Ciberseguridad en la era de la IA

En el año 2000 se lanzó desde un ordenador un virus disfrazado de carta de amor. “I Love You” decía el asunto del correo que acabó infectando a más de cincuenta millones de equipos en apenas unas horas.

Aquel gusano marcó un antes y un después en la historia de la ciberseguridad: por primera vez, el mundo comprendía que los ataques digitales podían tener un impacto global y disruptivo.

Diecisiete años después, en 2017, otro virus, denominado Wannacry, consiguió impactar a más de 200.000 sistemas a nivel global aprovechando una vulnerabilidad de Windows.

De nuevo se ponía de relieve la importancia de mantener actualizadas y protegidas todas las plataformas tecnológicas, tanto hardware como software.

El impacto de ambos incidentes se cuantificó por encima de los 10.000 millones de dólares entre impacto directo, costes de remediación y los asociados a interrupciones de negocio.

Incorporar la IA

El sector de la ciberseguridad aprendió de estos incidentes y de los muchos que les siguieron. Si aquel fue el despertar de la conciencia digital, lo que enfrentamos hoy, con ciberataques impulsados por inteligencia artificial, supone directamente una nueva dimensión.

La IA generativa está transformando múltiples industrias y la ciberseguridad no es la excepción. Sus capacidades para automatizar procesos, entender y generar lenguaje natural o adaptarse al contexto abren nuevas oportunidades de eficiencia y escalabilidad. Pero esas mismas capacidades también sirven a los atacantes, que utilizan IA para diseñar campañas de phishing más sofisticadas, desarrollar malware evasivo o incluso alterar el comportamiento de los sistemas de IA para conseguir comportamientos fraudulentos o condicionados.

En este nuevo escenario, las organizaciones deben avanzar en varias direcciones en paralelo: incorporar IA para impulsar su competitividad, sí, pero también para fortalecer su capacidad de defensa. Según el informe de Accenture El estado de la ciberresiliencia 2025, solo una de cada diez grandes organizaciones a nivel global se considera preparada para hacer frente a ciberataques potenciados por IA. En el caso de España, la cifra es aún más baja: solo un 5% de las empresas se declaran plenamente preparadas.

Esta brecha se agrava por un desequilibrio en las prioridades de inversión. Aunque el 88% de los directivos afirma emplear la IA en sus operaciones, muchas empresas están invirtiendo hasta 2,6 veces más en iniciativas de IA que en reforzar sus defensas digitales. A menudo, la seguridad se considera una capa posterior al desarrollo, cuando debería formar parte del diseño desde el inicio.

A ello se suma la falta de estrategia integral: según el estudio, el 63% de las organizaciones no cuenta aún con una estrategia coherente de ciberseguridad, ni con la base técnica necesaria para anticipar y mitigar amenazas avanzadas. Esto explica por qué, en muchos equipos directivos, la ciberseguridad se percibe aún como un “seguro” ante lo improbable. Sin embargo, los datos indican lo contrario: el 91% de las organizaciones considera probable un ciberataque grave en los próximos dos años, según el estudio realizado por Accenture junto con el Foro Económico Mundial.

Seguridad desde el diseño

Frente a este hecho, es necesario un cambio profundo de mentalidad. La ciberseguridad no puede seguir siendo un apéndice del área tecnológica. Debe convertirse en un pilar transversal de la transformación digital. Y aquí es donde surge una oportunidad estratégica: aquellas empresas que integren la seguridad como un habilitador de negocio desde el diseño no solo estarán más protegidas, sino que también serán más competitivas, más confiables y sostenibles a largo plazo.

¿Cómo pueden las organizaciones prepararse para esta nueva generación de amenazas? Resaltaría seis aspectos clave:

• Contar con una estrategia de ciberresiliencia. No se trata solo de gestionar riesgos tecnológicos, sino de asumir la ciberseguridad como una cuestión de continuidad operativa, reputación e incluso diferenciación competitiva. La ciberresiliencia debe estar integrada desde el diseño en cualquier proyecto de automatización, migración a la nube o adopción de IA. Esto requiere identificar los activos críticos, evaluar los escenarios de riesgo y definir protocolos de respuesta alineados con el negocio para garantizar las capacidades de respuesta ante un incidente y la continuidad de las operaciones.
• Reforzar los fundamentos técnicos básicos en torno a la identidad digital. Uno de los puntos más vulnerables en la era de la IA es la gestión de identidades. Ya no basta con el acceso seguro y autenticado de personas: ahora hay que gestionar también las identidades digitales de agentes de IA y sistemas autónomos. Es esencial implementar marcos robustos de identity and access management (IAM), con controles granulares y automatizados. Los agentes deben tener acceso solo a la información necesaria, y el permiso debe revocarse automáticamente una vez completada su tarea.
• Aprovechar la propia inteligencia artificial para la defensa. Igual que los atacantes la usan para sofisticar sus estrategias, las organizaciones pueden aplicarla para detectar patrones anómalos, automatizar respuestas y mejorar la trazabilidad. La IA debe ser una aliada esencial en la monitorización proactiva y en la adaptación dinámica ante nuevas amenazas.
• Desarrollar una cultura organizativa orientada a la seguridad. Una de las principales barreras no es tecnológica, sino cultural. La concienciación, la formación y la gobernanza son claves. Simulaciones de crisis, la participación de los órganos de gobierno de las empresas y la implantación de protocolos claros de actuación ayudan a construir una mentalidad compartida de responsabilidad y vigilancia continua.
• Invertir con visión de largo plazo. Si la IA es ya un elemento estratégico para la competitividad, debe serlo también la inversión en seguridad. No es suficiente con proteger el perímetro: hay que repensar la arquitectura digital completa y prepararse para ataques mucho más complejos. La inversión en resiliencia evitará pérdidas y, simultáneamente, colocará a la compañía en mejor posición para implantar la IA en sus procesos de negocio y escalar su uso con garantías.
• Adoptar una visión de ecosistema. La ciberresiliencia ya no depende solo de lo que ocurre dentro de la organización. Las cadenas de suministro, los socios tecnológicos y los entornos colaborativos forman parte de una red de riesgos interconectados. La seguridad debe ser compartida, coordinada y evaluada de forma permanente en toda la red de operaciones de la empresa.

El salto tecnológico que supone la IA no tiene vuelta atrás, pero su verdadero impacto dependerá de cómo la adoptemos

Estamos ante un punto de inflexión. El salto tecnológico que supone la IA no tiene vuelta atrás, pero su verdadero impacto dependerá de cómo la adoptemos. El futuro pertenece a las organizaciones que comprendan que la ciberseguridad, lejos de ser un coste, es una inversión en confianza, valor y diferenciación. En un mundo donde los ataques se automatizan, mutan y se camuflan, la mejor defensa no es el miedo, sino la planificación, la formación y la anticipación.