Principales conclusiones
El 68 %
de las organizaciones informan de carencias de habilidades relacionadas con los riesgos de la IA.
67%
informan sobre las carencias de habilidades en identidad avanzada y amenazas de phishing.
67%
afirman que los equipos de seguridad están bajo presión y tienen dificultades para escalar.
32 %
solo puede proteger el negocio de forma reactiva en lugar de proactiva.
El 69 %
combina IA/automatización y experiencia humana en la respuesta ante incidentes: las personas conservan la responsabilidad del contexto, el criterio y las decisiones finales.
56 %
reducción de la plantilla de seguridad debido a la IA.
Resumen ejecutivo
Los equipos de ciberseguridad se enfrentan a un creciente desafío de capacidad, ya que la IA, los ataques basados en identidad y la expansión de las operaciones digitales aumentan tanto la complejidad como la escala del riesgo cibernético.
La encuesta internacional de Barracuda Research revela que las organizaciones tienen dificultades para desarrollar las habilidades, la visibilidad y la gobernanza necesarias para mantener el ritmo de este rápido cambio.
Los resultados sugieren que el futuro de la ciberseguridad no se define únicamente por el número de empleados. Las organizaciones están priorizando la visibilidad, la IA de confianza y la resiliencia operativa por encima de la contratación de personal adicional, lo que indica un cambio hacia una profesión de ciberseguridad basada en la experiencia humana, el conocimiento del negocio y la supervisión responsable de tecnologías cada vez más autónomas.
Para quién es este informe
Este informe está dirigido a profesionales de la seguridad y sus empleadores, así como a proveedores de servicios gestionados (MSP) y otros, con el fin de ayudarles a comprender los desafíos en materia de habilidades y capacidades a los que se enfrentan los equipos de seguridad en la era de la IA.
Metodología
Barracuda encuestó a 2.000 responsables de la toma de decisiones de nivel medio y alto en TI y seguridad de organizaciones con entre 100 y 2000 empleados de una amplia gama de sectores en EE. UU., Reino Unido, Francia, la región DACH (Alemania, Austria, Suiza), Benelux (Bélgica, los Países Bajos, Luxemburgo), los países nórdicos (Dinamarca, Finlandia, Noruega, Suecia), Australia, India y Japón. La encuesta fue realizada para Barracuda por la agencia de investigación independiente Arlington Research.
- Los vientos del cambio
- La falta de competencias refleja la naturaleza cambiante de los ataques
- La capacidad de seguridad no avanza al mismo ritmo que la demanda empresarial
- Las presiones profesionales afectan a todo el ciclo de vida de los incidentes
- Las organizaciones quieren mejores operaciones y habilidades mejoradas, no simplemente más personal
- El modelo emergente para la respuesta ante incidentes está respaldado por IA y liderado por personas
- La IA está transformando las funciones de seguridad y la plantilla de personal
Los vientos del cambio
La profesión de ciberseguridad se dirige hacia una tormenta perfecta. Las amenazas son cada vez más selectivas, se centran en la identidad y están habilitadas por la IA, mientras que las empresas están ampliando rápidamente sus operaciones digitales y adoptando la IA. El impacto combinado está cambiando el panorama de la ciberseguridad más rápido de lo que muchos equipos de seguridad pueden desarrollar las habilidades, la visibilidad y la gobernanza necesarias.
Barracuda encuestó a líderes de TI y de seguridad de varios países del mundo sobre los problemas de competencias y capacidad a los que se han enfrentado durante los últimos 12 meses.
Los resultados sugieren que el reto profesional al que se enfrentan las organizaciones no tiene que ver únicamente con el número de empleados. Las organizaciones de todos los tamaños se enfrentan a un reto de "capacidad" más amplio que engloba la experiencia, la tecnología, el enfoque organizativo de la ciberseguridad, el liderazgo y la resiliencia. Las organizaciones necesitan equipos capaces de comprender las nuevas amenazas, tomar decisiones acertadas durante los incidentes, gestionar una tecnología cada vez más autónoma y explicar el riesgo cibernético en términos empresariales, a menudo mientras respaldan más operaciones sin recibir más recursos.
