Redacción
La compañía de ciberseguridad Proofpoint ha presentado los resultados de su estudio global Voice of the CISO 2026, elaborado a partir de las respuestas de 1.600 profesionales en 16 países. Los datos globales muestran una mejora en la percepción de la resiliencia corporativa frente a las amenazas informáticas. El porcentaje global de directivos que anticipa un ciberataque grave en los próximos doce meses ha descendido al 61%, lo que supone una caída significativa frente al 76% registrado el año anterior. De igual modo, el temor a sufrir pérdidas de información con un impacto severo ha bajado trece puntos, situándose en el 53% a nivel mundial.
A pesar de esta aparente mejoría en las defensas tradicionales corporativas, la complejidad de las amenazas ha mutado hacia los datos, las aplicaciones y, muy especialmente, los sistemas de IA integrados en las rutinas de trabajo. El riesgo asociado al comportamiento humano se consolida como la principal vulnerabilidad de ciberseguridad para el 79% de los encuestados, frente al 66% de 2025. Esta situación ha obligado a los responsables de tecnología a asumir nuevas funciones vinculadas al despliegue de herramientas automatizadas, con la previsión mayoritaria de tener que gestionar este nuevo frente de riesgo a corto plazo sin contar con un incremento de presupuesto ni de personal especializado.
Patrick Joyce, responsable global de seguridad de la información en la entidad responsable del estudio, advierte: “La IA está transformando las responsabilidades del CISO. A los responsables de seguridad se les pide que hagan dos cosas al mismo tiempo: proteger a la empresa frente a los riesgos tecnológicos y ayudarla a adoptar de forma segura y rápida tecnologías transformadoras. A medida que los asistentes de IA, los copilotos, la automatización y las herramientas públicas de IA generativa se integran en los procesos empresariales cotidianos, se confía en los CISOs para impulsar la innovación y evitar también que queden expuestos datos sensibles, accesos con privilegios y procesos críticos. Esta doble responsabilidad se está convirtiendo rápidamente en uno de los principales desafíos del puesto”.
La situación en España refleja una tendencia similar a la global, pero fuertemente marcada por una profunda preocupación ante la implantación de nuevas herramientas tecnológicas en el puesto de trabajo. La inquietud por la seguridad de la IA generativa entre los directivos españoles ha experimentado un aumento interanual de treinta y nueve puntos, alcanzando al 77% de los encuestados. La inmensa mayoría de estos profesionales sitúa la habilitación segura de estas herramientas como una de sus prioridades absolutas para los próximos dos años, asumiendo igualmente que deberán afrontar los riesgos derivados sin recursos adicionales proporcionales.
En cuanto a la percepción de amenazas directas, la expectativa de sufrir un ataque cibernético en el territorio nacional ha descendido ligeramente hasta un 58%, pero en contraste, la expectativa de pérdida de datos graves ha subido del 33 al 42%. Pese a la reducción en la expectativa de ataque, 6 de cada 10 organizaciones españolas admiten no estar preparadas para hacer frente a una ofensiva cibernética dirigida. Los focos de preocupación se centran ahora en la tecnología de uso diario, destacando especialmente los modelos generativos públicos, los agentes autónomos, las plataformas de almacenamiento en la nube, las aplicaciones de software como servicio y las herramientas de automatización.
En este contexto de transformación técnica, la incidencia humana adquiere una relevancia crítica para los expertos de España, pasando de ser una vulnerabilidad para la mitad de los profesionales en el ejercicio anterior a ser señalada por el 79% en la actualidad. Los incidentes de pérdida de datos con impacto significativo originados internamente se atribuyen, en su mayor parte, a acciones malintencionadas de la plantilla con fines delictivos, seguidas de negligencias o compromisos de credenciales. Resulta especialmente llamativo el hecho de que la totalidad de las empresas españolas que sufrieron fugas graves de información constató la implicación de antiguos empleados en el desarrollo de dichos incidentes.
La frecuencia de estas pérdidas de datos en el territorio nacional ha elevado consigo las repercusiones directas para el negocio. Las organizaciones se enfrentan ahora a un mayor volumen de sanciones regulatorias y a mayores pérdidas financieras. Además de un daño reputacional que ha duplicado su incidencia interanual, si bien los costes técnicos de recuperación posteriores al ataque han experimentado un leve descenso.
Para mitigar estas exposiciones vinculadas a las nuevas formas de trabajo, cerca del 80% de las empresas en España opta por bloquear o restringir el uso de IA generativa a sus trabajadores, fuertemente motivado por el miedo a la filtración de datos de clientes. Aunque el 90% de los responsables de tecnología confía plenamente en que sus controles de seguridad mitigan los riesgos informáticos, una amplia mayoría desconfía abiertamente de los hábitos de sus propios empleados a la hora de manejar información confidencial en plataformas de inteligencia artificial públicas.
Finalmente, el estudio revela un acercamiento sin precedentes entre los responsables de seguridad y los consejos de administración en España, alcanzando una alineación del 89%. Los órganos de gobierno evalúan ahora los riesgos informáticos desde una perspectiva puramente empresarial, priorizando el impacto en el valor de la compañía, las interrupciones operativas y el daño a la marca. Esta atención directa desde la alta dirección no resta presión al cargo, ya que tres cuartas partes de los directivos perciben expectativas excesivas sobre su figura. Como respuesta a esta presión, reclaman de forma casi unánime que los miembros de los consejos posean experiencia previa en ciberseguridad para comprender la naturaleza de un riesgo que, según los expertos, evoluciona paralelamente a los métodos de trabajo corporativo.
