¡Qué tal!, aquí te dejo el artículo de:
Noviembre, 2026

Hacia el cierre del 2026

En lo que va del año 2026, la seguridad de la información ha seguido enfrentando un panorama “muy retador”, tanto para las organizaciones como para los profesionales en la materia. Hagamos memoria de algunos datos impactantes:

• En México, dos de cada tres empresas PyMEs han experimentado algún tipo de ataque digital, siendo que las PyMEs representan entre el 95% y 99% del total de empresas en el país.
• A nivel mundial, el FMI (Fondo Monetario Internacional) estimó que la ciberdelincuencia costaría al mundo 23 billones de dólares para el año 2027, incrementándose esta cifra en un 175% del período que va del 2022 al 2027.

En México, se ha documentado que las empresas PyMEs han enfrentado casos como son: 1) intentos de robo de datos, 2) ransomware o secuestro de información y 3) accesos no autorizados, lo que les ha causado paros operativos, pérdidas económicas y daños en la reputación e imagen, debido a que los incidentes de seguridad generalmente han superado su capacidad de respuesta. Lo anterior, deja al descubierto la necesidad de establecer estrategias formales de seguridad de la información, ciberseguridad, protección de la privacidad y monitoreo continuo de seguridad, principalmente. Ahora bien, si nos movemos a la arena de América Latina, los ataques digitales no solo se diversifican sino que vienen creciendo año con año, tanto en costo como en frecuencia, destacando nuevamente el ransomware, así como los fraudes en línea y el robo de datos.

Amenazas y riesgos de hoy

Aunque ya es bien sabido que las amenazas y los riesgos de hoy en día, evolucionan y se hacen más sofisticados con la ayuda de la IA, la necesidad de ofrecer seguridad a la medida y necesidades de cada organización, también. Las organizaciones y los profesionales de la seguridad, adecuan y mejoran continuamente sus campañas, procedimientos y técnicas, para hacer frente a las amenazas evolutivas de entre las cuales destacan las siguientes:

1. Robo de identidad a través del uso indebido y no autorizado de la información personal, misma que es obtenida mediante filtraciones.
2. Phishing y fraudes en línea a través del robo de las credenciales y los datos financieros de las personas.
3. Ransomware o secuestro de información a cambio de un pago (ej. criptomoneda) para su liberación.
4. Ataques a la cadena de suministro a través de la vulneración de los proveedores.
5. Nula o escasa concientización, capacitación y/o formación en materia de seguridad de la información.

Existen diferentes tipos de recursos y opciones aplicables a la seguridad de la información de una organización, tal es el caso de la serie de normas ISO 27000 o las normas NIST, así como los diferentes tipos de proveedores de servicios especializados y disponibles en el mercado. Sin embargo, la falta de visión y prioridad del tema, el escaso talento humano, la ausencia de programas, planes o sistemas de seguridad de la información y particularmente en las empresas PyMEs, en México, ha obstaculizado el avance hasta la fecha. Por este motivo, considero importante recordarle a las organizaciones, la necesidad de seguir algunas recomendaciones básicas:

• La capacitación y concientización del personal, especialmente en la detección de phishing y en las “buenas prácticas digitales”.
• El uso de autenticación de múltiples factores (ej. 2FA ó 3FA).
• La implementación del cifrado de datos sensibles (ej. confidencialidad y privacidad).
• La habilitación de capacidades de monitoreo continuo de seguridad (ej. lógico y físico).
• La inversión en la realización de copias de seguridad para mitigar el riesgo de ransomware.
• La implementación de planes de respuesta a incidentes (ej. playbooks).

El papel de la norma ISO 27001

Todas las organizaciones requieren y manejan algún tipo y cantidad de información para la realización o cumplimiento de sus operaciones y obligaciones diarias, y no solo eso, sino que además también integran por lo general, “información personal”. Si a esta situación, le agregamos la tendencia creciente que tienen las organizaciones públicas y privadas, en cuanto a los tipos y la cantidad de información que vienen manipulando, el reto es mucho más complicado de enfrentar. Nuevamente, es este el contexto que nos obliga a ofrecer y garantizar un nivel de protección adecuado, contra las amenazas que podrían comprometer la seguridad de la información, tornándose ahora en una exigencia del mercado y de la sociedad.

La norma internacional ISO/IEC 27001:2022, es la contribución hecha por la Organización Internacional de Normalización (ISO), para establecer los requisitos necesarios para planear y operar un Sistema de Gestión de Seguridad de la Información o SGSI, de acuerdo con las características contextuales de cada organización. La norma 27001, considera dentro de sus requisitos, algunos que están enfocados en las actividades de gestión de riesgos de seguridad de la información, de acuerdo con las necesidades específicas de protección de cada organización. Además, los requisitos establecidos en la norma son generales, facilitando así que puedan ser aplicables y cumplidos por cualquier organización, sin importar su tipo (ej. privada o pública), su tamaño (ej. pequeña o grande) o su naturaleza (ej. automotriz, financiera, educación, tecnológica, aeroespacial, servicios, etc.).

