cuando las cosas salen mal, porque tarde o temprano, algo saldrá mal.
La pregunta ya no es si su organización enfrentará un incidente de seguridad. La pregunta es si, cuando ocurra, su empresa estará entre las que se recuperan en días con el negocio intacto, o entre las que tardan semanas explicando a clientes, medios y reguladores por qué nadie vio venir algo que, en realidad, era completamente previsible.
Quieres conocer todos los detalles? Descúbrelos en el siguiente episodio:
En InfoSeq Consulting diseñamos e implementamos programas de seguridad de la información adaptados a la realidad de cada organización. Si quieres entender cómo está estructurada —o cómo debería estarlo— la seguridad de la información en tu empresa, contáctanos en www.infoseq.mx. Estamos para acompañarte desde el diagnóstico hasta la madurez.
Imagine lo siguiente: son las 6:47 de la mañana y su equipo de TI le llama. Los sistemas están cifrados, los clientes no pueden acceder a sus cuentas y en la pantalla de cada computadora hay una nota exigiendo un millón de dólares en criptomoneda. No es una escena de película. En 2025, el pago promedio de un ataque de ransomware fue de un millón de dólares, y la recuperación completa tomó, en promedio, 24 días. Para entonces, la pregunta ya no es técnica. Es una pregunta de negocio, de reputación y, cada vez más, de responsabilidad personal para quienes toman las decisiones.
La gestión de riesgos de TI dejó de ser un tema exclusivo del departamento de sistemas. Hoy es, sin exagerar, una función estratégica que determina si una empresa sigue operando después de un incidente o si se convierte en una nota en las noticias. Y sin embargo, muchos consejos directivos siguen tratándola como un rubro de gasto técnico en lugar de una inversión en continuidad del negocio.
El costo real de mirar hacia otro lado
Los números de 2025 son contundentes. Los ataques de ransomware a nivel global alcanzaron cerca de 7,419 incidentes registrados, un incremento del 32% respecto al año anterior. El ransomware ya está presente en el 44% de todas las brechas de datos, y más de 7,500 organizaciones aparecieron en portales de filtración en la dark web, un salto del 58% frente a 2024. El costo promedio de una brecha relacionada con ransomware llegó a 5.08 millones de dólares, superior al costo promedio general de una brecha de datos, que es de 4.44 millones.
Pero el dato que debería quitarle el sueño a cualquier director es otro: un estudio del MIT sobre 2,800 incidentes encontró que el 80% de los ataques de ransomware actuales ya utilizan herramientas de inteligencia artificial. Los atacantes automatizan el reconocimiento, personalizan el phishing y aceleran el movimiento lateral dentro de las redes. Mientras las organizaciones siguen debatiendo si adoptar IA en sus procesos, el crimen organizado ya la adoptó, y la está usando en su contra.
Además, la doble extorsión (cifrar los datos y además amenazar con filtrarlos públicamente) ya se utiliza en el 70% de los casos de ransomware. Ya no basta con tener respaldos. Si el atacante tiene sus datos y amenaza con publicarlos, el respaldo no protege la reputación de la empresa ni evita las sanciones regulatorias.
De la sala de servidores a la sala del consejo
Aquí está el giro que muchos ejecutivos aún no han asimilado: los reguladores ya no ven la ciberseguridad como un tema exclusivamente operativo. La Comisión de Bolsa y Valores de Estados Unidos (SEC) ha comenzado a fincar responsabilidades directas a directivos por revelaciones falsas o engañosas tras incidentes cibernéticos. Un caso reciente involucró cargos contra una empresa por declaraciones inexactas después de que un atacante accedió a sus servidores. La mención de marcos como el NIST CSF en reportes 10-K se multiplicó 22 veces tras la nueva regla de ciberseguridad de la SEC.
La confianza también puede ser una trampa. En Estados Unidos, el 83% de los consejos directivos y directores considera que su organización está preparada para un incidente cibernético grave. Esa cifra suena alentadora, hasta que se compara con la realidad operativa de las empresas que efectivamente sufren un ataque. La brecha entre percepción y preparación real es, quizás, el riesgo más peligroso de todos: uno que nadie mide porque nadie lo cuestiona.
¿Qué es, en realidad, la gestión de riesgos de TI?
Despojada de la jerga técnica, la gestión de riesgos de TI es un proceso sistemático para responder tres preguntas simples: ¿qué podría salir mal en nuestros sistemas de información?, ¿qué tan probable es que ocurra y qué tan grave sería?, y ¿qué estamos haciendo al respecto, antes, durante y después de que ocurra?
No se trata de eliminar el riesgo, algo imposible en cualquier organización conectada a internet. Se trata de identificarlo, priorizarlo según el impacto real en el negocio, y decidir de forma consciente si se mitiga, se transfiere (por ejemplo, mediante un seguro cibernético), se acepta o se evita.
