Los 22 segundos que separan a su empresa del desastre: por qué la inteligencia estratégica ya no es opcional

Su empresa tiene, en promedio, veintidós segundos entre el primer clic equivocado y el inicio del secuestro de sus datos. La pregunta no es si lo sabe. Es si le importa lo suficiente como para actuar antes de ese segundo veintitrés.

Una llamada un martes a las siete de la mañana

Hay un tipo de llamada que todo director general recuerda con precisión quirúrgica, aunque hayan pasado años. La mía llegó un martes, temprano, de un cliente del sector industrial con el que trabajábamos desde hacía tiempo en temas de organización y procesos. La voz del otro lado no pedía consejo sobre productividad ni sobre estructura de reporte. Pedía ayuda para entender por qué, durante la noche, buena parte de sus sistemas de planificación habían quedado cifrados y una nota, escrita en un inglés torpe pero eficaz, exigía un pago para liberarlos. Lo primero que preguntaron no fue «cuánto hay que pagar», sino «¿desde cuándo estaban adentro sin que lo supiéramos». Esa pregunta, más que el rescate en sí, fue la que cambió la conversación que tuvimos en las semanas siguientes, y es, en el fondo, la pregunta que debería inquietar a cualquier organización que todavía piensa la ciberseguridad como un capítulo técnico separado del negocio.

Porque ahí está el núcleo del problema que atraviesa hoy a bancos, aeropuertos, industrias, organismos públicos y compañías de software por igual: el tiempo que un atacante permanece dentro de una red sin ser detectado, lo que la industria llama tiempo de permanencia, volvió a subir después de años de mejora sostenida. El informe M-Trends 2026, elaborado por Mandiant, a partir de más de quinientas mil horas de investigaciones de respuesta ante incidentes durante 2025, documenta que la mediana global pasó de once a catorce días. Y cuando se trata de espionaje cibernético o de operativos vinculados a falsos trabajadores de tecnología que logran ser contratados por empresas occidentales bajo identidades fabricadas, esa mediana se dispara a ciento veintidós días, con casos que permanecieron ocultos durante más de un año entero. Mientras tanto, en el otro extremo del espectro, el tiempo que transcurre entre el primer acceso de un atacante y la entrega de ese acceso a un grupo especializado en ransomware se redujo de más de ocho horas, en 2022, a apenas veintidós segundos en 2025.

Esa combinación, permanencia prolongada por un lado y velocidad de ejecución extrema por el otro, no es una contradicción. Es la fotografía exacta de un ecosistema criminal que se profesionalizó y se dividió el trabajo como cualquier cadena de suministro eficiente. Unos actores se especializan en entrar y quedarse invisibles el tiempo necesario para entender el terreno. Otros esperan la señal para monetizar ese acceso en cuestión de segundos. Y en el medio, las organizaciones siguen operando con políticas de retención de registros estándar, muchas veces de apenas noventa días, que crean puntos ciegos exactamente donde más se necesita visibilidad.

El costo de tratar la ciberseguridad como un tema de sistemas

Durante años, muchas empresas delegaron la conversación sobre amenazas informáticas al área de tecnología, como si se tratara de un problema de configuración de servidores. Esa mirada, comprensible cuando los ataques eran más artesanales, hoy resulta insuficiente y hasta peligrosa. El propio informe de Mandiant señala que una parte creciente de los incidentes graves no se origina en la organización atacada, sino en su cadena de proveedores de software como servicio. Un proveedor comprometido puede convertirse, sin que nadie en la empresa cliente haga nada mal, en la puerta de entrada hacia decenas o cientos de organizaciones conectadas a él. Esto transforma la gestión de riesgo de terceros, antes un ejercicio de cumplimiento burocrático, en una disciplina de inteligencia estratégica que debe estar en la agenda del directorio y no solo en la del equipo de infraestructura.

A esto se suma un fenómeno que hasta hace poco parecía de ciencia ficción y que hoy es simplemente operativo: la inteligencia artificial está siendo utilizada por los propios atacantes para escalar sus operaciones, automatizar el reconocimiento de vulnerabilidades y personalizar el engaño a una escala que ningún equipo humano podría igualar. La asimetría es incómoda. Mientras muchos adversarios adoptan estas herramientas con entusiasmo pragmático, buena parte de las organizaciones sigue arrastrando deficiencias básicas en la configuración de su infraestructura, esas que llevan años en la lista de pendientes y que, en el fondo, todos sabíamos que tarde o temprano iban a cobrarse su precio.

