La ciberseguridad es una de las pocas áreas de negocio donde el éxito suele estancarse. Desde fuera puede incluso parecer tranquilo. Pero por dentro, refleja una secuencia de procesos y controles aparentemente discretos que hacen aquello para lo que fueron diseñados: evitar que los incidentes técnicos se conviertan en crisis empresariales. Para utilizar una analogía del taller: nadie piensa en los cinturones de seguridad en el coche cuando el viaje al trabajo transcurre sin problemas. Pero cuando los necesitan, la factura cambia.

Puede parecer un punto de partida extraño, pero esta dinámica está en el centro de un problema de ciberseguridad de larga data: cuando funciona, hay muy pocos cambios en la superficie. Todos en la organización pueden hacer su trabajo y su día es como cualquier otro. Pero ¿y si falla? Todo el mundo lo nota, aunque sólo sea porque la diferencia es notable y los costes aumentan rápidamente.

Aunque la necesidad de prevenir interrupciones es innegable, no siempre es fácil justificar los costos asociados en comparación con las prioridades comerciales en competencia. Otras áreas de la empresa, especialmente los centros de beneficios, normalmente pueden indicar cambios visibles: mejores ventas o menor tiempo de comercialización. La seguridad rara vez se da este lujo. En cambio, se le pide que se justifique basándose en situaciones que nunca deberían ocurrir. Esta distinción en realidad tiene peso en la disputa presupuestaria.

Para que no crea que tales preocupaciones son exageradas, considere lo siguiente: Estudio de IANS y Artico encontré esto “Crecimiento promedio anual del presupuesto de seguridad [in 2025] cayó al 4%, el nivel más bajo en cinco años y una fuerte caída del 8% en 2024”. Significativamente, el estudio también encontró esto «Hubo más CISO que enfrentaron presupuestos planos o reducidos que aquellos que experimentaron un crecimiento presupuestario, lo que destaca el desafío cada vez mayor de garantizar recursos adecuados de ciberseguridad».

¿Las matemáticas no son matemáticas?

Cuando pregunta: «¿Cómo se demuestra el valor de la seguridad cuando nada salió mal?», está tratando de justificar el gasto señalando desastres que no ocurrieron. Esta representación lo lleva a una postura defensiva, sin mencionar que ignora la mayoría de las tareas diarias de seguridad y, en última instancia, oscurece su verdadero valor.

También puede conducir a una especie de “sesgo de supervivencia”: los ejecutivos de una empresa que opera con un presupuesto de seguridad ajustado saben por experiencia que su gasto hasta ahora ha sido razonable. Sin embargo, unos años en los que su empresa no corrió peligro dicen poco del año siguiente. Además, la seguridad suele tener que ver con lo que los estadísticos llaman “riesgo de cola gruesa”: el tipo de riesgo en el que todo está bien hasta que, de repente, deja de estarlo, hasta el punto de que se causa daño. puede ser existencial. A medida que muchas amenazas evolucionan y los requisitos regulatorios se vuelven más estrictos, las oportunidades no mejoran con el tiempo; en todo caso, están empeorando.

Como dice el refrán: “No hay respuestas correctas para las preguntas incorrectas”, así que quizá empiece de nuevo decidiendo cómo entender el valor. Medir lo que no sucedió también significa que sólo se puede hablar de ahorros limitados, no del crecimiento y las oportunidades que permiten las operaciones seguras. La capacidad de continuar operando de manera segura en un entorno incierto donde los competidores no pueden es una ventaja competitiva que rara vez se mide o analiza.

Una pregunta que vale la pena es: “¿Qué nos permite hacer la seguridad que no podríamos hacer de otra manera?” Esto no debe entenderse en un sentido abstracto, sino de una manera muy literal y operativa. De esta manera, en lugar de demostrar una contingencia negativa, puedes demostrar una realidad positiva. Lo que la seguridad finalmente permite o cambia es en realidad la realidad cotidiana y las perspectivas futuras de la empresa.

La teoría se encuentra con la realidad.

La realidad de la seguridad suele ser dura, especialmente cuando los recursos son constantemente escasos y las organizaciones más pequeñas son el objetivo desproporcionadamente. Debido a que no es fácil conseguir experiencia en seguridad, mantener una cobertura interna las 24 horas del día, los 7 días de la semana a menudo está fuera de su alcance. Por ejemplo, el monitoreo de seguridad puede significar efectivamente que se recopilen registros y se establezcan alertas, pero la atención y los recursos limitados resultan en un seguimiento retrasado o nulo.

Estas limitaciones pueden tener consecuencias muy prácticas. Cuanto más tiempo permanezca un atacante sin ser detectado dentro de la red de una empresa, más lejos y más profundo podrá llegar, robar las joyas de la corona, localizar copias de seguridad o descubrir qué causa el mayor daño.

IBM Costo de una violación de datos en 2025 El informe no solo detalla el costo promedio de una infracción ($4,44 millones), sino que también muestra cuánto pueden ahorrar esa cantidad medidas de seguridad específicas. Si bien existen marcos dedicados para el retorno de la inversión en seguridad y la cuantificación del riesgo cibernético, descomprimirlos es un desafío. conversación separada. La atención se centra aquí en algo que es más difícil de medir.

Este es también el contexto en el que un servicio como Detección y respuesta gestionadas (MDR) empieza a tener sentido. Los tipos pueden variar un poco, pero el servicio es fundamentalmente activo: combina detección, respuesta, investigación e inteligencia de amenazas y remediación sobre la marcha, brindando incluso a las organizaciones más pequeñas el tipo de cobertura previamente reservada para las grandes empresas. Esto significa, entre otras cosas, que alguien está siempre alerta y puede decidir si una señal anómala es inofensiva o indica una actividad maliciosa.

Aunque este cambio puede ser sutil, puede tener un impacto importante. Incluso los incidentes sutiles, como los intentos de robo de credenciales, se cortan de raíz antes de que puedan convertirse, por ejemplo, en un ataque de ransomware. Tampoco está de más que este tipo de seguros esté adquiriendo cada vez más importancia Las ciberaseguradoras esperan de organizaciones.

El resultado final

Los argumentos estrechos de miras para evitar costos no logran comprender qué hace el servicio o la seguridad en general. El gasto en seguridad puede no resultar en un momento de recompensa claramente visible y satisfactorio. Los valores intangibles, sin embargo, no poderoso – y se intensifican. La seguridad cumple con los objetivos y requisitos estratégicos centrales de cada organización porque contribuye a las operaciones ininterrumpidas, la confianza del cliente y el cumplimiento normativo. Desde esta perspectiva, la seguridad es el resultado más necesario, no (sólo) el producto o servicio.

Para aquellos que no juegan a corto plazo, las inversiones en seguridad se amortizan muchas veces. La seguridad permite a las empresas crecer porque lo que compra es capacidad: operar a escala, ingresar a nuevos mercados y mejorar los resultados. Compras espacio para moverte. Para las organizaciones con visión de futuro, esto debería ser lo más atractivo posible.

Entonces, si todos en su empresa pueden realizar sus tareas diarias, vale la pena preguntarse por qué. Podría ser que la seguridad funcione y se gane la vida.