La brecha invisible de la ciberseguridad: el factor humano sigue siendo el mayor riesgo empresarial
Las organizaciones de América Latina destinan cada año mayores recursos a fortalecer su infraestructura tecnológica. Sin embargo, los incidentes de ciberseguridad continúan ocurriendo con una frecuencia preocupante. Esta aparente contradicción demuestra que la inversión en tecnología, por sí sola, ya no es suficiente para proteger a las empresas frente a las amenazas actuales.
Durante su participación en el ISEC Infosecurity Tour 2026, realizado en Lima, María Angélica Arnedo, directora comercial de Kymatio para Colombia, Perú, Ecuador y América, explicó que el mayor desafío ya no está únicamente en los sistemas, sino en las personas que interactúan con ellos. Según la ejecutiva, las organizaciones han concentrado gran parte de sus inversiones en infraestructura, dejando de lado el componente que hoy representa el principal vector de riesgo: el comportamiento humano.
«El presupuesto de tecnología está destinado en gran parte a infraestructura, pero los incidentes de seguridad no disminuyen. Ahí es donde empezamos a identificar ese eslabón de la cadena que seguimos sin controlar y, en muchos casos, ni siquiera estamos midiendo», afirmó Arnedo.
La reflexión plantea una pregunta que pocas organizaciones pueden responder con certeza: ¿qué colaborador podría convertirse en el origen del próximo incidente de seguridad? Para la especialista, la mayoría de las empresas aún no cuenta con mecanismos que permitan identificar ese riesgo antes de que ocurra.
Los atacantes ya no buscan vulnerar sistemas; buscan influir en las personas
La evolución del cibercrimen ha cambiado profundamente la forma en que operan los atacantes. Si antes el objetivo era encontrar fallas técnicas en la infraestructura, hoy el interés se centra en aprovechar los sesgos cognitivos, las emociones y los hábitos de los colaboradores.
«Los ciberdelincuentes no atacan sistemas; atacan decisiones», resume Arnedo.
Desde esta perspectiva, factores cotidianos como la presión por responder rápidamente, la obediencia a una figura de autoridad, la curiosidad o la rutina pueden llevar a un empleado a realizar una acción que comprometa la seguridad de toda la organización.
De acuerdo con datos de IBM, alrededor del 60 % de las brechas de seguridad involucran el factor humano y el costo promedio de un incidente supera los 4,4 millones de dólares, sin contar el impacto reputacional que puede extenderse durante años.
Uno de los planteamientos más relevantes cuestiona la efectividad de los programas tradicionales de concienciación, basados en campañas genéricas de phishing o capacitaciones periódicas.
Para Arnedo, estos ejercicios suelen construirse desde la perspectiva del área técnica y no desde la realidad conductual de quienes reciben los ataques.
«El ingeniero diseña una plantilla con lo que cree que puede funcionar y lanza una campaña para todos por igual. El problema es que cada persona toma decisiones de manera diferente y responde a estímulos distintos», explicó.
La propuesta presentada por Kymatio parte de una premisa diferente: antes de entrenar a las personas, es necesario comprender cómo toman decisiones.
A través del análisis del comportamiento, la organización puede identificar perfiles de riesgo y desarrollar simulaciones personalizadas —conocidas como neurophishing— que permiten evaluar la respuesta real de grupos específicos frente a ataques diseñados según sus características cognitivas y conductuales. De esta forma, la capacitación deja de ser uniforme para convertirse en una estrategia de prevención mucho más precisa y efectiva.
Otro de los aspectos abordados durante la conferencia fue la relación entre la salud mental y la seguridad digital.
El agotamiento laboral, el estrés, la desmotivación o el síndrome de burnout no solo afectan la productividad, sino que también incrementan significativamente la probabilidad de que un colaborador cometa errores que puedan derivar en un incidente de seguridad.
«Un empleado cansado, preocupado o desmotivado puede convertirse, sin intención, en una vulnerabilidad para la organización. Y ese riesgo todavía no lo estamos midiendo», señaló Arnedo.
Desde esta perspectiva, la gestión del talento humano deja de ser una responsabilidad exclusiva de Recursos Humanos para convertirse en un componente estratégico de la ciberseguridad corporativa.
El panorama actual demuestra que la transformación digital exige una evolución igualmente profunda en las estrategias de protección. Las organizaciones ya no pueden limitarse a fortalecer firewalls, redes o plataformas tecnológicas; también deben comprender el comportamiento de quienes utilizan esos sistemas cada día.
La combinación de inteligencia artificial, análisis conductual y evaluación continua del factor humano permite anticipar riesgos, personalizar las medidas de protección y reducir significativamente la probabilidad de incidentes.
En un escenario donde los ataques explotan cada vez más las decisiones humanas antes que las vulnerabilidades técnicas, la verdadera ventaja competitiva no estará únicamente en la infraestructura tecnológica, sino en la capacidad de las empresas para entender, gestionar y proteger a las personas que forman parte de ella.
Seguiremos brindándote más información sobre este tema en las siguientes presentaciones físicas y digitales de Channel News Perú
Mantente conectado a nuestra plataforma de negocios y revista, haciendo clic aquí y suscribiéndote a nuestro newsletter para contenido de valor diario
