Resiliencia Cibernética: Cerrando la Brecha de Percepción entre CEO y CISO

Una empresa puede superar todas las auditorías de cumplimiento, implementar todos los controles recomendados y aun así tardar seis meses en recuperarse tras un incidente cibernético grave. Ese es el hallazgo incómodo que revela la nueva investigación de Accenture sobre ciberresiliencia, una encuesta global a 1,000 ejecutivos C-suite —505 CEOs y 495 CISOs— realizada en 13 países a principios de 2026. El titular no es que las empresas estén desprevenidas. Es que los líderes creen estar de acuerdo en qué significa «estar preparados», cuando los datos demuestran que no lo están.

Accenture llama a esto un falso consenso. CEOs y CISOs asisten a las mismas reuniones de comité directivo, leen los mismos informes para la junta y asienten ante el mismo lenguaje sobre resiliencia, pero parten de supuestos incompatibles sobre qué protege realmente al negocio cuando los sistemas fallan. Esa diferencia importa hoy más que hace dos años. La mecánica de la disrupción ha cambiado: los modelos de IA de vanguardia ahora logran encontrar y explotar vulnerabilidades en el primer intento el 83% de las veces, una tasa que antes era casi nula, y los atacantes se expanden más allá del punto de entrada inicial en un promedio de solo 29 minutos.

Para una plataforma de intercambio seguro de datos como Kiteworks, diseñada específicamente para gobernar cómo se mueve el contenido confidencial a través de los límites organizacionales y de terceros, esta investigación valida algo que hemos sostenido durante años: construir seguridad solo para prevenir un ataque no es lo mismo que construir una organización capaz de seguir operando —y demostrar qué ocurrió con sus datos— mientras está bajo ataque. El resto de este artículo explica cómo se manifiesta esa brecha de percepción, por qué el modelo antiguo basado solo en la protección ya no es suficiente y qué se necesita para cerrar la distancia entre lo que los líderes creen sobre resiliencia y lo que realmente determina si una empresa sobrevive intacta a una disrupción.

Conclusiones clave

1. La disrupción es ahora la norma, no la excepción. La investigación de Accenture en 2026 revela que el 87% de las organizaciones consideran la disrupción cibernética como una realidad operativa recurrente, y el 72% ya no cree que la prevención por sí sola pueda detenerla.
2. CEOs y CISOs responden la misma encuesta con supuestos diferentes. Los CEOs tienen un 136% más de probabilidades que los CISOs de creer que el cumplimiento normativo garantiza la resiliencia, y esa diferencia de creencias —no de conocimiento— es lo que retrasa la recuperación.
3. Las expectativas de recuperación están equivocadas por meses, no por días. Los ejecutivos asumen que el tiempo de inactividad crítico será de 10 días o menos; los datos de Accenture muestran que la recuperación real de incidentes graves promedia entre tres y seis meses.
4. Las dependencias de terceros son ahora un problema de resiliencia, no solo de seguridad. El 61% de las organizaciones afirma que su capacidad para mantener operaciones depende de socios externos, pero solo el 38% puede identificar cuáles de esas dependencias son realmente críticas.
5. La resiliencia es un problema de gobernanza de datos tanto como de TI. Las organizaciones que se recuperan más rápido son las que ya saben dónde está la información confidencial, quién puede acceder a ella y cómo reconstruir operaciones confiables a su alrededor antes de que ocurra la disrupción.

La disrupción es ahora una condición operativa permanente

La encuesta de Accenture comienza con una estadística que debería cambiar la forma en que cada equipo directivo habla sobre el riesgo cibernético: el 87% de las organizaciones ahora ve la disrupción cibernética como una realidad operativa recurrente y no como un evento raro o aislado. Casi tres cuartas partes, el 72%, van más allá y afirman que prevenir toda disrupción ya no es realista dada la complejidad de sus ecosistemas tecnológicos.

