Aumentan las inversiones en ciberseguridad, pero persiste la brecha de madurez

Las empresas del mercado medio de toda América Latina están aumentando su inversión en ciberseguridad, reforzando sus capacidades de seguridad y prestando mayor atención a la gobernanza de la inteligencia artificial. 
La «Encuesta de ciberseguridad en América Latina 2026» de RSM ofrece a los responsables de seguridad y de la toma de decisiones información sobre dónde siguen existiendo brechas entre el presupuesto destinado a ciberseguridad y el nivel de madurez en este ámbito.   
Los datos se basan en las respuestas de 265 expertos y líderes que trabajan activamente en cuestiones de ciberseguridad. Los resultados muestran un mercado que está pasando de la concienciación a la acción, a medida que la rendición de cuentas, la seguridad en la nube y la IA reconfiguran la agenda. Al mismo tiempo, salvar la brecha entre la inversión y la madurez cibernética sigue siendo un reto clave para las empresas del mercado medio en América Latina.

 
“La encuesta confirma que Latinoamérica está invirtiendo fuertemente en ciberseguridad. El verdadero reto ya no es cuánto invertir, sino cómo traducir esa inversión en capacidades de gobernanza y gestión de riesgos. En un panorama caracterizado por la rápida adopción de la tecnología en la nube y la inteligencia artificial, las organizaciones que logren alinear el liderazgo, la estrategia y la ejecución serán las que consigan convertir la seguridad en una ventaja competitiva.”

Luis Gorgona
IT Consulting Partner, Costa Rica

La agenda cibernética está madurando, pero la gobernanza sigue siendo un reto. La ciberseguridad se está convirtiendo en un componente cada vez más consolidado y recurrente de la inversión en TI, impulsada por la creciente exposición en la nube, la inteligencia artificial y los terceros. Sin embargo, el aumento del gasto no se traduce de forma inmediata en una mayor protección.

Cuando la autoridad presupuestaria no recae en el ámbito de la seguridad, las prioridades cibernéticas pueden verse condicionadas por las necesidades operativas, la adquisición de tecnología o la presión para cumplir con la normativa, en lugar de basarse en una visión clara de los riesgos. Esto puede dar lugar a un gasto fragmentado, a la duplicación de herramientas, a una inversión insuficiente en controles críticos o a deficiencias en las capacidades que quedan sin resolver.

Para las empresas del mercado medio, el siguiente paso consiste en alinear la financiación, la rendición de cuentas y la asunción de riesgos, de modo que la inversión genere una resiliencia cuantificable.

La capacidad interna limitada hace que la estrategia cibernética recaiga a menudo en manos de los responsables de TI, de comités multifuncionales o de pequeños equipos a los que se les exige gestionar una agenda de riesgos cada vez mayor con recursos restringido. Aunque la ciberseguridad pueda reconocerse como una prioridad empresarial, la responsabilidad, la toma de decisiones y la ejecución no siempre están claramente alineadas.

Los resultados del estudio sobre la externalización refuerzan esta tendencia. La supervisión del centro de operaciones de seguridad, la gestión de vulnerabilidades y la gestión de la seguridad en la nube son las funciones que más se externalizan, lo que sugiere que las organizaciones recurren a socios externos para cubrir las carencias estructurales en materia de capacidades. Este puede ser un modelo eficaz, pero solo si se gestiona de forma activa. 

A medida que aumenta la dependencia de terceros, es fundamental establecer unas expectativas claras en cuanto al servicio y una responsabilidad interna bien definida para garantizar que la externalización refuerce la resiliencia en lugar de generar nuevas dependencias.

Las organizaciones se están preparando tanto para prevenir incidentes como para limitar las perturbaciones cuando estos se produzcan. Prioridades como la gestión de la superficie de ataque, la recuperación y el control de la nube apuntan a una comprensión más madura del riesgo cibernético como una cuestión de resiliencia operativa, y no solo como un reto de seguridad técnica.

Sin embargo, la preparación financiera constituye un elemento clave de la resiliencia. El uso limitado de los seguros cibernéticos, junto con la adopción desigual de marcos formales de gestión de riesgos, sugiere que algunas organizaciones están desarrollando su capacidad de respuesta sobre una base incompleta.