La falta de competencias refleja la naturaleza cambiante de los ataques
Casi todos los encuestados (94%) informan de carencias en las competencias de ciberseguridad, y la mayoría de ellas están relacionadas con la naturaleza cambiante de los ataques. Por ejemplo, el 68% informa de una carencia de competencias relacionada con los riesgos de la IA, incluida la capacidad de responder eficazmente a ataques de phishing o ingeniería social generados por IA y altamente dirigidos.
Al mismo tiempo, el 67 % informa de carencias relacionadas con amenazas avanzadas de identidad y phishing, como el fraude del correo electrónico empresarial, el abuso de OAuth y la evasión de la autenticación multifactor (MFA).
A medida que las herramientas de IA se utilizan de forma más generalizada en todas las funciones empresariales, están generando nuevos desafíos de seguridad y gobernanza.
El 38% afirma en general que carece de las competencias necesarias para proteger y gobernar las herramientas de IA que utiliza la empresa, pero esta cifra aumenta a casi la mitad entre los altos directivos de TI. Esto sugiere que muchas organizaciones todavía están desarrollando las competencias, la visibilidad, la gobernanza y los controles de políticas necesarios para gestionar eficazmente el uso empresarial de la IA. A medida que la IA se integra en los flujos de trabajo empresariales cotidianos, comprender cómo los sistemas de IA acceden, procesan y comparten los datos organizativos se está convirtiendo en un importante desafío de ciberseguridad y gobernanza.
Los resultados también ponen de relieve carencias de competencias que van más allá del conocimiento puramente técnico. Más de un tercio (35%) afirma carecer de la experiencia necesaria en cuanto a la rapidez de respuesta ante incidentes y la toma de decisiones bajo presión, mientras que el 32% tiene dificultades para traducir el riesgo técnico en impacto para el negocio. Esto pone de manifiesto que una ciberseguridad eficaz requiere cada vez más criterio, comunicación y comprensión del negocio, además de conocimientos técnicos.
La capacidad de seguridad no avanza al mismo ritmo que la demanda empresarial
Las brechas de competencias se están viendo amplificadas por un desajuste entre lo que las organizaciones esperan de la seguridad y los recursos disponibles para ofrecerla.
La mitad de los encuestados afirma que se espera que la seguridad respalde las operaciones digitales nuevas y en expansión sin recursos adicionales. El 40 % afirma que las expectativas empresariales superan sus habilidades y herramientas de ciberseguridad, mientras que el 35 % afirma que las expectativas superan la capacidad del personal.
Se está pidiendo a los equipos de seguridad que protejan un entorno más grande, más complejo y cada vez más habilitado por la IA sin un aumento correspondiente en personal, habilidades o tecnología. En general, el 60 % informa de carencias de capacidad y recursos, y el 67 % afirma que sus equipos de seguridad están bajo presión y les cuesta escalar.
Casi un tercio (32 %) afirma que solo puede proteger la empresa de forma reactiva y no proactiva.
Esto sugiere un ciclo perjudicial: la expansión de las operaciones digitales genera más sistemas, identidades y actividad que proteger; la visibilidad limitada y las herramientas fragmentadas dificultan aún más ese trabajo; los equipos sobrecargados se centran en los incidentes inmediatos; y el tiempo disponible para la prevención, la preparación y el desarrollo de habilidades se reduce todavía más.
Las presiones profesionales afectan a todo el ciclo de vida de los incidentes
Cuando se preguntó a las organizaciones qué actividades son más difíciles de dotar de personal o respaldar con la experiencia necesaria, los resultados se distribuyen de forma amplia entre detección, respuesta, continuidad, recuperación y gobernanza.
Esto demuestra que las organizaciones necesitan experiencia y capacidad en todo el ciclo de vida de los incidentes: antes, durante y después de un ataque.
