Cuando el stack de seguridad crece más que la estrategia
Las empresas operan de media 83 soluciones de seguridad de 29 proveedores. Más de la mitad de los responsables afirma, a la vez, que esa misma fragmentación frena su defensa.
Lo más importante en resumen
- Más herramientas, poca conexión: según IBM y Palo Alto Networks, el 52 por ciento de los directivos encuestados considera que la fragmentación de su stack de seguridad limita su defensa.
- Tres niveles sostienen el efecto: la estrategia define la necesidad de protección y el riesgo, la arquitectura planifica las líneas de defensa y el diseño determina cada medida concreta.
- La IA forma parte de la misma estrategia: cuando un agente de IA reúne datos privados, contenidos ajenos y una conexión con el exterior, la decisión se toma antes del despliegue.
Relacionado: Cinco partidas que necesitan presupuesto antes que el SIEM · Qué controles no deben desaparecer al reducir herramientas
Tras un incidente de seguridad, en muchas empresas se repite un patrón conocido. Se evalúa, se adquiere y se implanta un producto y la brecha concreta se da por cerrada. La nueva herramienta llega a un entorno que ya se compone de decenas de decisiones aisladas como esa.
El resultado final es un mosaico inconexo. Muchas herramientas trabajan cada una por su lado. Apenas ninguna está conectada con las demás y el efecto conjunto sigue por determinar.
Cada incidente alarga la lista de la compra
Suiza ilustra hasta qué punto ha aumentado la presión. Desde abril de 2025, los operadores de infraestructuras críticas deben notificar los ciberataques a la Oficina Federal de Ciberseguridad (BACS, por sus siglas en alemán). Hasta febrero de 2026, la BACS contabilizó más de 260 notificaciones de este tipo.
También en Alemania crece la superficie de ataque. Según el informe de situación de 2025 de la BSI (Oficina Federal de Seguridad de la Información), el número de vulnerabilidades descubiertas cada día aumentó un 24 % en un solo año. Para casi cada nueva técnica de ataque, el mercado ofrece un producto a medida.
El resultado se puede cuantificar. Un estudio del IBM Institute for Business Value, elaborado con Palo Alto Networks, calcula a comienzos de 2025 una media de 83 soluciones de seguridad de 29 proveedores por empresa. Palo Alto Networks vende plataformas por su cuenta, de modo que la conclusión procede de una parte interesada.
Soluciones de seguridad por empresa de media, IBM IBV y Palo Alto Networks 2025
Empresas suizas que suprimieron medidas por falta de presupuesto, Sophos 2025 (n=50)
Aumento de las nuevas vulnerabilidades diarias en Alemania, informe de situación de la BSI 2025
El dinero para más herramientas es limitado. En la misma encuesta de Sophos de la primavera de 2025, el 10,5 % de los directivos encuestados en Alemania afirmó haber cancelado medidas de seguridad previstas por falta de presupuesto. Así, cada compra sin un cometido claro desplaza a otra medida que sale del mismo fondo.
Lo que la estrategia define antes de elegir la primera herramienta
El cuello de botella rara vez es la tecnología. Lo que falta es una estrategia que establezca qué merece protección, qué nivel de protección se aplica y en qué orden se implantan las medidas con los recursos disponibles.
Definición · Estrategia de seguridad
¿Qué es una estrategia de seguridad? Una estrategia de seguridad determina qué sistemas y datos requieren el mayor nivel de protección, qué riesgos asume una empresa de forma deliberada y en qué orden cierra sus brechas. Contrasta ese orden con el presupuesto y la plantilla y aporta el criterio de referencia para cada decisión posterior de arquitectura y de producto.
Este contraste determina el efecto real. La mayor ganancia en seguridad la ofrece la medida adecuada en el momento oportuno, aunque resulte más modesta que el proyecto más ambicioso disponible.
Quien se salta este paso y pasa directamente a la arquitectura y la implantación pierde el criterio de referencia. Las auditorías de seguridad arrojan entonces hallazgos sin contexto estratégico. Se aplican medidas aisladas mientras otros riesgos quedan sin atender.
