Hermes Romero, Director para Centro, Sudamérica y Caribe de Tenable
La transformación digital ya no es una opción, es la realidad operativa. Hoy la mayoría de las organizaciones (un contundente 82%) se mueve en entornos híbridos y el 63% usa múltiples proveedores de nube. A esto se suma la adopción acelerada de la Inteligencia Artificial (IA), con el 55% de las empresas ya utilizándola en producción.
Esta velocidad, si bien es sinónimo de innovación y eficiencia, trae consigo una peligrosa sombra: la ciberseguridad no está logrando mantener el ritmo de la adopción tecnológica. El más reciente informe de Tenable, "El estado de la seguridad en la nube y en la IA 2025", realizado en colaboración con la Cloud Security Alliance (CSA), revela una creciente brecha entre la complejidad de los nuevos sistemas y las estrategias de protección implementadas.
El resultado de esta desconexión es preocupante: una de cada tres organizaciones con cargas de trabajo de IA (34%) ya ha sufrido violaciones de ciberseguridad relacionadas con esta tecnología. Y lo más alarmante, otro 14% ni siquiera está seguro de haber sido comprometido.
Si tuviéramos que señalar el eslabón más débil, la identidad se llevaría el primer lugar. El 59% de las organizaciones reconoce que las identidades desprotegidas y los permisos excesivos representan el principal riesgo para su infraestructura en la nube. Al analizar los incidentes, las causas más frecuentes se concentran, precisamente, en fallas relacionadas con la identidad: exceso de permisos (31%), controles de acceso inconsistentes (27%) y una pobre higiene de identidad (27%).
A pesar de este claro diagnóstico, las empresas luchan con problemas de desalineación entre los equipos de nube e IAM, y una dificultad significativa para aplicar el principio fundamental del menor privilegio. Esta no es una falla de la herramienta, es una brecha estructural de gobernanza y cultura. La buena noticia es que el 44% de las organizaciones ya priorizan la implementación del menor privilegio bajo una estrategia Zero Trust para los próximos 12 meses.
Otro hallazgo clave es la desalineación entre dónde se enfoca la ciberseguridad y dónde se materializa el riesgo. En los sistemas de IA, los incidentes están siendo causados por amenazas "tradicionales" ya conocidas: vulnerabilidades de software, fallas de modelos, amenazas internas y, crucialmente, configuraciones incorrectas en la nube.
Sin embargo, vemos que los equipos de ciberseguridad se centran desproporcionadamente en riesgos "nuevos" como la manipulación de modelos o el uso de modelos no autorizados. Esto sugiere que muchos programas de ciberseguridad están tratando la IA como una entidad completamente ajena, en lugar de aplicar los principios probados de ciberseguridad de la nube, de identidad y de gestión de la configuración que ya deberían ser la base.
En América Latina, esta situación representa tanto un desafío como una enorme oportunidad. Las organizaciones de la región están en un punto de inflexión. Para dar un salto en madurez y avanzar de un enfoque reactivo a uno proactivo, es crucial enfocarse en los cimientos:
- Visibilidad unificada y gobernanza consistente: Es imposible proteger lo que no se ve. Se necesita una visión consolidada y políticas uniformes que abarquen los entornos on-premise, multinube e IA.
- Inversión en identidad: La gobernanza de la identidad debe ser la prioridad número uno, extendiéndose a las identidades no humanas y a los sistemas de IA, asegurando el menor privilegio en todo momento.
- Alineación estratégica: El 31% de los encuestados reporta que el liderazgo ejecutivo carece de conocimiento suficiente sobre los riesgos en la nube. Esta brecha de conocimiento debe cerrarse para garantizar que la asignación de recursos y la planificación reflejen las realidades operacionales del riesgo.
La madurez de la ciberseguridad nunca vendrá solo de las herramientas. Requiere un esfuerzo coordinado de equipos, estrategia y liderazgo. Las organizaciones exitosas del mañana serán aquellas que construyan estructuras sólidas para entender, priorizar y reducir su exposición al riesgo antes de que el próximo incidente tenga lugar. El futuro pertenece a quienes sean capaces de alinear la velocidad de la innovación con la solidez de la ciberseguridad.
