El estado del riesgo humano en 2026

Las organizaciones han invertido miles de millones en reforzar sus infraestructuras tecnológicas. Han implantado cortafuegos, sistemas de detección en los terminales, plataformas SIEM y arquitecturas de confianza cero. Sin embargo, las infracciones continúan sin cesar. La razón es a la vez sencilla e incómoda: el mayor reto en materia de ciberseguridad no es una brecha tecnológica, sino humana.

El informe «The State of Human Risk 2026» de Mimecast, basado en una encuesta realizada a 2.500 responsables de seguridad informática y de la toma de decisiones en materia de TI de nueve países, deja una cosa muy clara. Las organizaciones saben dónde se encuentran sus puntos débiles. Simplemente no están actuando con la suficiente rapidez para resolverlos.

La magnitud del problema

Lo que está en juego desde el punto de vista financiero es astronómico. Los encuestados estiman que un solo incidente de filtración de datos provocado por una persona interna le costaría a su organización una media de 13,1 millones de dólares. Dado que las organizaciones sufren una media de seis incidentes de este tipo al mes, esto supone un riesgo anual de aproximadamente 943 millones de dólares. No se trata de cifras hipotéticas: reflejan la realidad a la que se enfrentan los equipos de seguridad, que ven cómo se acumulan los incidentes en las bandejas de entrada de correo electrónico, las plataformas de colaboración y los canales de comunicación internos.

La brecha entre el saber y el hacer

Quizás el hallazgo más llamativo del informe de este año sea lo que denominamos la «brecha entre el reconocimiento y la acción». La conciencia sobre el riesgo humano es prácticamente universal: el 91 % de las organizaciones se enfrenta a obstáculos a la hora de garantizar el cumplimiento de las normas por parte de sus empleados, y el 96 % reconoce que su protección es insuficiente. Sin embargo, solo el 28 % combina dos prácticas fundamentales: la formación periódica en materia de concienciación sobre seguridad y la supervisión continua de las infracciones de las políticas.

Es precisamente en esa desconexión donde se producen las filtraciones. Los atacantes no se aprovechan de lo que las organizaciones no ven. Aprovechan lo que las organizaciones ven, pero no logran relacionar entre sí.

Cinco lagunas fundamentales que determinan el panorama de amenazas

El informe identifica cinco brechas de seguridad interrelacionadas que las defensas tradicionales tienen dificultades para abordar.

La explosión de la superficie de ataque. Lo que en su día fue principalmente un problema de seguridad del correo electrónico se ha convertido en un panorama de amenazas omnicanal. En la actualidad, las organizaciones se enfrentan a ataques que afectan a Slack, Microsoft Teams, Zoom y a otras muchas plataformas de colaboración. Un 71 % espera que los ataques a las herramientas de colaboración tengan un impacto negativo en sus negocios en 2026; sin embargo, el 38 % sigue confiando exclusivamente en los controles de seguridad nativos, controles que, según el 64 %, son insuficientes.

La crisis de los riesgos internos. Los estudios revelan que tan solo el 8% de los empleados es responsable del 80% de los incidentes de seguridad. No se trata necesariamente de personas malintencionadas; en la mayoría de los casos, son empleados bienintencionados que se convierten en un riesgo debido al cansancio, a la distracción o a técnicas sofisticadas de ingeniería social. Las organizaciones reconocen tres perfiles de riesgo distintos —por negligencia, por vulnerabilidades y malintencionado—, pero rara vez coordinan sus estrategias de prevención para los tres.

La paradoja de la integración. Casi dos tercios (65 %) de las organizaciones consideran que la integración de herramientas de ciberseguridad resulta demasiado complicada. Sin embargo, quienes lo consiguen afirman que la corrección de amenazas es un 40 % más rápida y que la visibilidad es mucho más completa. La cruel ironía: los esfuerzos fallidos de integración dan lugar precisamente a esa proliferación y fragmentación de herramientas que se suponía que la integración debía resolver.

El colapso de la gobernanza. A pesar de que existe un reconocimiento generalizado de la importancia de la gobernanza, el 59 % de los encuestados no confía en poder localizar rápidamente los datos de comunicaciones para cumplir con los requisitos normativos o legales. Dado que el 36 % sigue recurriendo a la supervisión manual y el 23 % gestiona las políticas de forma manual, las organizaciones simplemente no pueden seguir el ritmo del aumento vertiginoso de los volúmenes de datos y de las exigencias de cumplimiento normativo, que no dejan de multiplicarse.

