La escena se repite en muchas instituciones peruanas. Se aprueba el presupuesto, se convoca el proceso, llega la plataforma, se firma el acta de conformidad y todos respiran tranquilos. La herramienta ya está en el inventario y se puede auditar. Lo que nadie anotó en ninguna parte es quién la va a abrir el lunes siguiente. Y justo ahí, en eso que llamamos monitoreo de seguridad, un estudio global difundido en el Perú por el portal PQS encuentra la brecha de verdad.
El 86% de incidentes en pymes: qué dice el estudio y qué omite el titular
El titular circuló bastante: el 86% de las pymes enfrentó al menos un incidente de seguridad durante el último año, según una encuesta aplicada en dieciocho países. Solo el 14% de las organizaciones con menos de quinientos empleados llegó al final del periodo sin registrar ninguno.
Pero hay un detalle en la letra chica que cambia el sentido de la cifra. La encuesta se hizo entre especialistas de seguridad de TI. Es decir, entre empresas que ya tienen a alguien dedicado al tema, con presupuesto aprobado y herramientas compradas. Y aun así, casi nueve de cada diez fueron vulneradas. Esto no es el retrato de quienes no invirtieron. Es el de quienes sí lo hicieron.
Los factores de riesgo más citados no son tecnológicos
Cuando se les preguntó qué hace más probable que un ataque les salga bien a los delincuentes, los responsables de pymes latinoamericanas no mencionaron primero el software. Mencionaron a la gente: la falta de experiencia del propio personal de seguridad de TI, con 26%, y la falta de conocimientos entre los empleados que no son del área técnica, con 24%. Recién después aparecen los equipos desactualizados con 22%, la sobrecarga del área con 21% y las políticas insuficientes con 20%.
Vale la pena hacer la cuenta: cuatro de los cinco factores hablan de personas, tiempo y procesos. Uno solo habla de equipamiento.
El presupuesto de ciberseguridad sube, las horas de operación no
El 82% de las pymes ya aumentó su presupuesto de ciberseguridad este año. De ese grupo, el 41% lo destinó a ampliar sus equipos y el 30% a migrar hacia soluciones más avanzadas de detección y respuesta, como XDR, NDR y SIEM.
Ese último dato conviene mirarlo dos veces. Un antivirus tradicional bloquea y se olvida del asunto. Una plataforma de detección hace algo distinto: observa cómo se comporta el entorno y genera alertas que alguien tiene que leer, clasificar y decidir. Su valor no está en el día de la instalación, está en la revisión de todos los días. Si se compra sin sumar horas de monitoreo de seguridad, lo que se consigue no es más protección. Son más avisos que nadie abre.
Qué significa esto para las entidades públicas del Perú
El estudio midió empresas privadas, es cierto. Pero el patrón se reconoce enseguida en buena parte del Estado peruano, sobre todo en el nivel subnacional. Una municipalidad distrital o una unidad ejecutora regional suele tener un área de tecnología de dos a cinco personas. Las mismas que sostienen el correo institucional, el trámite documentario, la conectividad, al usuario que llama porque no imprime y, encima, la seguridad. Cuando alguien renuncia, se lleva consigo lo que sabía.
Visto así, el 26% que señala falta de experiencia y el 21% que señala sobrecarga dejan de ser estadísticas de otro país. La diferencia es que en una entidad pública la factura no se paga en ventas perdidas, sino en continuidad operativa: trámites que se caen, servicios que el ciudadano no puede usar e información de administrados que queda a la vista.
Sin detección no hay gestión de incidentes ni reporte posible
La normativa peruana de protección de datos personales exige actuar frente a incidentes que comprometen información de las personas. Para cumplir hay que enterarse primero, y eso depende por completo de la gestión de incidentes que la entidad tenga funcionando de verdad. Una organización con la tecnología instalada pero sin nadie revisando alertas puede pasar semanas sin saber que ya la comprometieron. Se entera por un tercero, o por el ciudadano que reclama.
El estudio también muestra por dónde están entrando. Entre las pymes de la región, el phishing encabeza la lista con 24%, seguido por los accesos remotos externos con 15% y la explotación de vulnerabilidades de software con 13%. Los ataques de día cero y los que abusan de relaciones de confianza fueron menos frecuentes, pero alcanzaron a un 8% cada uno. Ninguna de esas puertas se cierra con una sola compra: la primera se contiene sobre todo en el correo, con autenticación del dominio y formación para reducir los intentos de phishing, y la tercera depende de qué tan rápido la entidad cierre lo que ya tiene identificado mediante gestión de vulnerabilidades.
Cómo saber si su área de TI ya está sobrepasada
No hace falta una auditoría formal para darse cuenta. Pregúntese cuánto tiempo pasa entre que se genera una alerta y alguien la mira. Cuántas consolas que su institución paga no se abrieron en el último mes. Cuántos equipos tienen parches pendientes sin un responsable claro, algo que las plataformas de monitoreo y administración remota resuelven automatizando la distribución y dejando registro de lo que quedó sin cerrar. Si existe un procedimiento escrito que diga qué hacer, a quién avisar y en qué orden cuando se confirma un ataque. Y la pregunta más incómoda: si la persona que sostiene la seguridad renunciara el lunes, ¿cuánto se iría con ella?
Si varias respuestas le incomodan, sumar una plataforma más no va a mejorar nada. Va a complicarlo, porque agrega una superficie más que administrar sobre un equipo que ya no da abasto.
Qué evaluar antes de la próxima compra de tecnología de seguridad
La idea es sencilla: tratar la operación como parte de lo que se contrata, y no como algo que ya se verá después. En la práctica significa poner sobre la mesa, antes de armar el requerimiento, cuántas horas de trabajo humano a la semana exige mantener esa solución andando, quién las va a poner y de qué otras tareas se le libera, qué pasa con las alertas que llegan un sábado, qué capacitación necesita el personal para entender lo que la herramienta reporta y cómo sigue funcionando el servicio si esa persona se va.
Un control no está implementado porque la tecnología exista. Lo está cuando alguien lo ejecuta con una frecuencia definida, deja registro y hace algo con lo que encuentra. Cuando esas preguntas se responden antes de firmar, muchas veces la conclusión es otra: una solución más modesta pero bien operada, o sumar servicios gestionados de seguridad que aporten las horas y la experiencia que el equipo interno no puede poner solo.
Conclusión
La brecha que expone a las instituciones peruanas no es tecnológica. Es operativa: el mismo equipo que sostiene el correo, la conectividad y el soporte al usuario no puede también revisar alertas de seguridad, aplicar parches con regularidad y responder ante incidentes dentro del tiempo que la normativa exige.
Antes de aprobar una nueva herramienta, la pregunta que más importa no es qué hace el producto, sino quién lo va a operar, con cuántas horas a la semana y qué pasa cuando esa persona no está. Revisar los descuidos más frecuentes en organizaciones similares es un punto de partida honesto antes de abrir cualquier proceso de compra.
