Puede que su empresa sea pequeña, pero su superficie de ataque no lo es. La preparación es el primer paso hacia la resiliencia.
26 de junio de 2026
•
,
5 min. leer
La ciberseguridad de las PYMES no siempre recibe la atención que merece, incluso por parte de las propias pequeñas empresas. Esto es preocupante por varias razones, en particular porque las empresas representan el 90% de las empresas del mundo, el 70% de sus empleados y el 50% del PIB global, según el Foro Económico Mundial (FEM). Con menos recursos para gastar en ciberseguridad, los fondos deben asignarse de la manera más efectiva posible.
Para estas empresas, la resiliencia cibernética debería ser la dirección a seguir, es decir, la capacidad de continuar operando y recuperarse incluso durante un incidente grave. ¿Pero dónde comienza el viaje? La preparación cibernética consiste en implementar procesos y controles para prevenir, detectar y responder a las amenazas. un nuevo Informe ESET detalla qué tan bien les está yendo a las PYMES, cuáles son sus mayores desafíos y qué debería suceder a continuación.
La ciberseguridad como condición operativa
En muchos aspectos, las PYMES no se diferencian de sus pares más grandes. Se enfrentan a un panorama de amenazas que continúa evolucionando a buen ritmo, en el que los adversarios aprovechan las últimas tecnologías para aumentar el volumen, la escala y la velocidad de los ataques. La superficie de ataque corporativa se está expandiendo con cada nueva herramienta e inversión digital. Los empleados siguen siendo una fuente de riesgo. Y las empresas deben cumplir con un número cada vez mayor de mandatos regulatorios.
Según el informe de ESET, el 45% de las PYMES sufrieron un ciberincidente el año pasado, y aún más (61%) temen un ataque en los próximos 12 meses. Lo que más les preocupa es la pérdida de datos, la interrupción operativa y el impacto financiero.
Este es el tipo de preocupaciones que los propietarios de PYMES comparten con los CISO y las juntas directivas de las multinacionales más grandes. Hablan de la importancia empresarial de la preparación cibernética. Y por qué la seguridad debe funcionar como una condición operativa, no como una función de TI aislada, sino como algo profundamente arraigado en la cultura y las operaciones comerciales. Este cambio es fundamental porque, si bien muchas PYMES finalmente se recuperan, el 34% todavía necesita de dos a seis semanas para resolver un incidente, una duración de dolor operativo que puede ser desastrosa para muchas empresas.
¿Se trata de IA?
El informe también revela que la mayoría (73%) de las PYMES están integrando la IA en sus negocios, aunque reconocen que esto introducirá nuevos riesgos. Pero también existen preocupaciones sobre su potencial en las manos equivocadas. De hecho, varios encuestados citan el malware impulsado por IA como la “amenaza más preocupante”. ¿Debería ocupar un lugar tan destacado?
Lo cierto es que el malware que utiliza IA de forma automatizada y en tiempo real sigue siendo poco común, a pesar de lo que digan los titulares de las noticias. Los avistamientos son relativamente raroslo que lo convierte más en un tema para los investigadores de ciberseguridad que en una preocupación candente para las PYMES.
Si nos fijamos en los incidentes reales de ciberseguridad, los sospechosos habituales son los responsables de la mayoría de los acontecimientos. El phishing y las vulnerabilidades sin parches ocupan el primer lugar, lo que concuerda con datos de otras fuentes como El último informe de Verizon – que cita la explotación y el phishing como uno de los tres principales vectores de acceso inicial para las PYMES. Las contraseñas débiles y la falta de monitoreo de seguridad también ocupan un lugar destacado en los datos de ESET.
Cuando se trata de IA, la amenaza más grave proviene de dentro. Según DBIR, la IA en la sombra es la tercera acción interna no maliciosa más común. Mientras tanto, si bien el malware impulsado por IA puede no ser la preocupación más candente, la IA y la automatización están ayudando a los actores de amenazas a mejorar y escalar sus esfuerzos, para la ingeniería social, la investigación y explotación de vulnerabilidades y otras amenazas “heredadas”. En este contexto, las PYMES con las que habló ESET están interesadas en utilizar la IA para combatir fuego con fuego, anticipar amenazas antes de que ocurran, identificar y mitigar ataques más rápido y detectar ingeniería social.
El desafío es que estas herramientas no existen o las PYMES a menudo no pueden beneficiarse de ellas.
Antes y después
Las PYMES que adoptan capacitación en concientización sobre ciberseguridad están en camino de desarrollar una postura más sólida de preparación cibernética. ¿Pero lo están haciendo de forma proactiva? ESET encuentra que la adopción de capacitación es mayor entre las empresas que han experimentado múltiples incidentes (81% versus 53%). Estas organizaciones también muestran una mayor confianza en su resiliencia, tal vez porque han adoptado reactivamente medidas de seguridad de mejores prácticas.
En un mundo ideal, las PYMES pasarían de una mentalidad de “más vale tarde que nunca” a una en la que comprendan los beneficios de la preparación cibernética antes de que un incidente les enseñe algunas lecciones duras.
La confianza es alta
La buena noticia es que cuatro de cada cinco encuestados consideran que su presupuesto de seguridad es suficiente o más que suficiente, mientras que la mitad de ellos espera que aumente el próximo año. Esto indica una planificación y asignación inteligente de recursos, incluida la subcontratación cuando tenga sentido desde el punto de vista financiero y operativo. También apunta a la confianza en el gasto actual, pero no significa que cada PYME haya ajustado el presupuesto a los riesgos que probablemente pondrán a prueba el negocio primero.
Entonces, ¿debería ser tan alta la confianza en la postura de resiliencia cibernética, especialmente si las organizaciones todavía se ven afectadas varias veces? La confianza ha aumentado del 48% en 2022 al 87% este año. La verdad es que no existe un estado final para la preparación o la resiliencia cibernética. En lugar de celebrar lo que han logrado hasta ahora, las PYMES deberían seguir centrándose en:
- Tecnología y procesos que priorizan la prevención, incluida capacitación, parches periódicos y una sólida gestión de identidades.
- Evaluaciones de riesgos realistas y periódicas que les ayuden a priorizar las inversiones en seguridad.
- Respuesta a incidentes que ayuda a las organizaciones a recuperarse más rápido y reducir el impacto empresarial de los ataques.
- Capacidades de subcontratación cuando corresponda, como detección y respuesta administradas (MDR)
- Gobernanza mejorada para ayudar a reducir la TI y la IA en la sombra
El viaje apenas ha comenzado
A pesar de un presupuesto astuto, una cuarta parte de las PYMES dicen que más fondos les ayudarían a mejorar su postura de ciberseguridad más rápidamente. La complejidad y la integración siguen siendo desafíos persistentes para quienes tienen menos recursos. Los encuestados dicen que quieren servicios y soluciones confiables, con muchas funciones y fáciles de usar.
Obtener estas herramientas no debería ser tan difícil como lo es para muchas PYMES. Si se toma en serio mejorar la preparación cibernética de las pequeñas empresas, la comunidad de proveedores debería dar un paso al frente. Sin embargo, tampoco existe una solución milagrosa. Las PYMES han demostrado que están en el camino correcto para mejorar la resiliencia. Pero este es un viaje que continuará a medida que la tecnología y las amenazas evolucionen. La vigilancia y la adaptabilidad continuas serán clave para el éxito a largo plazo.
Acerca del autor
