Aunque la mayoría de las organizaciones cuentan con planes de respuesta a incidentes, herramientas de seguridad y equipos técnicos, un nuevo informe apunta a una brecha preocupante: muchas empresas no logran convertir esas capacidades en una ejecución efectiva cuando ocurre algo grave. De hecho, el 73% admite que no estaría “completamente listo” si un ataque significativo llegara mañana.
Este hallazgo no contradice que la ciberseguridad sea una prioridad. Más bien señala un problema de coordinación y visibilidad: tener piezas sueltas no equivale a operar como un sistema cuando la presión aumenta y las decisiones deben tomarse con rapidez.
El 73% reconoce que no está “listo del todo”
El dato proviene del informe State of Incident Response Readiness 2026, basado en una encuesta a 600 responsables senior de seguridad de TI. El trabajo de campo se realizó entre enero y febrero de 2026 con la participación de quienes deciden, priorizan y dirigen la postura de respuesta a incidentes.
El resultado es claro: 73% de las organizaciones reconoce que no alcanzaría un nivel de preparación pleno ante un gran ciberataque. En otras palabras, existe una distancia entre “tener” elementos de respuesta y “poder” ejecutarlos con eficacia en una situación real.
La preparación ya no es solo técnica
El informe subraya que la respuesta madura a incidentes ha evolucionado más allá del contención técnica. Hoy se espera que la organización coordine múltiples frentes al mismo tiempo: gestión de crisis a nivel ejecutivo, alineación legal y regulatoria, comunicación con partes interesadas, investigación a escala empresarial, remediación y recuperación, además del monitoreo posterior al incidente.
Sin embargo, los encuestados describen que esa integración falla. Menos del 40% afirmó que componentes clave de la respuesta —como planes documentados, simulacros, threat hunting, forense digital y monitoreo 24/7— son altamente efectivos.
El matiz importante es que no se trata únicamente de disponibilidad. El punto crítico es si todo funciona en conjunto cuando el reloj corre y aparecen decisiones difíciles en minutos, no en horas.
Coordinación interna: el freno más repetido
Uno de los resultados más relevantes es que el conflicto interno afecta directamente la velocidad de respuesta. El estudio indica que 90% de las organizaciones espera dificultades para coordinar a las partes interesadas durante un incidente significativo.
Cuando legal, comunicaciones, seguridad, TI y equipos ejecutivos no están alineados antes del evento, surgen retrasos. El informe recoge que 75% de los encuestados está de acuerdo en que la demora o la incertidumbre sobre la participación de los equipos legal y de comunicaciones ralentiza la toma de decisiones durante incidentes cibernéticos.
Además, 89% de las organizaciones señaló que existe participación limitada de ejecutivos o del consejo en la preparación y toma de decisiones de respuesta.
Cómo se traduce el desorden en la práctica
En un incidente real, esta falta de coordinación puede crear un ciclo peligroso:
- Los equipos técnicos investigan y buscan contener el ataque.
- Los ejecutivos requieren actualizaciones antes de aprobar acciones importantes.
- Legal y comunicaciones entran tarde en el proceso.
- Las decisiones sobre divulgación, mensajes a clientes y escalamiento se retrasan.
- Los equipos de respuesta pierden tiempo justo cuando la contención exige rapidez.
En lugar de ejecutar un plan ensayado, parte del esfuerzo se consume en informar, aclarar autoridad y esperar aprobaciones. El impacto no es solo operativo: también puede afectar la reputación y la continuidad del negocio.
Problemas de visibilidad que aumentan el riesgo de repetición
Más allá de la coordinación, aparece un reto técnico que tiene consecuencias directas: muchas organizaciones no logran ver con suficiente precisión hacia dónde se movió un atacante. El informe señala que 78% de los encuestados cree que los “puntos ciegos” en el entorno facilitan el acceso persistente y elevan la probabilidad de incidentes repetidos.