Las organizaciones quieren mejores operaciones y habilidades mejoradas, no simplemente más personal
Cuando se les preguntó qué les ayudaría a gestionar la ciberseguridad de forma más eficaz, los encuestados sitúan la visibilidad y la IA fiable por delante de la contratación de más personal.
La necesidad señalada con mayor frecuencia es una mejor visibilidad en todos los ámbitos: identidad, correo electrónico, aplicaciones, redes, datos, servicios en la nube y endpoints, citada por el 33 %. De cerca le sigue el 32 %, que desea contar con herramientas de detección e investigación basadas en IA en las que puedan confiar.
A nivel agregado, el 69 % desea mejoras en las operaciones de seguridad, el 66 % quiere una mejor prevención y preparación ante incidentes, y el 64 % identifica necesidades relacionadas con las personas y las capacidades. Estas prioridades son complementarias: una mejor tecnología aporta el mayor valor cuando los equipos cuentan con las habilidades, el tiempo y la autoridad necesarios para utilizarla de forma eficaz.
El modelo emergente para la respuesta ante incidentes está respaldado por IA y liderado por personas
Los hallazgos ofrecen una imagen clara de cómo las organizaciones quieren actualmente que los humanos y la IA trabajen juntos.
Más de dos tercios (69 %) siguen un modelo de toma de decisiones compartida, en el que la IA ayuda a los equipos a procesar información, investigar actividad y recomendar respuestas, pero las personas mantienen la responsabilidad del contexto, el criterio y las decisiones finales.
Para el 41% de los encuestados, los sistemas automatizados o basados en IA recomiendan acciones, pero las personas toman las decisiones finales. Para otro 28%, son los responsables humanos quienes lideran las investigaciones con el apoyo de la IA o la automatización. Las proporciones son diferentes en el caso de las organizaciones más grandes encuestadas. En las organizaciones de entre 1500 y 2000 empleados, el 35% confía en sistemas automatizados respaldados por responsables de la toma de decisiones humanos, mientras que el 34% espera que los responsables humanos lideren la investigación con el apoyo de la IA.
Esto pone de manifiesto cómo la IA está transformando las competencias que necesitan los profesionales de la seguridad. En lugar de centrarse en la clasificación técnica de alertas, deben ser capaces de comprender la evidencia que respalda una recomendación generada por IA, evaluar su fiabilidad, valorar su posible impacto en el negocio y decidir si la acción a tomar es proporcionada.
La IA está transformando las funciones de seguridad y la plantilla de personal
La mayoría de las organizaciones encuestadas (79%) ya están viendo un impacto de la IA en la plantilla o los puestos de seguridad. Más de la mitad (56%) ha experimentado algún tipo de reducción de personal, con un reparto equitativo entre la pérdida de puestos de seguridad de nivel básico y puestos de nivel superior.
En otras palabras, los resultados muestran que las organizaciones están utilizando la IA para remodelar o reducir la plantilla de seguridad, al tiempo que necesitan contar con una experiencia profesional más avanzada para gobernar la IA, investigar ataques complejos, gestionar incidentes y tomar decisiones de alto impacto.
Lo que esto significa para la evolución de la profesión de la ciberseguridad
La profesión de la ciberseguridad parece estar alejándose de la especialización en tareas técnicas aisladas y avanzando hacia un papel multinivel basado en el criterio, la orquestación y la responsabilidad.
A lo largo del próximo año, es probable que la IA y la automatización asuman más tareas rutinarias de análisis, correlación y recomendación. Los roles humanos se concentrarán cada vez más en las áreas donde los resultados muestran la mayor necesidad insatisfecha:
Interpretación de ataques sutiles, basados en la identidad y sin malware
Validación de los hallazgos y recomendaciones generados por IA
Tomar decisiones rápidas bajo presión
Coordinación de la respuesta y mantenimiento de las operaciones empresariales
Gestión del uso de la IA y la automatización
Priorización del riesgo a largo plazo
Explicación de la exposición técnica en términos empresariales
Garantizar que los sistemas sigan estando sujetos a una supervisión humana significativa
Esto tiene implicaciones para el desarrollo profesional. Si las actividades de nivel inicial se automatizan o se eliminan determinados puestos, las organizaciones necesitarán formas alternativas de brindar a los profesionales más nuevos la experiencia práctica necesaria para convertirse en futuros investigadores, líderes de incidentes y responsables de la toma de decisiones en materia de seguridad. Reducir los puestos fundamentales sin crear nuevas vías de desarrollo podría agravar la escasez de habilidades avanzadas que las organizaciones ya reportan.
