Estamos acostumbrados a los rankings: las canciones más escuchadas, las empresas que más crecen, las marcas más valiosas o las tecnologías que marcarán el año, listas en las que llegar al podio suele ser motivo de celebración. Pero hay un Top 3 en el que ninguna organización quisiera aparecer y, en ciberseguridad, hay uno especialmente revelador.
Cuando las empresas de América Latina hablan de los factores que más pueden contribuir al éxito de un ciberataque, sus tres principales preocupaciones tienen algo en común: no son una tecnología, un malware ni una vulnerabilidad recién descubierta, sino las personas. Un reciente estudio de Kaspersky* encontró que el 79% de las organizaciones latinoamericanas identifica factores humanos capaces de facilitar un ataque exitoso, con la falta de experiencia de los equipos de TI y ciberseguridad en primer lugar, mencionada por el 27%, seguida por la sobrecarga de estos profesionales, con 23%, y la baja concientización de los empleados, con 21%.
Y esas cifras cuentan una historia mucho más amplia que la de alguien haciendo clic en el enlace equivocado.
Pensemos en lo que ocurre hoy dentro de cualquier organización, donde los equipos administran cada vez más plataformas, usuarios, accesos y alertas, mientras sistemas como el ERP conectan finanzas, inventarios, proveedores, clientes y procesos esenciales para mantener el negocio funcionando. A su alrededor conviven el correo electrónico, los servicios en la nube, las herramientas colaborativas y nuevas aplicaciones impulsadas por inteligencia artificial, creando un ecosistema que facilita la operación, pero que también exige a las personas tomar decisiones acertadas en un entorno cada vez más complejo.
Y ahí aparece el verdadero desafío. Un especialista sobrecargado puede pasar por alto una señal importante, un equipo con poca experiencia puede tardar más en reconocer un comportamiento anómalo, o un colaborador que nunca ha sido entrenado para identificar una suplantación puede entregar información que termine abriendo acceso a sistemas críticos.
Ninguno de esos escenarios parte necesariamente de una falla tecnológica. Empiezan con una persona que debe decidir, muchas veces en segundos y bajo presión.
El problema no es solo operativo, también es de gestión. Cuando la ciberseguridad depende de equipos que trabajan al límite, cualquier imprevisto empieza a pesar más: una alerta que llega tarde, una revisión que se posterga o una decisión que se toma con menos contexto del necesario. Poco a poco, el margen para reaccionar se reduce y el riesgo deja de depender de un error aislado para convertirse en una consecuencia de cómo está organizada la empresa.
Por eso, en el marco del Mes de la Ciberseguridad, vale la pena ampliar la conversación sobre lo que realmente significa proteger una organización. Durante años, la seguridad se ha asociado con sumar herramientas, controles y tecnología, elementos que siguen siendo indispensables, pero que por sí solos no bastan si los equipos no cuentan con la experiencia necesaria, trabajan bajo una presión constante o si los empleados no saben reconocer cuándo algo se sale de lo normal.
Esto es especialmente importante cuando sistemas como el ERP concentran información y procesos esenciales para la operación. Protegerlos no depende únicamente de lo que ocurre dentro del software, también depende de quién puede acceder, cómo se administran esos permisos, qué tan preparados están los usuarios y qué sucede cuando aparece una solicitud fuera de lo habitual.
La respuesta, entonces, no puede reducirse a pedirles a las personas que “tengan más cuidado”. Las empresas necesitan combinar formación continua con procesos que disminuyan la posibilidad de error, controles de acceso bien definidos, automatización de tareas repetitivas y herramientas que ayuden a priorizar las alertas realmente críticas. También implica revisar si los equipos de seguridad tienen la capacidad suficiente para responder al volumen de trabajo que reciben y, cuando sea necesario, apoyarse en servicios especializados que aporten experiencia adicional ante incidentes complejos.
La buena noticia es que las personas no tienen que ser vistas únicamente como una fuente de riesgo. Cuando cuentan con contexto, entrenamiento, procesos claros y tecnología que les permita concentrarse en las decisiones que realmente requieren criterio, también pueden convertirse en una de las mejores líneas de defensa de una organización.
Quizá el verdadero objetivo no sea desaparecer este Top 3, sino invertirlo: que la experiencia, la preparación y una cultura de seguridad sólida dejen de estar entre las principales preocupaciones y se conviertan en las tres razones por las que una empresa puede resistir mejor un ciberataque. Al final, el ranking que importa no es el de los riesgos que más preocupan, sino el de las fortalezas que mejor preparan a una organización para responder.