Estos huecos pueden abarcar infraestructuras on-premises, nube pública, endpoints, plataformas SaaS, sistemas de identidad e incluso entornos de tecnología operativa.
Preguntas que quedan sin respuesta clara
Sin visibilidad confiable, resulta difícil responder con seguridad a cuestiones esenciales, por ejemplo:
- ¿Por dónde entró el atacante?
- ¿Qué sistemas fueron alcanzados?
- ¿El actor avanzó lateralmente?
- ¿Cuentas privilegiadas fueron comprometidas?
- ¿Se eliminó el malware o mecanismos de persistencia?
- ¿Podría el atacante regresar tras la recuperación?
Cuando la organización solo contiene parte del incidente, corre el riesgo de que el acceso del atacante permanezca activo incluso después del “cierre” inicial.
OT y entornos industriales: riesgo adicional para el negocio
El estudio también destaca la preocupación por ataques que crucen desde TI corporativo hacia tecnología operativa (OT) o sistemas de control industrial. De acuerdo con los resultados, 84% de las organizaciones tiene esa inquietud.
El riesgo es especialmente relevante para sectores como manufactura, energía, salud, transporte y la infraestructura crítica. La razón es que, si un atacante logra moverse hacia OT o ICS, el impacto puede exceder el robo de datos o la interrupción de operaciones administrativas: puede afectar producción, seguridad, prestación de servicios y tiempos de recuperación.
En conjunto, estos hallazgos sugieren que muchas empresas reconocen el problema, pero aún carecen de visibilidad unificada para detectar y detener movimientos entre entornos con rapidez.
Los ciberataques ya están causando daño real
La investigación deja claro que no se trata de un riesgo teórico. Más del 75% de las organizaciones reportó haber sufrido al menos un ciberataque en los últimos 12 meses, y 32% indicó que vivió más de uno.
Entre quienes sufrieron un ataque, los efectos mencionados incluyeron cierres operativos, pérdida de datos, daño reputacional, pérdida de clientes, ingresos perdidos y disrupción a nivel ejecutivo. El patrón varía por sector:
- Retail: mayor probabilidad de reportar cierres operativos y pérdida de ingresos o beneficio.
- Manufactura y servicios financieros: mayor tendencia a reportar pérdida de datos.
- Cripto y finanzas descentralizadas: reportaron la mayor incidencia de ataques.
- Salud privada: preocupación alta por demoras en legal y comunicaciones.
También se observaron diferencias regionales. América del Norte reportó la mayor incidencia, mientras que en APAC se señaló con mayor frecuencia pérdida de datos, daño reputacional y pérdida de clientes. Europa, aunque con menos incidentes totales, indicó más casos con pérdida de ingresos o beneficio.
Ransomware y ataques a la nube: prioridades que siguen creciendo
De cara al futuro, los encuestados identificaron múltiples amenazas con potencial de generar disrupción financiera, operativa o reputacional. En el ranking, el ransomware aparece como principal preocupación, seguido de cerca por ataques contra entornos en la nube.
Sin embargo, el informe sugiere que no existe una sola amenaza dominante. Las organizaciones deben prepararse para un panorama con muchos frentes: compromiso de la nube, abuso de identidad, riesgos de terceros, amenazas habilitadas por IA, ransomware y ataques que atraviesan entornos híbridos.
Esto complica la definición de “estar listo”, porque la respuesta debe cubrir rutas de ataque múltiples, no solo un escenario único.
IA en aumento, pero no reemplaza la preparación
Otra tendencia del estudio es la adopción creciente de IA y enfoques basados en aprendizaje automático para detección y respuesta. Casi un tercio de las organizaciones reporta un uso amplio de IA en la mayoría o en todas las actividades relacionadas con detección de amenazas y respuesta a incidentes. Además, se espera que para 2027 el 63% tenga IA integrada en estas tareas.
