La situación del riesgo humano en 2026: la paradoja de la eficacia de la seguridad

Los presupuestos destinados a la ciberseguridad no dejan de aumentar. La eficacia defensiva sigue disminuyendo. Y las amenazas internas malintencionadas no dejan de aumentar. Hay algo que falla de raíz, y la solución no pasa por invertir más dinero.

Una nueva investigación pone de manifiesto una preocupante desconexión en el núcleo de la seguridad empresarial. La eficacia de la tecnología se redujo del 47 % al 37 %. La eficacia de los procesos se redujo del 43 % al 35 %. La eficacia del personal descendió del 38 % al 35 %. Sin embargo, a pesar de estos descensos, el 99 % de las organizaciones afirman que necesitan aún más presupuesto. No se trata de un problema de recursos. Se trata de un problema estructural. Y mientras los dirigentes no reconozcan esa diferencia, el ciclo no hará más que empeorar.

El colapso de la eficacia que nadie quiere admitir

En todos los ámbitos de la ciberseguridad —tecnología, procesos y personal— la eficacia se ha visto mermada de forma significativa. Una caída de 10 puntos en la eficacia tecnológica resulta especialmente preocupante, teniendo en cuenta los miles de millones que las organizaciones han invertido en nuevas herramientas, plataformas y soluciones específicas durante los últimos años. La eficacia de los procesos se redujo en 8 puntos, e incluso la dimensión humana, a menudo citada como la «última línea de defensa», descendió en 3 puntos.

¿El resultado? Un 96 % de las organizaciones afirma que su protección es incompleta. No es «margen de mejora», sino «incompleto». Tras años de inversiones acumuladas, la gran mayoría de los equipos de seguridad siguen sin poder afirmar con seguridad que sus organizaciones cuenten con una protección adecuada.

La trampa presupuestaria

Es aquí donde la paradoja se agudiza. A pesar de que la rentabilidad está disminuyendo de forma cuantificable, prácticamente todas las organizaciones insisten en que necesitan un presupuesto de seguridad mayor. Concretamente, el 64 % de las organizaciones encuestadas da prioridad a aumentar la plantilla y los servicios de ciberseguridad (la principal prioridad de gasto), a pesar de que la eficacia del personal sigue disminuyendo.

El patrón es previsible: se adquiere una herramienta, se integra de forma deficiente, se detecta una carencia, se adquiere otra herramienta, se observa cómo empeora la coordinación y así sucesivamente. Cada compra aumenta la complejidad. Cada integración agrava el reto que ya planteaba la anterior. Y cada nuevo panel de control, agente o módulo crea una nueva brecha por la que pueden colarse las amenazas.

Desde el punto de vista de un director financiero, esto constituye un caso de rendimientos decrecientes en su forma más pura. Desde el punto de vista del consejo de administración, esto plantea una pregunta incómoda: ¿por qué no estamos mejorando nuestra seguridad?

Amenazas internas: el canario en la mina de carbón

La señal más alarmante que se desprende de los datos no tiene nada que ver con la tecnología. Se trata de las personas. Las actividades maliciosas por parte de personas internas se han disparado un 26 % en tan solo dos años, y el porcentaje de organizaciones que han notificado un aumento ha pasado del 35 % en 2024 al 42 % en 2025 y al 44 % en 2026.

Esta aceleración no es una coincidencia. Es una consecuencia directa del problema de la fragmentación. A medida que las organizaciones implementan más herramientas inconexas, la visibilidad entre ellas se ve mermada. Los analistas de seguridad dedican más tiempo a correlacionar las alertas entre los distintos sistemas que a responder realmente a las amenazas. Los programas de formación funcionan con independencia de los controles técnicos. Los sistemas de recursos humanos no se comunican con los sistemas de seguridad. El resultado es una estrategia defensiva plagada de puntos ciegos, y los empleados malintencionados son precisamente los agentes maliciosos más capaces de aprovecharlos.

Con un coste medio de 13,1 millones de dólares por organización, derivado de unas seis incidencias mensuales, las amenazas internas no son solo un problema de seguridad. Se trata de un riesgo financiero crítico para la empresa que se ve agravado precisamente por las inversiones destinadas a evitarlo.

Por qué un mayor número de herramientas empeora las cosas

Un asombroso 65 % de las organizaciones afirma que la integración entre sus diferentes componentes de seguridad resulta complicada. Esa complejidad no es fortuita. Es la causa principal de la disminución de la eficacia.

Cada nueva solución puntual añade requisitos de integración que crecen de forma exponencial, en lugar de lineal. La fatiga por alertas se agrava a medida que los sistemas desconectados entre sí generan cada uno sus propias notificaciones sin un contexto común. Los analistas se convierten en operadores de herramientas en lugar de en cazadores de amenazas, y se pasan el día cambiando de una consola a otra en lugar de investigar los riesgos. Y el factor humano (formación en materia de concienciación, señales de comportamiento, indicadores culturales) sigue estando aislado de la telemetría técnica que debería servirle de base.

La ironía es evidente: las organizaciones adquieren herramientas para mejorar la seguridad, y el mero hecho de adquirir más herramientas la socava de forma directa.

La solución estructural

Para romper este ciclo se requiere un enfoque fundamentalmente diferente, que dé prioridad a la integración frente a la suma y a la coordinación frente a la acumulación.

Una estrategia basada en una plataforma que aúna la seguridad del correo electrónico, la gestión de riesgos internos, la formación en concienciación y el cumplimiento normativo en un único ecosistema elimina las brechas que aprovechan los empleados malintencionados. En lugar de añadir otra herramienta al conjunto, hace que las inversiones existentes funcionen de forma conjunta gracias a una integración profunda, convirtiendo las soluciones puntuales inconexas en una defensa coordinada.

La gestión de los riesgos humanos ocupa un lugar central en este cambio. Al considerar a las personas no como el eslabón más débil, sino como una superficie de riesgo cuantificable y gestionable, las organizaciones pueden abordar las causas fundamentales en lugar de los síntomas. El análisis del comportamiento, la intervención continua y la puntuación de riesgos sustituyen a la mentalidad de «marcar casillas» propia de la formación anual y la respuesta reactiva ante incidentes.

Los resultados hablan por sí solos: las organizaciones que han llevado a cabo este cambio registran reducciones cuantificables en el uso de la IA «en la sombra», tiempos de respuesta ante incidentes más rápidos y un menor coste por incidente, a menudo en un plazo de seis meses.

De gastar a resolver

La paradoja de la eficacia en materia de seguridad no se resolverá con el aumento presupuestario del próximo año. La solución vendrá de la mano de líderes dispuestos a plantear preguntas más difíciles: no «¿cuánto estamos gastando?», pero «¿con qué eficacia estamos gastando?» No es «¿cuántas herramientas tenemos?» pero «¿hasta qué punto se compenetran bien?».

El aumento de los casos de delitos cometidos por personas de dentro de la propia empresa es la señal de alerta más clara de que el enfoque actual está fallando. Las organizaciones que hagan caso de esta advertencia y pasen de un conjunto disperso y fragmentado de herramientas a plataformas integradas y centradas en las personas no solo mejorarán su nivel de seguridad, sino que, por fin, romperán el círculo vicioso de gastar más para proteger menos.

Para obtener más información, lea el informe de Mimecast titulado «The State of Human Risk 2026 ».

Cuestione la paradoja de la eficacia de la seguridad. Descubra cómo la plataforma integrada de gestión de Human Risk de Mimecast ofrece mejoras cuantificables en la eficacia sin que se produzca una proliferación de herramientas. Solicite una demostración.