La definición de profesional sénior de la seguridad también se está ampliando. La profundidad técnica sigue siendo esencial, pero cada vez es más necesario combinarla con conocimientos de IA, experiencia en identidad, concienciación sobre la continuidad del negocio, habilidades de comunicación y una comprensión de la gobernanza y el riesgo organizativo.
Próximos pasos para la gestión de la ciberseguridad
Para los líderes de ciberseguridad, los hallazgos sugieren que la respuesta no es una elección binaria entre contratar personas e implementar IA. El enfoque más eficaz consiste en rediseñar la gestión de la seguridad en torno a la combinación de personas cualificadas, tecnología fiable y una responsabilidad clara.
Eso significa:
1
Abordar el reto profesional como una cartera de capacidades, y no simplemente como un recuento de vacantes.
Los líderes deben comprender en qué áreas carecen de conocimientos técnicos, capacidad de toma de decisiones, conocimiento empresarial, habilidades de gobernanza y capacidad de resiliencia.
2
Invertir en visibilidad e integración antes de añadir más complejidad.
Los equipos no pueden responder de manera eficaz si las pruebas relevantes permanecen fragmentadas entre identidad, correo electrónico, nube, aplicaciones, datos y endpoints.
3
Uso de la IA para potenciar equipos con recursos limitados, con supervisión humana explícita.
Las responsabilidades deben estar claras: qué puede recomendar la IA, qué puede realizar automáticamente, cuándo una persona debe aprobar una acción, y quién sigue siendo responsable.
4
Proteger el tiempo para la prevención, la preparación y el aprendizaje.
Un equipo que se encuentra en estado de reacción permanente no puede seguir el ritmo de la evolución de las amenazas relacionadas con la IA y la identidad, independientemente de las herramientas de que disponga.
5
Desarrollar resiliencia en todo el ciclo de vida de los incidentes.
La inversión en habilidades debe cubrir la detección y la respuesta, pero también la continuidad del negocio, la recuperación, la corrección y la mejora posterior al incidente.
6
Construyendo vínculos más sólidos entre la seguridad y la dirección empresarial.
Los ejecutivos deben comprender las consecuencias operativas del riesgo cibernético, mientras que los equipos de seguridad deben conectar las decisiones técnicas con las prioridades empresariales.
Los resultados de la encuesta muestran que la IA está cambiando la ciberseguridad más rápido de lo que muchas organizaciones pueden adaptar sus capacidades profesionales.
La IA está ayudando a los atacantes a crear amenazas más dirigidas, introduciendo nuevas exigencias de gobernanza empresarial, redefiniendo los roles de seguridad y pasando a formar parte integral de la respuesta ante incidentes. Al mismo tiempo, se espera que los equipos de seguridad respalden la creciente expansión de las operaciones digitales con recursos limitados, visibilidad fragmentada y poco tiempo disponible para la prevención.
La futura función de ciberseguridad no estará definida, por lo tanto, únicamente por el número de empleados o la tecnología. Dependerá de si las organizaciones pueden combinar la escala habilitada por IA con el criterio humano, una amplia visibilidad de la seguridad, operaciones resilientes y una responsabilidad clara.
En un mundo potenciado por la IA, los equipos de seguridad más valiosos no serán simplemente los que puedan operar más herramientas o procesar más alertas. Serán los que puedan comprender amenazas complejas, cuestionar las conclusiones automatizadas, tomar decisiones con confianza bajo presión y mantener el funcionamiento del negocio cuando se produzca una interrupción.