Tres niveles, cada uno con su propia pregunta clave
La eficacia surge cuando tres niveles se separan con claridad y después se alinean entre sí. Cada nivel responde a una pregunta propia y transmite sus requisitos al siguiente.
1. Estrategia: ¿qué hay que proteger?
En este nivel se toman las decisiones de principio. ¿Qué procesos no pueden interrumpirse? ¿Qué datos no deben salir nunca de la empresa? ¿Qué riesgo residual asume la organización de forma deliberada? El resultado es un documento con las necesidades de protección y sus prioridades, consensuado con la dirección de la empresa.
2. Arquitectura: ¿cómo se planifican las líneas de defensa?
La arquitectura traduce esas necesidades de protección en una estructura. Define zonas, identidades y límites de confianza y determina dónde intervienen la detección y la respuesta. Aquí se comprueba si una herramienta prevista cierra una brecha o si duplica una función ya existente.
3. Diseño: ¿qué medida se aplica y dónde?
Solo en este nivel entran en juego los productos, las configuraciones y los procesos operativos. Cada decisión de diseño puede contrastarse con los dos niveles superiores: responde a una necesidad de protección documentada y encaja en la estructura prevista.
En muchas empresas el orden es el inverso. Primero se decide el producto y, después, la arquitectura y la estrategia se explican a posteriori en torno a él. La tabla siguiente muestra qué falta cuando se salta un nivel.
| Nivel | Pregunta clave | Resultado | Consecuencia si falta |
|---|---|---|---|
| Estrategia | ¿Qué hay que proteger y qué riesgo se asume? | Necesidades de protección, apetito de riesgo, prioridades | Auditorías sin criterio de referencia, presupuesto asignado por sensación de urgencia |
| Arquitectura | ¿Cómo se estructuran las líneas de defensa y los sistemas? | Zonas, modelo de identidad, puntos de detección | Funciones duplicadas, brechas entre las herramientas |
| Diseño | ¿Qué medida se aplica, dónde y cómo? | Productos, configuraciones, procesos operativos | Herramientas sin operación, alarmas sin responsable |
NIS2 hace verificable el orden de las prioridades
En Alemania, la pregunta por la estrategia es también, desde el 6 de diciembre de 2025, una cuestión jurídica. Ese día entró en vigor la ley alemana de transposición de la NIS2 (NIS2-Umsetzungsgesetz), junto con la nueva ley de la Oficina Federal de Seguridad de la Información (BSI, por sus siglas en alemán).
El artículo 30 de la ley BSI (BSIG) exige a las entidades afectadas medidas de gestión de riesgos adecuadas, proporcionadas y eficaces. La proporcionalidad solo puede justificarse frente a una necesidad de protección documentada. Una lista de productos adquiridos, por sí sola, apenas la acredita.
El artículo 38 de la BSIG responsabiliza a la dirección. Debe aplicar las medidas, supervisar su ejecución y asistir con regularidad a formaciones. Si incumple estas obligaciones, responde frente a la entidad.
Para las empresas suizas con filiales en Alemania, esto se aplica de forma directa siempre que estas entren en el ámbito de la ley. En la propia Suiza, la obligación de notificación para infraestructuras críticas genera un impulso similar: quien debe notificar necesita tener claros cuáles son sus sistemas críticos.
La IA abre nuevas vías de datos a través de la arquitectura
La inteligencia artificial aumenta la presión por contar con esa claridad. Con cada asistente, cada función de análisis y cada flujo automatizado surgen vías de datos que no figuran en ningún diagrama de red anterior.
Una parte de esas vías aparece sin planificación. Según una encuesta de Bitkom, la asociación federal alemana del sector digital, realizada en el verano de 2025, el uso privado de herramientas de IA para el trabajo está muy extendido en el 8 por ciento de las empresas alemanas y en otro 17 por ciento se da en casos puntuales.