Como escribió alguna vez el criptógrafo y experto en seguridad Bruce Schneier, «la seguridad es un proceso, no un producto». Esa frase, escrita hace más de dos décadas, envejeció mejor que casi cualquier solución de software que se haya vendido desde entonces, porque describe con precisión el error de fondo que seguimos cometiendo: comprar una herramienta y sentir que el problema quedó resuelto, en lugar de entender que la resiliencia se construye, se revisa y se pone a prueba de manera constante.

De la reacción a la anticipación

La buena noticia, si es que existe alguna en este panorama, es que las organizaciones que empiezan a tratar la ciberseguridad como inteligencia estratégica en lugar de como un gasto técnico obtienen beneficios que van mucho más allá de evitar un rescate. Ganan capacidad de decisión bajo presión, porque ya practicaron el escenario antes de que ocurriera de verdad. Ganan velocidad de recuperación, porque diseñaron previamente los caminos alternativos para sus procesos críticos. Y ganan algo más sutil pero igual de valioso: la confianza de sus clientes, sus reguladores y sus propios equipos, que perciben cuándo una empresa realmente sabe lo que está haciendo y cuándo está improvisando con buena voluntad.

El camino no exige convertir a cada empleado en un experto en criptografía. Exige, en cambio, tres movimientos que cualquier organización puede empezar hoy mismo. El primero es mapear con honestidad el propio tiempo de permanencia y de recuperación frente a los datos externos disponibles, para dejar de manejarse con sensaciones y empezar a manejarse con evidencia. El segundo es revisar la dependencia real de proveedores externos de tecnología, entendiendo qué pasaría si alguno de ellos fuera comprometido mañana. El tercero, quizás el más importante, es incorporar la automatización de la respuesta como un requisito operativo y no como un lujo, porque frente a una ventana de veintidós segundos, ningún equipo humano, por más entrenado que esté, puede reaccionar a tiempo sin ayuda de sistemas que actúen en su nombre.

Preguntas para evaluar dónde está parada su organización hoy

Antes de seguir leyendo cualquier otro informe sobre el tema, vale la pena que cada organización se detenga a responder, con la mayor honestidad posible, algunas preguntas incómodas. ¿Sabe cuánto tiempo tardaría en detectar que alguien no autorizado está dentro de sus sistemas en este momento? ¿Conoce, con precisión, qué proveedores de software como servicio tienen acceso a información crítica de su negocio y qué ocurriría si uno de ellos fuera vulnerado? ¿Sus políticas de retención de registros están diseñadas para investigaciones que pueden extenderse durante meses, o solo cubren los primeros noventa días? ¿Su plan de continuidad de negocio fue puesto a prueba en el último año, o descansa en un documento que nadie volvió a abrir? Y, sobre todo, ¿qué ingresos dejarían de generarse si su proveedor de identidad digital estuviera fuera de servicio durante varios días seguidos?

Un cierre sin rodeos

Ninguna organización puede eliminar el riesgo de sufrir un incidente. Eso ya quedó claro hace tiempo, y quien todavía prometa seguridad absoluta probablemente esté vendiendo algo que no puede cumplir. Lo que sí está al alcance de cualquier empresa, sin importar su tamaño o su rubro, es la posibilidad de reducir drásticamente el daño, acortar el tiempo de detección y sostener la continuidad del negocio cuando el incidente, tarde o temprano, llegue. Eso no se logra con un antivirus mejor. Se logra con una organización que piensa su seguridad como piensa su estrategia comercial: con planeamiento, con revisión constante y con la humildad de saber que los supuestos de ayer ya no alcanzan. Nosotros llevamos más de treinta años ayudando a organizaciones a mirar de frente sus puntos ciegos, en procesos, en estructura y en la forma en que se preparan para lo que todavía no ocurrió. Si esta lectura despertó alguna de esas preguntas incómodas que mencioné antes, probablemente sea el mejor momento para empezar a responderlas con datos propios en lugar de intuiciones.

Servicios de ROI Agile asociados al tema

• Plan de Continuidad de Negocios
• Planeamiento Estratégico
• Diagnóstico Organizacional
• Gestión del Cambio
• Gerenciamiento bajo Demanda