El vector de ataque que ninguna tecnología puede bloquear | Por Fabián Descalzo
Cada dos años, la humanidad duplica la cantidad de datos que genera. Según IDC, la esfera global de datos superará los 175 zettabytes para 2025 — un volumen que hace apenas una década era literalmente inconcebible. A ese crecimiento se suman la IA generativa, el IoT industrial, la computación en la nube híbrida, los entornos multicloud y la expansión del trabajo distribuido. Más tecnología. Más datos. Más conexiones. Y, en consecuencia, una superficie de ataque que crece a la misma velocidad exponencial.
El problema es que la sofisticación tecnológica no arrastra consigo la madurez humana. Y ahí está la brecha.
La tecnología crece. El usuario, no necesariamente.
Cuando una organización
incorpora una nueva plataforma, implementa un sistema de gestión en la nube o
habilita el acceso remoto para sus equipos, automáticamente amplía su perímetro
digital. Cada nuevo dispositivo conectado, cada integración de API, cada cuenta
de usuario habilitada es un punto de entrada potencial. Los equipos de
seguridad invierten en herramientas de detección, en arquitecturas zero-trust,
en cifrado de extremo a extremo. Es necesario. Pero insuficiente.
El informe Cost of a Data
Breach 2023 de IBM establece que el costo promedio global de una brecha de
seguridad asciende a 4,45 millones de dólares. Y el Data Breach
Investigations Report 2024 de Verizon confirma que el 68% de esas
brechas involucra un elemento humano: phishing, credenciales comprometidas,
errores de configuración, ingeniería social. No son vulnerabilidades de código.
Son vulnerabilidades de comportamiento.
La tecnología falla por diseño
o por bug. Las personas fallan por desconocimiento, por rutina, por exceso
de confianza o por fatiga. Y ese tipo de falla es mucho más difícil de
parchear con una actualización de software.
Una brecha en tres dimensiones
El desconocimiento del usuario
no es monolítico. Se manifiesta en al menos tres dimensiones críticas que,
combinadas, amplifican el riesgo de manera exponencial:
Ciberseguridad operativa. La
mayoría de los colaboradores no tiene claridad sobre qué constituye un
comportamiento de riesgo en su trabajo diario: usar redes Wi-Fi públicas para
acceder a sistemas corporativos, reutilizar contraseñas entre plataformas
personales y profesionales, o hacer clic en un enlace sin verificar el
remitente. Conductas cotidianas, invisibles para ellos, con consecuencias
potencialmente devastadoras para la organización.
Privacidad de datos. Con
el GDPR europeo, el Convenio 108+ y la Ley 25.326 en Argentina como marcos de
referencia, las organizaciones tienen obligaciones concretas respecto a cómo
sus empleados recolectan, almacenan, comparten y eliminan datos personales. Sin
embargo, el empleado promedio no sabe qué es un dato sensible, no reconoce
cuándo está incumpliendo una política de privacidad y no entiende las
implicancias legales de un tratamiento indebido.
Gobernanza de datos. La
gestión responsable de la información — saber qué datos existen, dónde residen,
quién accede a ellos y con qué propósito — es un proceso organizacional que
requiere cultura, no solo herramientas. Cuando los colaboradores no entienden
los principios básicos de gobernanza, los controles técnicos se vuelven
ornamentales.
La paradoja de la inversión tecnológica
Lo que observamos en
organizaciones de toda escala en Argentina y Latinoamérica, es que existe una
paradoja estructural: las empresas invierten de manera creciente en
infraestructura de seguridad mientras mantienen presupuestos mínimos — o nulos
— en la formación continua de sus equipos.
Es como reforzar las paredes de un edificio con acero blindado y dejar la puerta de entrada sin cerradura.
El World Economic Forum lo
plantea con claridad en su Global Cybersecurity Outlook 2024: el factor
humano sigue siendo el riesgo más subestimado en las estrategias de seguridad
corporativa. No por falta de evidencia, sino por una concepción errónea de que
la seguridad es un problema técnico antes que cultural.
La transformación digital genuina no es solo adoptar tecnología. Es elevar la capacidad humana al mismo ritmo que se elevan los sistemas. Cuando esa ecuación se rompe, el vector de ataque más peligroso no está en la dark web: está adentro de la organización, operando con buenas intenciones y sin el conocimiento necesario.
¿Tu organización está cerrando esa brecha?
En BDO desarrollamos CIBERKNOW, un programa de concientización y capacitación continua en ciberseguridad, privacidad y seguridad de la información diseñado para organizaciones que entienden que la cultura es el control más robusto que existe. Porque no alcanza con tener las mejores herramientas si las personas que las operan no saben cómo protegerlas.