Ese cambio no ocurrió porque los defensores sean menos eficaces. Sucedió porque la economía del ataque cambió. Accenture cita el informe Global Threat Report 2026 de CrowdStrike, que detecta un aumento interanual del 89% en ciberataques potenciados por IA, y un estudio de referencia de CyberGym que muestra que los modelos de IA de vanguardia ahora logran descubrir y explotar vulnerabilidades en el primer intento el 83% de las veces. El costo de encontrar una falla se ha reducido prácticamente a cero, y la ventana entre descubrimiento, explotación y uso se ha comprimido de semanas a horas. Si sumamos que los atacantes ahora logran expandirse más allá del punto de compromiso inicial en un promedio de 29 minutos, la antigua suposición —que un equipo de seguridad tiene tiempo para detectar, contener y responder antes de que el daño real se propague— ya no se cumple en la mayoría de los entornos.

Por eso las organizaciones están recurriendo a la arquitectura de confianza cero como principio de diseño fundamental y no solo como un requisito más. Cuando la expansión ocurre en minutos, «detectar y responder» debe ir acompañado de «asumir la brecha y contener por diseño»: segmentar el contenido confidencial, aplicar el principio de mínimo privilegio con controles de acceso y asegurarse de que una sola credencial o endpoint comprometido no pueda desencadenar una filtración de datos a nivel empresarial. Una plataforma SIEM que recopila telemetría en tiempo real de todos los canales de acceso a contenido es la capa de detección que convierte una ventana de expansión de 29 minutos en un evento que puede ser detectado y alertado.

La creciente complejidad del ecosistema dificulta aislar la recuperación

La investigación de Accenture también señala un segundo cambio estructural: la creciente red de servicios en la nube, herramientas de IA, plataformas y socios externos de la que dependen la mayoría de las empresas para funcionar. El 69% de las organizaciones afirma que sus operaciones dependen cada vez más de ecosistemas digitales internos y de terceros complejos, y el 61% dice que su capacidad para mantener operaciones críticas se ve directamente influida por dependencias fuera de sus propios límites.

Esa interdependencia tiene dos caras. Es eficiente cuando todo funciona, y es exactamente lo que hace que la disrupción sea difícil de contener cuando algo falla. El 81% de los líderes encuestados afirma que gestionar la disrupción cibernética ahora implica operar bajo condiciones degradadas del sistema —no una situación binaria de «activo» o «inactivo», sino un escenario caótico donde algunos sistemas funcionan, otros no, y los líderes deben decidir en tiempo real qué priorizar.

Aquí es donde la administración de riesgos de terceros y la administración de riesgos de proveedores dejan de ser simples listas de verificación de compras y se convierten en infraestructura central de resiliencia. Si un proveedor, despacho legal, contratista o proveedor SaaS accede a tu información confidencial, su falla operativa se convierte en tu propia falla operativa. Las organizaciones que mantienen un registro gobernado y auditable de exactamente qué partes externas pueden acceder a qué datos —y pueden revocar ese acceso al instante— son las que realmente pueden contener un incidente de terceros en vez de ver cómo se propaga sin control a través de su cadena de valor. Las disciplinas de gestión de riesgos en la cadena de suministro que mapean el alcance de acceso a datos de cada proveedor frente a su criticidad operativa brindan a los equipos de resiliencia el inventario priorizado que necesitan para aislar las dependencias más importantes antes de que la disrupción obligue a hacerlo.

La brecha de percepción: por qué los líderes que dicen entender la resiliencia siguen equivocándose

Aquí es donde la investigación de Accenture se vuelve incómoda. El 54% de los ejecutivos cree que controles de protección sólidos son suficientes para garantizar la continuidad del negocio tras un ataque. Esa creencia no está distribuida de manera uniforme: los CEOs tienen un 136% más de probabilidades que los CISOs de afirmar que el cumplimiento normativo por sí solo garantiza la ciberresiliencia. En otras palabras, quienes toman las decisiones finales sobre inversión en resiliencia suelen ser, en promedio, mucho más confiados que los líderes de seguridad que les reportan —y mucho menos precisos.