La situación se vuelve especialmente delicada con los agentes de IA. El desarrollador Simon Willison describe como «lethal trifecta» el caso en que un agente accede a datos privados, procesa contenidos de fuentes no fiables y puede comunicarse con el exterior. Si concurren las tres características, una página web o un correo electrónico manipulados pueden lograr que el agente deje salir datos.
Por eso, la seguridad de la IA (AI Security) debe formar parte de la misma estrategia que cualquier otro sistema crítico. Antes del despliegue ha de estar definido qué datos fluyen y hacia dónde, quién tiene acceso y quién responde si algo falla. La gobernanza, la transparencia y las responsabilidades claras rigen para los sistemas de IA igual que para el resto de la infraestructura crítica.
Cinco preguntas de control antes de la próxima compra
De los tres niveles se deriva un filtro sencillo para cada nueva adquisición. Cabe en una página y puede integrarse en el proceso de compras.
Antes de autorizar una herramienta de seguridad
- ✓¿Qué necesidad de protección documentada cubre la herramienta?
- ✓¿En qué línea de defensa encaja y qué función ya existente duplica?
- ✓¿Quién la opera en el día a día, analiza sus alertas y actúa en consecuencia?
- ✓¿Qué datos procesa y utiliza funciones de IA con conexión al exterior?
- ✓¿Qué medida pasa a un segundo plano si el presupuesto se destina a esta compra?
Una herramienta que responde a estas preguntas refuerza la defensa existente. Si dos o más respuestas quedan abiertas, la decisión debe volver al nivel estratégico.
Para los CISO (responsables de seguridad de la información), esto cambia la conversación con la dirección y el departamento de compras. Gira en torno a la necesidad de protección y al orden de prioridades; el producto llega al final. Así, cada inversión resulta justificable ante auditores y organismos de supervisión.
Para profundizar
Más información sobre cómo construir una estrategia de seguridad a partir de la estrategia, la arquitectura y el diseño: Estrategia de seguridad (Axians)
Preguntas frecuentes
Cada pregunta está bloqueada. Un toque desbloquea la respuesta.
¿Equivale la consolidación de herramientas a una estrategia de seguridad?
La consolidación reduce el número de herramientas y de contratos. Que después queden las funciones adecuadas lo determina, en última instancia, la necesidad de protección documentada. Sin ella, el desmantelamiento corre el riesgo de eliminar controles que los auditores echarán en falta más adelante.
¿Quién es responsable de la estrategia de seguridad en la empresa?
Suele elaborarla el CISO (responsable de seguridad de la información) junto con las áreas funcionales. Las decisiones de riesgo, en cambio, corresponden a la dirección. En las entidades sujetas a NIS2, además, es la dirección quien asume la responsabilidad legal por ellas.
¿Necesitan las aplicaciones de IA una estrategia de seguridad propia?
Necesitan reglas propias dentro de la estrategia vigente: herramientas autorizadas, clases de datos permitidas, registro de actividad (logging) y responsables por cada caso de uso. En el caso de los agentes se suma otra cuestión: qué combinación de acceso a datos y comunicación con el exterior resulta admisible.
¿De qué sirven las auditorías de seguridad sin una estrategia?
Las auditorías y los tests de intrusión (pentests) revelan vulnerabilidades concretas. Sin embargo, qué corregir primero solo puede decidirse una vez definido el nivel de protección necesario. Con una estrategia, el informe de auditoría se convierte en una lista de medidas priorizadas.
Selección editorial
RecomendadoAI sombra: 40% ya se evitan por permisos inútilesRecomendadoITDR junto a SIEM y EDR: Arquitectura de Detección 2026RecomendadoCISO a tiempo parcial: Qué puede externalizarse y qué debe permanecer interno
Más de la red MBF Media
Digital ChiefsLa responsabilidad organizacional según NIS2 entra en vigor a pesar del registro MyBusinessFutureFabricantes notifican a ENISA incidentes CRA antes que al CSIRT cloudmagazinEU AI Act: aplazar no exime de obligaciones
Fuente de la imagen: generado por IA (octubre 2026) · Foto de Martin Buck: Axians / kit de prensa
Traducido del original en alemán con inteligencia artificial. La versión alemana es la de referencia.