Al implementar y certificar un SGSI, no solo se asegura la confidencialidad, integridad y disponibilidad de la información, mediante la aplicación de un proceso de gestión de riesgos y diversos controles de seguridad de la información, sino que además, se proporciona la “confianza” a las diversas partes interesadas de que los riesgos a la información, se gestionan adecuadamente.

Controles de seguridad de la información

La operación de un SGSI con base en la norma ISO/IEC 27001:20222, implica para la organización propietaria de este, que deberá operar y mantener un proceso para el tratamiento de los riesgos de seguridad de la información (sección 6.1.2 y 6.1.3), considerando entre otros puntos, los siguientes: 

1. Los resultados del proceso de Valoración de riesgos de seguridad de la información (ej. matriz de riesgos).
2. Las opciones de tratamiento (ej. aceptar, mitigar, evitar, rechazar, etc.).
3. Los controles de SI necesarios para implementar las opciones de tratamiento.
4. El Plan de tratamiento para implementar las opciones y los controles de SI seleccionados.

Los dos últimos puntos se podrán cubrir mediante el uso de los controles de SI (organizacionales, de personas, físicos y tecnológicos) contenidos en el anexo “A” de la norma, así como mediante el uso complementario de cualquier otra fuente de información especializada (ej. NIST-CSF, CIS Controls, ISO 27032 o ISO 27701).

De vuelta en las amenazas evolutivas mencionadas con anterioridad, imaginemos por un momento el escenario siguiente: “en las últimas cuatro semanas, se ha venido reportando un incremento considerable de los incidentes de seguridad de una tienda departamental, relacionados con los fraudes en línea, dejando hasta ahora 137 clientes afectados, los cuales argumentan haber compartido su información financiera a empleados de la tienda, para efectos de facilitar un futuro descuento o promoción para su siguiente compra en línea”, ¿qué se debería hacer para prevenir esta situación en el futuro? La respuesta puede tener muchas posibilidades, pudiendo ir desde la definición, aplicación y supervisión de una serie de controles de seguridad (ej. concientización, monitoreo, manejo de incidentes, lecciones aprendidas, etc.), hasta la elaboración y seguimiento de mejores contratos y acuerdos con los proveedores o terceros involucrados en las transacciones en línea.

No obstante lo anterior y de acuerdo con los controles de SI de la ISO 27001 - anexo “A”, se ha establecido el control de personas: 6.3 Concientización, educación y capacitación en seguridad de la información, en donde se dice que: “todos los empleados de la organización y las partes relevantes interesadas deben recibir concientización, educación y capacitación apropiada y actualizaciones regulares de políticas y procedimientos organizacionales, políticas de temas especiales y procedimientos, cuando sea relevante para sus funciones de trabajo”.

Lo anterior nos indica que ya se han definido una serie de controles de SI, con el fin de proteger la información mediante la implementación de medidas o acciones, aplicables a los diversos riesgos de SI, de acuerdo con los resultados de una gestión de riesgos de SI y sin necesidad de estar adivinando o improvisando. ¿O tú que opinas?

Reflexión final

La seguridad de la información hacia el cierre del año 2026, estará marcada por un crecimiento acelerado de los ataques y también de los costos globales. En nuestro país, México, será particularmente vulnerable el sector PyME, presentando una tendencia en cada dos de tres de estas organizaciones, por experimentar diversos tipos de incidentes de seguridad mientras que a nivel mundial, los ataques a las telecomunicaciones y los servicios públicos seguirán creciendo.

También hacia el cierre del año 2026, los sectores más atacados tanto en México como a nivel global serán: 1) gobierno, 2) educación, 3) telecomunicaciones, 4) PyMEs, 5) finanzas y 6) salud, ocupando los primeros lugares en cuanto a las principales amenazas, el ransomware y el robo de datos. Los principales motivos y razones de tales tendencias, seguirán siendo:

• La gran cantidad de datos personales que manejan en el sector de gobierno y educación.
• La posibilidad de afectar a millones de usuarios simultáneamente en el sector de las telecomunicaciones.
• La falta de sistemas, programas o planes formales de seguridad o ciberseguridad en el caso del sector más vulnerable en México, que son las PyMEs.
• El robo de datos con consecuencias económicas y sociales graves en el sector de las finanzas y salud.

Si a ti te interesa saber más sobre el tema o cómo podemos apoyarte a desarrollar el Sistema de Gestión de Seguridad de la Información de tu organización, ¡escríbenos, será un gusto charlar contigo y explorar oportunidades de colaboración!

Referencias y/o consultas

1. International Standard ISO/IEC 27001:2022. Information security, cybersecurity and privacy protection - Information security management systems - Requirements. Third Edition (2022-10).

2. International Standard ISO/IEC 27002:2022. Information security, cybersecurity and privacy protection –

Information security controls. Third Edition (2022-02).

3. Portal de SentinelOne: https://www.sentinelone.com/es/cybersecurity-101/cybersecurity/cyber-security-statistics/

4. Portal de Tantius: https://tantius.com.mx/estadisticas-de-ciberseguridad/

5. Blog de PreyProject: https://preyproject.com/es/blog/estadisticas-seguridad-informatica

6. Portal de ISO Standards: https://www.iso.org