La brecha es aún más evidente en las expectativas de tiempo de recuperación. Accenture encontró que el 81% de los ejecutivos asume que el tiempo de inactividad crítico de TI será de 10 días o menos en un incidente grave. El tiempo promedio real de recuperación documentado por Accenture: de tres a seis meses. No es un simple margen de error; es una diferencia de orden de magnitud que afecta desde las decisiones sobre seguros cibernéticos hasta los presupuestos de continuidad del negocio y lo que se informa a la junta si ocurre una disrupción. El 64% de los encuestados dijo que diseña, gobierna y mide la tecnología bajo la suposición de que los sistemas son generalmente estables y están completamente disponibles, aunque ocho de cada diez de esos mismos encuestados esperan operaciones degradadas durante una disrupción. En efecto, los líderes están planeando para un mundo que ya saben que no existe.

Accenture enmarca esto como un desalineamiento estructural más que una simple brecha de conocimiento: los líderes asumen que están de acuerdo en las prioridades de resiliencia y actúan bajo supuestos incompatibles, incluso sobre quién es realmente responsable del problema. La encuesta encontró que la responsabilidad de la ciberresiliencia recae de manera desigual en el CISO, con propiedad fragmentada y superpuesta en el resto del C-suite. Esa fragmentación genera puntos ciegos que pueden convertir un incidente técnico contenido en una disrupción prolongada a nivel empresarial, porque nadie tiene autoridad clara para tomar las decisiones de secuenciación y compensación que la recuperación realmente requiere bajo presión. Un plan de respuesta a incidentes documentado que asigne explícitamente esos derechos de decisión —quién declara un incidente, quién lidera cada flujo de trabajo de recuperación, qué desencadena la escalada ejecutiva— es el elemento de gobernanza que convierte la responsabilidad fragmentada en acción coordinada cuando ocurre una disrupción.

Seis mitos que separan a las organizaciones de la resiliencia real

El informe de Accenture nombra seis creencias específicas que los líderes sostienen con alta confianza y que los datos demuestran que son falsas. Tres de ellas son directamente relevantes para la gobernanza y el movimiento de información confidencial, y vale la pena analizarlas de cerca.

«Cumplimos con las normativas, así que estamos protegidos.» El 87% de los encuestados cree que el cumplimiento normativo garantiza la ciberresiliencia, pero solo el 35% prueba esa resiliencia regularmente mediante ejercicios reales de recuperación y continuidad, en vez de depender de auditorías. El cumplimiento normativo demuestra que una organización sigue un conjunto definido de reglas en un momento específico. No prueba que pueda mantener el flujo de contenido confidencial hacia las personas correctas, bajo los controles adecuados, cuando los sistemas están degradados. Una certificación SOC2 Tipo II o una auditoría limpia de cumplimiento ISO 27001 es solo una instantánea, no una garantía de continuidad operativa. Una evaluación formal de riesgos que pruebe la capacidad de recuperación bajo condiciones degradadas simuladas —no solo el estado de los controles de cumplimiento— es el complemento operativo que convierte la evidencia de auditoría en una verdadera garantía de resiliencia.

«Los terceros son responsables de su propia seguridad.» El 61% de las organizaciones afirma que su capacidad para mantener operaciones críticas depende de socios externos, pero solo el 38% tiene una visión clara de su cadena de valor y sus dependencias más críticas. Los contratos pueden asignar la responsabilidad después del hecho. No pueden restaurar un resultado operativo compartido en tiempo real. Extender la resiliencia a lo largo de la cadena de valor —no solo dentro del perímetro propio— implica saber exactamente qué proveedores, contratistas y socios acceden a propiedad intelectual regulada o confidencial, y contar con la gobernanza necesaria para aislar o revocar ese acceso en cuanto algo salga mal.