Los marcos que están reescribiendo las reglas
Dos marcos de referencia dominan la conversación en 2026. El primero es el NIST Cybersecurity Framework 2.0, que desde su actualización incorporó una sexta función llamada “Gobernar” (Govern), además de las cinco funciones clásicas: Identificar, Proteger, Detectar, Responder y Recuperar. Esta nueva función es la que conecta directamente la ciberseguridad con la estrategia de la organización: contexto organizacional, apetito de riesgo, roles de supervisión y gestión de riesgos en la cadena de proveedores.
El segundo es ISO 27001, el estándar internacional para sistemas de gestión de seguridad de la información. El dato interesante es que ambos marcos son altamente complementarios: una organización certificada en ISO 27001 ya cumple aproximadamente el 83% de los requisitos del NIST CSF, mientras que una organización alineada con NIST CSF ya cubre alrededor del 61% del camino hacia la certificación ISO 27001. Las organizaciones más maduras usan el NIST CSF como el relato estratégico que presentan al consejo, e ISO 27001 como el sistema operativo que genera la evidencia día a día.
Cinco preguntas que todo directivo debería poder responder
Sin entrar en tecnicismos, cualquier líder de negocio debería tener respuesta clara a lo siguiente. Primero, ¿sabemos exactamente qué activos de información son críticos para que el negocio siga funcionando? Segundo, ¿tenemos un inventario actualizado de nuestros proveedores externos y el acceso que tienen a nuestros sistemas? Tercero, ¿cuánto tiempo podríamos operar sin nuestros sistemas principales antes de que el daño sea irreversible? Cuarto, ¿existe un plan de respuesta a incidentes que se haya probado en los últimos doce meses, no solo escrito en un documento? Y quinto, ¿el consejo directivo recibe reportes de riesgo de TI en un lenguaje que realmente entiende, con métricas de negocio y no solo indicadores técnicos?
Si alguna de estas preguntas genera duda o silencio, ahí está, con toda probabilidad, el punto ciego de la organización.
Cómo empezar sin paralizarse
La buena noticia es que la gestión de riesgos de TI no exige transformar una organización de la noche a la mañana. Los equipos más efectivos avanzan en ciclos cortos y visibles. Comienzan con un ejercicio de identificación de activos críticos: qué sistemas, datos y procesos, si desaparecieran por doce horas, causarían un daño real al negocio. Después priorizan, porque no todos los riesgos merecen el mismo presupuesto ni la misma urgencia; un riesgo de baja probabilidad y bajo impacto no debería competir por los mismos recursos que uno de alta probabilidad y alto impacto.
El siguiente paso, con frecuencia el más ignorado, es poner a prueba los planes existentes mediante simulacros reales, no solo revisiones documentales. Un plan de continuidad que nunca se ha ensayado es, en la práctica, una suposición. Finalmente, la madurez llega cuando el riesgo de TI se convierte en un punto recurrente de la agenda del consejo, con métricas claras y comparables a lo largo del tiempo, en lugar de aparecer únicamente después de un incidente.
Ninguna organización alcanza la madurez completa en un trimestre, y tampoco es necesario. Lo que sí es necesario es que la conversación empiece ahora, con datos reales y decisiones deliberadas, en lugar de esperar a que un correo de rescate en la pantalla la inicie por ustedes.
El riesgo de no decidir
Quizás la conclusión más incómoda de todo esto es que no gestionar el riesgo de TI también es una decisión, simplemente una decisión tomada por default y sin información. Las empresas que tratan la gestión de riesgos como un ejercicio continuo, integrado a la estrategia y con participación activa del liderazgo, no solo reducen la probabilidad de un incidente grave. También reducen el tiempo de recuperación, protegen su reputación frente a clientes y reguladores, y sobre todo, mantienen el control de la narrativa cuando las cosas salen mal, porque tarde o temprano, algo saldrá mal.
La pregunta ya no es si su organización enfrentará un incidente de seguridad. La pregunta es si, cuando ocurra, su empresa estará entre las que se recuperan en días con el negocio intacto, o entre las que tardan semanas explicando a clientes, medios y reguladores por qué nadie vio venir algo que, en realidad, era completamente previsible.
Quieres conocer todos los detalles? Descúbrelos en el siguiente episodio:
En InfoSeq Consulting diseñamos e implementamos programas de seguridad de la información adaptados a la realidad de cada organización. Si quieres entender cómo está estructurada —o cómo debería estarlo— la seguridad de la información en tu empresa, contáctanos en www.infoseq.mx. Estamos para acompañarte desde el diagnóstico hasta la madurez.