La seguridad de la identidad también ofrece una clara oportunidad de mejora. Aunque la gestión centralizada de identidades y accesos (IAM) con autenticación multifactorial (MFA) es el enfoque más habitual, muchas organizaciones siguen basándose únicamente en políticas de contraseñas o cuentan con controles formales limitados. Reforzar la IAM, la MFA y la gobernanza del acceso podría ayudar a reducir una fuente habitual de riesgo y contribuir a una ciberresiliencia más sólida.

La adopción de la nube ha alcanzado ya un nivel significativo en América Latina, lo que pone de relieve que la seguridad en la nube es un elemento clave para mejorar la madurez cibernética. Muchas organizaciones operan en entornos híbridos en fase de transición, lo que se refleja en sus soluciones de ciberseguridad, mientras que otras recurren a herramientas nativas de la nube o a las integradas por los proveedores como su primera línea de defensa.

Se trata de un punto de partida práctico, pero sin una responsabilidad clara, una gestión de la configuración, una supervisión continua y una visibilidad global de todos los entornos, la nube puede ampliar la superficie de ataque en lugar de reducirla.

La gestión de la seguridad en la nube ofrece a las organizaciones una forma de identificar errores de configuración, aplicar políticas y mantener el control a medida que se amplían las operaciones en la nube.
 

La gobernanza de la IA en el mercado medio de América Latina parece encontrarse en una fase inicial de madurez, ya que muchas organizaciones aún están pasando de la toma de conciencia a una supervisión estructurada. Esto es importante porque los riesgos relacionados con la IA están aumentando rápidamente: el Foro Económico Mundial señala que el 85 % de los encuestados en América Latina y el Caribe afirman que los riesgos vinculados a las vulnerabilidades de la IA han aumentado en el último año. 

Los principios y las directrices constituyen un primer paso fundamental, pero deben traducirse en responsabilidad, evaluación de riesgos, seguimiento y escalado. A medida que la IA se vaya integrando en las operaciones, las organizaciones deberán comprender dónde se utiliza la IA, cómo se comportan los sistemas, en qué datos se basan y quién es el responsable cuando los resultados generan riesgos. 

La siguiente etapa de madurez consiste en convertir la gobernanza de la IA de una simple declaración de principios en una disciplina operativa reproducible.

¿Qué sigue? Convertir la inversión en vencimiento

En el segmento de las pymes de América Latina, la inversión en ciberseguridad está aumentando, pero las estructuras necesarias para orientar y gestionar dicha inversión aún se encuentran en fase de desarrollo. La dependencia de la nube y la adopción de la inteligencia artificial hacen que la ciberseguridad sea cada vez más urgente, ya que la seguridad debe avanzar al mismo ritmo que la transformación digital y la innovación.
La siguiente etapa de madurez cibernética dependerá de que las organizaciones ajusten el presupuesto a la asunción de riesgos, refuercen la rendición de cuentas y desarrollen las disciplinas operativas necesarias para mantener la resiliencia. Esto incluye un liderazgo cibernético claro, una externalización mejor gestionada, un uso más coherente de los marcos de gestión de riesgos, una gestión más sólida de la postura en la nube y una gobernanza de la inteligencia artificial que pase de los principios a una supervisión activa.
Las empresas del mercado medio que logren cerrar primero la brecha entre la inversión y la madurez estarán mejor posicionadas para proteger su valor y competir en un entorno digital más complejo.

Metodología

RSM ha encuestado a 265 participantes de 18 países de América Latina para conocer cómo abordan las organizaciones la inversión en ciberseguridad, la gobernanza, la resiliencia, la seguridad en la nube y la supervisión de la inteligencia artificial. Los participantes ocupan puestos en los ámbitos de las tecnologías de la información, la ciberseguridad y la seguridad de la información, las finanzas, la gestión de riesgos, la auditoría y el cumplimiento normativo, así como en la dirección ejecutiva. La muestra incluye una combinación de profesionales técnicos, altos directivos, expertos en gobernanza y control, y participantes de diversos sectores y empresas de distintos tamaños.

Contact us

Complete this form and an RSM representative will be in touch.