«El seguro cibernético cubrirá el impacto.» El 60% de las organizaciones confía en el seguro cibernético como sustituto de la resiliencia y no como respaldo financiero, aunque el costo total de la disrupción —pérdida de ingresos, tiempo de inactividad y daño reputacional combinados— puede ser hasta 10 veces mayor que lo que cubre el seguro. El seguro puede compensar parte de la pérdida financiera. No puede recuperar la confianza del cliente, restaurar una marca dañada ni reactivar operaciones críticas. Eso solo se logra planificando y practicando la recuperación con anticipación.

Los otros tres mitos que identifica Accenture —que la protección garantiza la recuperación, que la respuesta a incidentes equivale a resiliencia y que la resiliencia es solo un problema del equipo de seguridad— refuerzan el mismo punto de fondo: pensar solo en la prevención responde a una pregunta distinta de la que determina si una empresa sobrevive a la disrupción.

La diferencia entre protección y resiliencia

Accenture traza una línea clara entre ambos conceptos, y vale la pena dejarlo explícito porque gran parte de la confusión en la encuesta proviene de que los líderes los confunden. La protección reduce la probabilidad de que ocurra una disrupción. La ciberresiliencia es la capacidad de mantener y restaurar rápidamente operaciones críticas durante una disrupción, para proteger el valor del negocio, independientemente de si la protección funcionó.

La protección sigue siendo necesaria. Detección y respuesta de endpoints, autenticación multifactor y controles sólidos de Prevención de Pérdida de Datos reducen la probabilidad de un ataque exitoso. Pero los datos de Accenture muestran que solo el 11% de los líderes está totalmente de acuerdo en que la seguridad predictiva y de control es cada vez menos eficaz en sistemas complejos, lo que significa que la gran mayoría sigue diseñando como si los controles fueran infalibles, aunque la misma encuesta muestra que la expansión ocurre en menos de 30 minutos y la explotación impulsada por IA tiene tasas de éxito sin precedentes. Diseñar para la supervivencia implica asumir que los controles eventualmente fallarán y construir la infraestructura operativa y de datos que permita al negocio seguir funcionando —y demostrar qué ocurrió— cuando eso suceda. La minimización de datos aplicada al alcance de acceso y la retención de datos —reducir el volumen de contenido confidencial al que puede acceder una sola cuenta o sistema— limita directamente el radio de impacto cuando los controles de protección fallan.

Cinco acciones prioritarias — y el rol de la gobernanza de datos

Accenture propone cinco acciones prioritarias para los líderes que buscan cerrar la brecha entre la resiliencia asumida y la real: identificar las funciones más críticas y mapear sus dependencias a lo largo de la cadena de valor; predefinir las decisiones de recuperación —secuenciación, autoridad, desencadenantes y compensaciones— antes de que ocurra la disrupción; construir un entorno de recuperación capaz de operar bajo condiciones hostiles y abastecido con los elementos necesarios para reconstruir; automatizar la reconstrucción para reducir el tiempo de recuperación de semanas a horas; y probar continuamente contra escenarios reales a medida que el negocio evoluciona.

Si observas de cerca la tercera y cuarta acción, verás que el problema es de gobernanza de datos. Un «entorno de recuperación abastecido con los elementos esenciales para reconstruir» solo funciona si la organización realmente sabe dónde está su contenido crítico, quién tiene acceso legítimo y si ese contenido y su historial de acceso son lo suficientemente confiables para reconstruir operaciones sobre ellos. Esa es precisamente la disciplina detrás de la gobernanza de datos y la clasificación de datos: saber qué datos son más importantes, etiquetarlos en consecuencia y mantener un registro de auditoría completo de cada acceso, transferencia y cambio, para que cuando la reconstrucción deba hacerse rápido, se haga sobre una base confiable y no sobre una que deba ser verificada desde cero. El control de acceso basado en atributos (ABAC) aplicado al entorno de recuperación —restringiendo qué roles pueden acceder a qué elementos de recuperación y bajo qué condiciones— evita que un actor hostil use el propio proceso de reconstrucción como un vector de ataque adicional.