La brecha en materia de preparación para la IA. Si bien el 69 % de los encuestados considera que los ataques impulsados por la inteligencia artificial son inevitables en los próximos 12 meses, solo el 40 % afirma estar plenamente preparado con estrategias específicas para hacerles frente. Esa diferencia de 29 puntos entre el reconocimiento y la preparación representa una ventana de vulnerabilidad crítica, y los atacantes ya la están aprovechando.

La IA: un arma de doble filo

La inteligencia artificial merece una atención especial, ya que acentúa todas las demás disparidades que se recogen en el informe. En lo que respecta a los ataques, la inteligencia artificial permite crear cadenas automatizadas business email compromise que mantienen conversaciones creíbles durante semanas, «deepfakes» de voz que imitan a los directivos y contenidos de phishing tan bien elaborados que las señales de alerta tradicionales —gramática deficiente, saludos genéricos— han desaparecido prácticamente por completo.

En lo que respecta a la defensa, la adopción está aumentando, aunque de forma desigual. Algo más de la mitad de las organizaciones utilizan actualmente la inteligencia artificial para la detección de amenazas y la supervisión en tiempo real, lo que supone un aumento respecto al 46 % del año anterior. Sin embargo, existe un desequilibrio revelador: el 48 % está invirtiendo en herramientas de supervisión basadas en la inteligencia artificial, mientras que solo el 44 % está formando a sus empleados para que reconozcan los casos de explotación impulsados por la inteligencia artificial y tan solo el 41 % ha elaborado políticas específicas sobre el uso de la inteligencia artificial. Las organizaciones están adquiriendo sistemas más avanzados, pero dejan a su personal expuesto precisamente a los ataques que dichos sistemas están destinados a detectar.

Un reto mundial con variaciones regionales

El riesgo humano es universal, pero los enfoques varían según el mercado. El informe identifica tres niveles de madurez. Estados Unidos y Singapur lideran la clasificación como «países que adoptan la IA», caracterizados por un alto nivel de concienciación, una adopción dinámica y un retorno de la inversión cada vez mayor. Mercados como el del Reino Unido, Alemania y Francia adoptan un enfoque más prudente y centrado en el cumplimiento normativo. Y los países emergentes —España, Sudáfrica y Australia— se están desarrollando rápidamente, al tiempo que hacen frente a las limitaciones de recursos.

A pesar de estas diferencias, hay ciertos retos que son comunes en todas partes: las dificultades de gobernanza afectan al 91-93 % de las organizaciones en todas las regiones, la complejidad de la integración supera el 65 % y la brecha de coordinación del 28 % persiste a nivel mundial.

El camino a seguir

Las recomendaciones del informe se centran en cinco prioridades que se refuerzan mutuamente: proteger todos los canales de comunicación mediante una protección unificada; gestionar el riesgo humano a través del análisis del comportamiento y controles centrados en el usuario; gestionar los datos mediante el cumplimiento normativo automatizado; consolidar las herramientas de seguridad en plataformas integradas; y prepararse para las amenazas impulsadas por la inteligencia artificial (IA) mediante el uso de IA defensiva y marcos de gobernanza claros.

No se trata de cinco proyectos distintos. Están interconectados: la protección unificada de los canales proporciona a los análisis de comportamiento datos más completos; una mejor evaluación de riesgos sirve de base para las políticas de gobernanza; y las plataformas integradas hacen que todo el sistema sea viable desde el punto de vista operativo.

Lo esencial

El coste de la inacción supera con creces la inversión necesaria. Con una exposición estimada al riesgo de fugas de información por parte de personas con acceso privilegiado de casi 1.000 millones de dólares al año, el aumento de los ataques a las herramientas de colaboración y la inteligencia artificial potenciando el panorama de amenazas, 2026 es el año en el que las organizaciones deben pasar de la concienciación a la acción.

La cuestión que se plantean todos los responsables de seguridad no es si deben invertir en la gestión de riesgos humanos. La cuestión es si actuará antes del próximo incidente… o después.

Descargue el informe«The State of Human Risk 2026» de Mimecastpara conocer las conclusiones detalladas, el análisis regional y las recomendaciones prácticas.