El error humano sigue siendo el mayor riesgo de ciberseguridad según Kaseya

El Kaseya 2026 Cybersecurity Report revela que el 68 % de los profesionales de TI y seguridad considera al error humano su principal motivo de preocupación en materia de amenazas, mientras que presiones presupuestarias y falta de personal calificado dejan a muchas organizaciones menos preparadas de lo que creen.

¿Qué mide el informe de Kaseya?

Kaseya, proveedor de software de gestión de TI y ciberseguridad basado en inteligencia artificial, publicó su estudio Informe sobre ciberseguridad: Cómo crear un sistema de seguridad capaz de hacer frente a los errores humanos, descrito como el análisis más exhaustivo hasta la fecha sobre cómo se aplica realmente la seguridad en la práctica. El trabajo se basa en las respuestas de 1.132 proveedores de servicios gestionados de TI (MSP) y profesionales de TI de más de 60 países, y concluye con una guía de ciberresiliencia con orientación práctica para programas de seguridad aplicables al mundo real. El documento completo está disponible en el sitio oficial de Kaseya.

¿Por qué el error humano encabeza las amenazas?

El error humano, incluida la ingeniería social y la distracción, se sitúa como el principal vector de amenaza para el 68 % de los encuestados de cara a los próximos 12 meses, seguido del correo electrónico con un 55 %. Entre las organizaciones que sufrieron un incidente en los últimos tres años, cuatro de los cinco principales factores que contribuyeron a él estaban relacionados con las personas: malas prácticas de los usuarios o su inocencia (41 %) y falta de formación en ciberseguridad de los usuarios finales (40 %).

Este hallazgo dialoga con el panorama regional que PCFormat ya había documentado: la falta de cultura de ciberseguridad y la ingeniería social contra los colaboradores siguen siendo el punto débil de las empresas mexicanas, incluso cuando el presupuesto en seguridad informática crece. Resulta revelador que, a pesar de los avances tecnológicos, las personas continúen siendo la vulnerabilidad más difícil de abordar.

David Baggett, SVP and GM de Security Suite en Kaseya, lo formuló con una idea que cambia el enfoque de raíz: «Las personas no son perfectas, y todo el mundo lo sabe. Sin embargo, gran parte de la ciberseguridad sigue dependiendo de que las personas tomen la decisión correcta en todo momento». Su conclusión apunta a diseñar organizaciones capaces de soportar errores, no de eliminarlos.

¿Está la confianza en las auditorías justificada?

Casi el 65 % de los encuestados afirma que podría superar hoy mismo una auditoría de cumplimiento sin prepararse, una cifra que el informe califica de potencialmente optimista. Al preguntar qué podría plantear problemas durante una auditoría, el 49 % señaló la documentación o políticas incompletas, seguido de controles de seguridad que no se aplican plenamente (34 %) y la falta de concienciación o formación de los empleados (33 %).

La inversión en seguridad no acompaña al riesgo

Solo el 20 % de los departamentos de TI afirma que su presupuesto de ciberseguridad crece al mismo ritmo que el riesgo real. Al mismo tiempo, el 77 % de los encuestados se considera con recursos insuficientes de alguna manera: presupuestos estables mientras las amenazas crecen (23 %), presupuestos que aumentan demasiado lentamente (30 %) o recursos insuficientes reconocidos como tales (24 %). Los MSP observan la misma tendencia entre sus clientes: el 65 % afirma que invierten menos de lo necesario en relación con el riesgo que enfrentan.

Es un desbalance consistente con la evolución del mercado: PCFormat ya había registrado que el mercado de ciberseguridad en México crece aceleradamente mientras los ataques al país se intensifican, lo que confirma que el gasto aún no alcanza a la curva de amenazas.

Qué hacen distinto los MSP de alto rendimiento

La evaluación de resiliencia de Kaseya, definida según el cumplimiento de objetivos de ingresos y crecimiento durante los dos últimos trimestres, muestra que los proveedores de alto rendimiento convirtieron el cumplimiento normativo, los seguros cibernéticos y la adopción de IA en ventajas competitivas. Los de bajo rendimiento, a menudo limitados por presupuesto o tamaño, restan prioridad a esas mismas áreas. Los datos concretos:

• Respuesta ante incidentes: casi el 30 % de los MSP de alto rendimiento comprueba trimestralmente los planes de respuesta de sus clientes, frente al 18 % de bajo rendimiento. Solo el 11 % de alto rendimiento no dispone de un plan, frente al 25 % de bajo rendimiento.
• Cumplimiento como diferenciador: una cuarta parte de los de alto rendimiento genera entre el 11 % y el 25 % de sus ingresos con servicios de cumplimiento, frente al 15 % de los de bajo rendimiento.
• Profundidad de la pila tecnológica: con EDR, MFA y BCDR casi universales, los de alto rendimiento destacan en SIEM (48 % frente a 31 %), NDR (52 % frente a 27 %) y seguridad en la nube/CNAPP (32 % frente a 13 %).

¿Cómo integrar la ciberresiliencia en la operación diaria?

El informe cierra con una guía práctica de cinco puntos: preparar los errores que los equipos ya prevén, defender la inversión antes de que un incidente la haga imprescindible, eliminar las barreras para que actuar de forma segura sea lo más sencillo, utilizar la inteligencia artificial para reforzar a los equipos sobrecargados y tratar el cumplimiento como una labor continua y no como una carrera de última hora anual.

La premisa de usar la IA como soporte de equipos limitados encaja con las predicciones que PCFormat recogió sobre el papel creciente de la inteligencia artificial en la ofensiva y la defensa, desde el uso de IA en ataques cibernéticos hasta herramientas de deepfakes y robo de identidad que elevan la exigencia sobre el factor humano.