Más del 56% de los ataques dirigidos contra sistemas de seguridad ya estarían siendo impulsados por inteligencia artificial, según el IBM Cost of Data Breach Report 2026, citado por Vigilantium.
Con los deepfakes, malware y automatización se comprime el ciclo de ataque, lo que ha elevado a US$ 4.99 millones el costo medio global de una vulneración de datos este año, en datos de IBM recogidos por César Ramírez, gerente general de Vigilantium.
En un reciente estudio, Vigilantium identifica que de 801 sitios web de 679 empresas peruanas exportadoras que facturan entre US$ 20 millones y US$ 355 millones anuales, 350 tienen riesgo medio, alto o crítico en ciberseguridad. Entre estos peligros encontramos sanciones y multas; detenimiento de los sistemas; fuga de información; ransomware y robo de credenciales.
Ramírez precisa que la mayoría de los hallazgos de vulnerabilidades no responden a ataques sofisticados, sino a errores de configuración y desarrollo que pueden identificarse y corregirse antes de convertirse en incidente.
Incremento del costo
En diálogo con Gestión, Ramírez complementa que el costo de un incidente en ciberseguridad para una empresa mediana puede haber pasado de un rango de entre US$250,000 y US$1 millón a alcanzar los US$4 millones en promedio.
“Con la expansión de la IA, avanza mucho más rápido, escala mucho más rápido y puede afectar más”, dijo durante el foro Ciberseguridad e IA aplicada a los negocios, realizado en la Asociación de Exportadores (ADEX).
De acuerdo con especialistas reunidos por ADEX, la ciberseguridad debe ser tratada como un componente estratégico del negocio y no solo como un gasto tecnológico. Foto: referencial / difusión
Al respecto, Luis Miranda, presidente del Subcomité de Servicios Básicos en Conocimiento de ADEX, aclara que este escenario de protagonismo de la IA obliga a las compañías a considerar la ciberseguridad como un componente estratégico del negocio y no solamente como un gasto tecnológico, dado que un ataque de alto impacto pone en peligro la continuidad de las operaciones y genera pérdidas suficientes para poner en riesgo a un negocio.
“Una vulnerabilidad digital también puede afectar la confianza del cliente y de los socios”, puntualiza Miranda, quien cita datos de McKinsey para recordar que solo el 1% de las empresas considera que implementaron la IA de manera madura.
El riesgo que las empresas no están viendo
El reporte de Vigilantium revela que 1 de cada 5 organizaciones estudiadas tiene una brecha asociada a Shadow IA —denominada así a las herramientas y apps que emplean los trabajadores sin el visto bueno del área de tecnología de la empresa (TI)—.
Ramírez comenta que el problema de la Shadow IA puede producirse cuando un colaborador utiliza una herramienta de IA para mejorar su productividad, pero termina introduciendo información interna de la compañía a un espacio ajeno.
Entre la información que podría terminar en estas plataformas se encuentran documentos, estrategias, fórmulas, datos comerciales u otra información sensible que el trabajador utiliza como insumo para obtener respuestas de la herramienta.
Apenas el 37% de las empresas del sector exportador tiene políticas para gestionar IA o detectarla, por lo que el costo medio de brecha en estas organizaciones por el alto uso de Shadow IA es de US$ 670,000 frente a las que tienen uso bajo o inexistente.
¿Qué implica tener múltiples riesgos?
Vigilantium muestra que 170 empresas exportadoras tienen 2 o más riesgos de negocio, lo que eleva las posibilidades de padecer ciberataques y de ver su sistema comprometido; así como de recibir multas regulatorias o perder su reputación y continuidad operativa.
Aseguran que las empresas con múltiples riesgos requieren atención prioritaria y planes de acción integrales. Las áreas críticas que requieren más atención prioritaria en este rubro son:
- Gestión de vulnerabilidades. Procesos para identificar, evaluar y remediarlas.
- Pruebas de penetración. Evaluación proactiva de seguridad con pruebas controladas.
- Concientización y formación. Cultura de seguridad y capacitación continua del talento.
Los sectores exportadores analizados fueron logística, inmuebles y construcción, manufactura, servicios financieros y educación. Cada uno de estos está lejos del promedio de nivel de madurez de su propio mercado, lo que demuestra brechas significativas que representan oportunidades de mejora para minimizar el riesgo cibernético.
Ramírez reconoce a Gestión que no existe un monto único para la inversión en ciberseguridad, aunque en microempresas recomienda soluciones de protección para sus equipos y dispositivos como antivirus de paga, y no modelos gratuitos.
En tanto, para pequeñas y medianas, la inversión debería incorporar también capacitación de los trabajadores, programas de sensibilización, gestión de accesos y evaluaciones para determinar qué tan expuesta está la organización.
“Los servicios de seguridad pueden encontrarse en rangos desde US$200 o US$500 mensuales hasta unos US$1,200 mensuales, dependiendo de las características y necesidades de la empresa”, comenta.
La protección de datos y la ciberseguridad ya no son asuntos exclusivos del área de tecnología de una organización, dado que se pone en compromiso la productividad y reputación de una organización. Foto: iStock
Errores que se cometen: el riesgo ya no es solo de TI
Abel Revoredo, socio fundador de Revoredo Abogados, indica que las empresas peruanas arrastran brechas en la gestión de datos personales y en la identificación de sus riesgos digitales, como la falta de procesos, controles, responsabilidades y evidencia de que las medidas adoptadas funcionan realmente.
Agrega que “la protección de datos personales y la ciberseguridad dejaron de ser asuntos exclusivos del área de tecnología”, e involucra a espacios como recursos humanos, auditoría, gestión de riesgos y alta dirección, por lo que considera uno de los principales errores abordar la protección de datos como un asunto exclusivamente del área de TI.
- LEA TAMBIÉN: Invertir en ciberseguridad ya es lo más rentable en Perú, ¿su fondo o deposito gana o pierde?
Otro problema identificado es la recolección excesiva de información, como pedir datos que no son necesarios para un tratamiento a realizar; sumado a ello, el uso de modelos de consentimiento que no son suficientemente específicos para cada tipo de relación, ya sea con trabajadores, visitantes, clientes o proveedores.
Revoredo advierte también que las empresas, al tratar con proveedores, deben adecuar sus contratos para fijar estándares de ciberseguridad que deben cumplir dichos terceros y definir las responsabilidades correspondientes ante eventuales fallas.
Finalmente, recuerda que las empresas víctimas de un ciberataque no quedan exentas de responsabilidad, ya que las normas de protección de datos y de confianza digital exigen aplicar medidas para proteger tanto la información personal como la información de la propia compañía.
Periodista con más de 5 años de experiencia en la cobertura de coyuntura económica e informes especiales en prensa escrita y digital.