El informe también indica que cuando la IA se incorpora en flujos de trabajo maduros, puede fortalecer elementos de la respuesta. No obstante, la IA no resuelve por sí sola temas de gobernanza, visibilidad ni ejecución disciplinada. Incluso con automatización, siguen siendo necesarios derechos de decisión claros y coordinación entre áreas.
En resumen, la IA puede acelerar triaje, threat hunting e investigación, pero no sustituye el “cómo” se toman decisiones ni el “qué tan completo” es el entendimiento del entorno durante el incidente.
Revisión de modelos de soporte y proveedores externos
El informe también señala que muchas organizaciones están reexaminando sus relaciones con proveedores externos de respuesta y con servicios gestionados de detección y respuesta. Parte de la motivación es mejorar la preparación de forma más proactiva y ampliar cobertura entre TI, OT, nube y entornos híbridos.
Entre otros motivos, aparece la necesidad de mayor experiencia en incidentes complejos, visibilidad más allá de un ecosistema tecnológico único, y apoyo más rápido cuando la investigación está bajo presión.
Asimismo, existe preocupación por la dependencia de un “rincón” tecnológico. Si los equipos externos o internos están limitados a un conjunto estrecho de herramientas o plataformas, la contención e investigación pueden verse restringidas por lo que ese ecosistema puede detectar o soportar.
Cómo fortalecer la preparación: cinco acciones concretas
El estudio plantea que la preparación debe tratarse como una disciplina operativa continua, no como un documento que se guarda para cumplir. Para reducir demoras y mejorar ejecución, las organizaciones pueden enfocarse en varias prácticas.
- Definir derechos de decisión antes del incidente. Los equipos de seguridad, líderes ejecutivos, legales, comunicaciones y responsables de cumplimiento deben conocer roles, umbrales de aprobación y responsabilidades de comunicación. Estos caminos deben documentarse y ensayarse.
- Probar coordinación transversal. Los simulacros tipo tabletop deberían incluir tanto participantes técnicos como no técnicos. Así se detectan cuellos de botella reales: dónde se frena la decisión, quién tiene autoridad y qué dependencias del negocio no están reflejadas.
- Validar visibilidad en entornos críticos. Conviene evaluar si se puede investigar actividad en endpoints, identidades, plataformas en nube, SaaS, infraestructura on-premises y OT cuando aplique. La visibilidad se debe poner a prueba con ejercicios como threat hunting, simulaciones de ataque, red team o purple team.
- Usar IA para apoyar, no para reemplazar. La automatización puede acelerar triaje, enriquecimiento de alertas e investigación. Aun así, debe integrarse en flujos con supervisión humana, criterios de escalamiento y procedimientos probados.
- Evaluar capacidad interna y externa. Determinar qué funciones de respuesta se cubren internamente y en qué casos se necesita experiencia externa. Si se contrata un proveedor, conviene revisar experiencia en incidentes, rapidez, profundidad técnica, capacidad de operar en múltiples entornos y prácticas de comunicación, además de cómo impulsa mejoras tras el incidente.
La lección central es operativa: la preparación depende de la ejecución. Planes, herramientas y proveedores solo reducen el riesgo si están conectados mediante procesos probados, autoridad clara y visibilidad confiable.
Conclusión
El panorama que muestra el informe es contundente: la mayoría de las organizaciones sufre ciberataques, pero muchas no confían en que su respuesta aguante la presión de un gran ciberataque. El reto ya no es únicamente construir un plan, sino lograr que ese plan funcione entre equipos técnicos y no técnicos, autoridades ejecutivas, área legal, comunicaciones y operación del negocio.
Mientras los atacantes se mueven más rápido entre nube, TI, identidad, SaaS y OT, la preparación debe convertirse en una práctica continua. Quienes esperan a descubrir brechas durante un incidente en vivo pueden terminar pagando el costo no solo en sistemas afectados, sino también en ingresos, reputación y confianza.
Fuente: https://thehackernews.com/2026/07/73-of-organizations-say-they-are-not.html