Automatizar la reconstrucción —la cuarta acción de Accenture— depende de la misma base. No puedes automatizar la reconstrucción de operaciones confiables alrededor de datos que no puedes localizar, clasificar o cuya integridad no puedes demostrar. Las organizaciones que centralizan la gobernanza del contenido confidencial mediante un panel de control para el CISO con visibilidad en tiempo real de quién accede a qué, y que aplican control de acceso basado en roles de forma consistente entre usuarios internos y socios externos, parten de un camino de recuperación mucho más corto que aquellas que intentan reconstruir ese panorama después del hecho, incidente tras incidente.

Por qué el CEO y el CISO deben alinearse antes de la disrupción, no durante ella

El núcleo incómodo de la investigación de Accenture es que la desalineación es invisible hasta que se pone a prueba. CEOs y CISOs pueden reportar alta confianza en la resiliencia de su organización y aun así estar equivocados sobre los mismos puntos: cuánto tiempo toma realmente la recuperación, quién toma cada decisión y qué tan profundas son las dependencias de terceros. La solución que propone Accenture comienza con una decisión previa, aparentemente simple: ¿cuál es el conjunto mínimo de operaciones que el negocio debe proteger y recuperar primero para poder seguir funcionando durante una disrupción?

Responder esa pregunta obliga a una conversación que la mayoría de las organizaciones, según estos datos, no ha tenido realmente —no porque la hayan evitado, sino porque cada parte asume que la otra ya está de acuerdo. Lograr que CEOs y CISOs estén literalmente en la misma sala, usando los mismos datos sobre dónde está la información confidencial, quién depende de ella y cuán rápido puede restaurarse de manera realista, reemplaza el falso consenso por un plan compartido real. Ese es el trabajo de construir resiliencia antes de que un incidente obligue a tener esa conversación bajo presión. Una Red de Contenido Privado que mantiene un registro completo y actualizado de cada flujo de contenido confidencial —a través de correo electrónico, uso compartido de archivos, MFT y formularios web— da tanto al CEO como al CISO la misma visión de datos en tiempo real para construir ese plan conjunto.

El beneficio empresarial de hacerlo bien

El informe de Accenture concluye con un punto que merece atención: las organizaciones con capacidades maduras de resiliencia no solo evitan los peores escenarios, sino que logran un desempeño financiero y operativo medible. El informe cita una optimización del gasto al equilibrar la inversión entre controles de protección y de resiliencia, inversiones cibernéticas ajustadas gracias a una visión clara de lo que más importa y menores costos de cumplimiento por una propiedad más clara y menos duplicidad en los controles. La resiliencia, bien ejecutada, no es un centro de costos añadido al presupuesto de seguridad. Es una disciplina operativa que se paga sola en eficiencia incluso antes del próximo incidente.

Para las organizaciones que están replanteando cómo gobiernan el intercambio de información confidencial como parte de esa disciplina de resiliencia, Kiteworks centraliza la visibilidad, la gobernanza de acceso y el registro de auditoría en todos los canales por los que circula el contenido confidencial —correo electrónico, uso compartido de archivos, Transferencia de Archivos Gestionada y formularios web— para que el «conjunto mínimo de operaciones que deben protegerse y recuperarse primero» sea algo que la organización pueda identificar realmente, y no solo suponer.

Si quieres saber más sobre cómo gobernar el intercambio de información confidencial como parte de la estrategia de ciberresiliencia de tu organización, solicita una demo personalizada hoy mismo.

Recursos adicionales

• Artículo del Blog Arquitectura de Confianza Cero: Nunca confíes, siempre verifica
• Video Microsoft GCC High: Desventajas que impulsan a los contratistas de defensa hacia ventajas más inteligentes
• Artículo del Blog Cómo proteger datos clasificados una vez que DSPM los identifica
• Artículo del Blog Generar confianza en la IA generativa con un enfoque de confianza cero
• Video Guía definitiva para el almacenamiento seguro de datos sensibles para líderes de TI