Menos del 25% de las pequeñas y medianas empresas peruanas destina presupuesto a ciberseguridad, según cifras publicadas por Gestión a partir de un informe regional de seguridad corporativa. Dicho de otro modo: tres de cada cuatro negocios operan sin una sola línea de gasto asignada a proteger su información.
El dato pesa más al cruzarlo con la escala del segmento. El Ministerio de la Producción reporta 2,44 millones de mype formales en 2026, equivalentes al 99,2% de las empresas formales del país, responsables de 10,3 millones de empleos y del 20,6% del PBI. La base productiva del Perú se está digitalizando sin protección proporcional.
Por qué las mypes son un objetivo, no una excepción
El error de cálculo más común es asumir que un negocio pequeño no le interesa a nadie. El criterio del atacante no es el tamaño de la empresa, sino la facilidad de entrada.
Los ataques hoy son automatizados y no discriminan por facturación: barren rangos completos de direcciones IP buscando puertos abiertos, credenciales reutilizadas y sistemas sin actualizar. Gestión reportó que Perú registró 1,7 billones de intentos de ciberataque durante el último año, y que el tiempo que transcurre entre el descubrimiento de una vulnerabilidad y su explotación cayó de 4,7 días a un rango de 24 a 48 horas.
Ese margen es el problema real. Una empresa que revisa sus sistemas una vez al mes ya no está operando dentro de la ventana de reacción disponible.
El costo operativo: la interrupción
El phishing sigue siendo la puerta de entrada dominante: el 73% de las empresas latinoamericanas fue víctima de esta modalidad durante el último año. Un correo bien construido basta para comprometer una cuenta, y desde ahí se despliegan el fraude a proveedores, el robo de información de clientes y el cifrado de servidores.
Para una empresa sin respaldos verificados y aislados, la recuperación puede tomar semanas. Y la exposición crece: Infobae reportó que solo 3 de cada 10 mypes están listas para el comercio digital, lo que describe un segmento que ya depende de canales digitales para vender, pero que aún no construyó la infraestructura de soporte que esos canales exigen.
Si tu empresa opera en canales digitales, una brecha no es solo un problema de TI — es una interrupción del negocio. Nuestro artículo sobre phishing y BEC en Perú detalla cómo funciona el vector de ataque más usado contra mypes.
El costo regulatorio: la fiscalización dejó de ser teórica
El reglamento de la Ley 29733 de Protección de Datos Personales está vigente desde marzo de 2025 y trajo obligaciones más exigentes y un régimen sancionador más duro.
Los números confirman el cambio de escenario: la Autoridad Nacional de Protección de Datos Personales realizó 760 fiscalizaciones en 2025, un 67% más que el año anterior, inició 136 procedimientos sancionadores e impuso multas por encima de los S/ 11 millones. La multa máxima vigente asciende a 100 UIT, alrededor de S/ 550.000.
Toda empresa que administre una base de clientes, use un CRM, opere cámaras de seguridad o capture datos por un formulario web está tratando datos personales. Una filtración no solo cuesta el incidente: activa responsabilidad administrativa.
El costo comercial: la homologación de proveedores
Este es el eje que menos se discute y el que más rápido está cambiando.
El 22,5% de todas las brechas de seguridad del último año involucró a un tercero o proveedor, el doble que el periodo previo, y ese tipo de incidente tarda en promedio 254 días en detectarse y contenerse. La consecuencia directa es que las organizaciones grandes dejaron de confiar en la palabra de sus proveedores y empezaron a auditarlos.
Para la mype que factura al Estado, a una corporación o a un operador logístico, los controles básicos de seguridad están dejando de ser un gasto opcional para convertirse en requisito de homologación. No tenerlos ya no significa solo riesgo: significa quedar fuera de la licitación.
Los controles que cierran la mayor parte de la exposición
La buena noticia es que el grueso de los ataques exitosos explota fallas básicas, no técnicas sofisticadas:
- Autenticación multifactor en correo corporativo, accesos remotos y sistemas administrativos.
- Respaldos verificados y aislados de la red principal, con pruebas de restauración periódicas.
- Actualización de sistemas operativos y aplicaciones bajo un calendario definido, no por reacción.
- Control de accesos por privilegio mínimo, especialmente al desvincular personal.
- Capacitación del equipo en reconocimiento de correos fraudulentos y suplantación de proveedores.
- Un plan de respuesta escrito, con responsables y contactos definidos antes del incidente.
Para empresas que buscan una capa adicional de protección en el correo, nuestra solución de antispam en la nube cubre el vector de entrada más frecuente. Y si manejas datos personales de clientes, el artículo sobre ISO 27001 en Perú explica cómo estructurar la gestión del riesgo de forma ordenada.
Conclusión
El argumento de que "somos muy pequeños para ser un objetivo" está matemáticamente roto: los ataques son automatizados, el tiempo de explotación se mide en horas, y el 22,5% de las brechas llega a través de proveedores. Para la mype peruana, el riesgo ya no es hipotético — es operativo, regulatorio y comercial al mismo tiempo. El punto de partida razonable no es invertir sin saber qué proteger: es hacer un diagnóstico de exposición que identifique qué activos son críticos y qué controles faltan.
