La conversación sobre ciberseguridad en el Perú avanzó de manera notable en los últimos años. Hoy la mayoría de directorios acepta que un incidente digital no es un problema del área de sistemas sino un riesgo de continuidad para toda la organización. Ese reconocimiento es real y es reciente.
Lo que no avanzó al mismo ritmo es el criterio con el que se elige la protección de endpoints. Muchas empresas siguen renovando la misma licencia de antivirus año tras año, sin preguntarse si esa herramienta responde al tipo de ataque que enfrentan hoy. Y la respuesta, cada vez más, es que no.
La IA rompió el modelo sobre el que se construyó la protección de endpoints
Durante dos décadas la protección de endpoints funcionó sobre una premisa simple: la amenaza se reconoce porque alguien ya la vio antes, la catalogó y distribuyó su firma. Mientras el malware se reutilizaba de víctima en víctima, ese modelo bastaba.
La inteligencia artificial rompió esa premisa. Hoy es posible generar variantes únicas de forma automática y a gran escala, de modo que cada organización puede recibir una versión distinta del mismo ataque. No existe una firma previa porque no hubo una víctima previa.
El Foro Económico Mundial reporta que el 94% de los líderes consultados anticipa que la inteligencia artificial será el principal motor de cambio en ciberseguridad durante este año. La consecuencia práctica es que el volumen de malware nuevo crece más rápido de lo que cualquier base de firmas alcanza a incorporar.
Perú reconoció el riesgo pero no movió el presupuesto
Las cifras locales muestran con claridad dónde está la brecha. Gestión reportó que en el Perú se registraron más de 748 millones de intentos de ciberataques durante los primeros meses del último año, con los sectores financiero, energía y minería, y manufactura entre los más expuestos por la sensibilidad de la información que manejan.
Frente a esa exposición, el mismo medio informó que menos del 25% de las pequeñas y medianas empresas del país destina presupuesto a ciberseguridad. Tres de cada cuatro operan con lo que vino incluido en el equipo o con una licencia que nadie ha auditado desde que se instaló.
Esa combinación —alta exposición y baja inversión— explica por qué el impacto de los incidentes en el Perú resulta tan severo cuando finalmente ocurren.
Todo se decide en el equipo del trabajador
La mayoría de incidentes no comienza con una intrusión sofisticada al perímetro. Comienza con una persona haciendo clic. Gestión reportó que el 73% de las empresas latinoamericanas sufrió ataques de phishing durante el último año, la principal puerta de entrada para el robo de credenciales y el acceso no autorizado a sistemas corporativos.
Las modalidades varían —correos que imitan a proveedores habituales, adjuntos de ofimática que ejecutan código al abrirse, códigos QR fraudulentos que trasladan el ataque al teléfono personal, páginas falsas que capturan usuario y contraseña— pero el desenlace es siempre el mismo. Un archivo o un proceso termina ejecutándose en el equipo del trabajador, y ahí la herramienta de protección tiene que tomar una decisión.
El dilema de permitir o bloquear
La protección de endpoints tradicional opera con una lógica binaria. Ante cada archivo tiene dos respuestas posibles, y las toma comparando ese archivo contra una lista de amenazas ya identificadas. Cuando el archivo no figura en ninguna lista, la herramienta se queda sin criterio y tiene que apostar.
Si permite el archivo desconocido, asume que es legítimo y arriesga toda la red en esa suposición. Basta un acierto del atacante para comprometer la operación completa.
Si lo bloquea por precaución, detiene procesos legítimos y genera fricción constante con los usuarios. El área de sistemas termina recibiendo reclamos por trabajo interrumpido.
Si genera una alerta y espera, necesita a alguien disponible para revisarla. En la mayoría de organizaciones peruanas no existe personal dedicado a seguridad ni cobertura fuera del horario de oficina, de modo que la alerta se acumula sin resolver.
En la práctica, la configuración que termina quedando instalada es la más permisiva, porque bloquear de más interrumpe la operación. Esa decisión se toma por comodidad operativa y no por criterio de seguridad, y es precisamente la que deja la puerta abierta.
Ejecutar lo desconocido en aislamiento
Existe un enfoque que resuelve el dilema sin obligar a elegir entre seguridad y productividad. Cuando llega un archivo que no está clasificado ni como confiable ni como malicioso, no se permite ni se bloquea: se ejecuta dentro de un entorno contenido, separado del sistema real.
El usuario abre el archivo y trabaja con normalidad, sin percibir diferencia alguna. Mientras tanto, ese archivo corre sin acceso al disco, al registro del sistema ni a la red interna. Si el análisis confirma que es legítimo, se libera. Si resulta malicioso, el daño quedó encapsulado y nunca llegó a tocar nada.
Las implicancias operativas de este modelo son concretas. No hay alertas que aprobar ni procesos detenidos, de modo que la protección no depende de la disponibilidad de un analista. Ningún archivo sin clasificar llega a correr con permisos reales sobre el sistema. Y queda registro de qué se ejecutó, cuándo y con qué resultado, lo que permite auditar la exposición real en lugar de suponerla. Es el principio sobre el que trabaja la protección de endpoints que implementamos en organizaciones sin equipo interno de seguridad.
Lo que un incidente cuesta cuando la protección falla
La discusión sobre presupuesto suele omitir el número que más importa. Gestión reportó que una vulneración puede consumir hasta el 20% de los ingresos anuales de un negocio, y que el 60% de las pequeñas y medianas empresas afectadas termina cerrando dentro de los seis meses siguientes al incidente.
Ese dato reordena la comparación. El costo de la protección deja de medirse contra cero y pasa a medirse contra la probabilidad de no seguir operando. Vista así, la renovación automática de una licencia insuficiente no es una decisión de ahorro sino una apuesta con el negocio de por medio.
Tres preguntas antes de renovar la licencia actual
Antes de repetir la compra del año pasado, conviene someter a la herramienta instalada a un examen breve. Los descuidos de seguridad más frecuentes en empresas pequeñas suelen empezar exactamente aquí: en herramientas que se renuevan sin auditarse.
¿Qué hace ante un archivo desconocido? Si la única respuesta posible es permitir o bloquear, el dilema descrito arriba sigue intacto en la operación.
¿Cuánto tarda en recibir la firma de una amenaza nueva? Ese intervalo, medido en horas o días, es exactamente la ventana de exposición de la empresa.
¿Quién revisa las alertas y en qué horario? Si la respuesta es nadie, o solo en horario de oficina, la cobertura real es parcial aunque la consola muestre todo en verde.
Las respuestas suelen ser más incómodas de lo esperado, y por eso mismo constituyen el mejor punto de partida para dimensionar la brecha antes de comprometer presupuesto.
Conclusión
Reconocer que la ciberseguridad es un asunto estratégico fue el primer paso, y el Perú ya lo dio. El segundo es actualizar el criterio técnico con el que se contrata la protección de endpoints, y ahí el avance todavía es desigual.
Mientras los ataques se generan a medida y en volumen, seguir dependiendo de una herramienta que solo detiene lo que ya conoce equivale a controlar la entrada de un edificio con una lista de nombres, cuando todos los visitantes llegan sin identificación. La pregunta útil ya no es si el antivirus está instalado, sino qué hace exactamente cuando aparece algo que nunca ha visto. Complementar esa capa con protección del correo entrante y capacitación real —no genérica— sobre los vectores de ingeniería social activos en el mercado peruano cierra la mayor parte de la superficie expuesta.
