Por qué el comportamiento humano se ha convertido en la superficie de ataque de ciberseguridad que más rápido evoluciona
Durante años, la ciberseguridad se ha centrado principalmente en reforzar la tecnología. Las organizaciones han invertido en una mejor protección de los endpoints, controles de identidad más sólidos, capacidades avanzadas de detección de amenazas y operaciones de seguridad impulsadas por inteligencia artificial. Estas inversiones siguen siendo esenciales, pero ya no son suficientes.
El próximo gran reto de la ciberseguridad no consiste únicamente en seguir el ritmo de los atacantes, sino también en adaptarse a la forma en que trabajan las personas.
El trabajo híbrido, las aplicaciones en la nube, la IA de consumo y la expectativa de una productividad inmediata han transformado profundamente el comportamiento de los empleados. Los usuarios toman cada día cientos de decisiones relacionadas con la seguridad, a menudo sin contar con el departamento de TI, y esas decisiones están redefiniendo el riesgo de las organizaciones a un ritmo más rápido de lo que las políticas de seguridad tradicionales pueden asumir.
Nuestro último Informe sobre Higiene en Ciberseguridad 2026 refleja este cambio.
Los resultados muestran que los empleados no eluden deliberadamente las medidas de seguridad. Simplemente buscan trabajar con mayor rapidez, comodidad y productividad. Por desgracia, los atacantes persiguen exactamente los mismos objetivos.
La productividad está redefiniendo el riesgo cibernético
Hay un dato que destaca por encima de todos los demás: el 64 % de los empleados reconoce utilizar herramientas de IA no autorizadas para trabajar.
Visto de forma aislada, podría parecer un problema más de shadow AI. Sin embargo, en realidad refleja una tendencia mucho más amplia.
Los empleados adoptan cada vez más nuevas tecnologías antes de que las organizaciones hayan establecido mecanismos adecuados para gobernarlas. La IA es simplemente el ejemplo más reciente de una tendencia de comportamiento más general, en la que los usuarios priorizan sacar adelante su trabajo frente a esperar a disponer de herramientas aprobadas o procesos formales.
Este mismo patrón se repite a lo largo de todo el informe:
- El 76% reutiliza contraseñas en varias cuentas.
- El 70% se conecta a redes Wi-Fi públicas para trabajar.
- La mitad accede a recursos corporativos sin la protección de una VPN.
- Más de la mitad utiliza los dispositivos de trabajo para actividades personales.
No se trata de malos hábitos aislados. En conjunto, reflejan una realidad en la que las decisiones diarias de los empleados amplían progresivamente la superficie de ataque de la organización.
El perímetro humano se está convirtiendo en el nuevo perímetro de seguridad
Durante años, la ciberseguridad se ha adaptado a la desaparición del perímetro de red tradicional.
Ahora está desapareciendo otro perímetro.
La frontera entre la tecnología personal y la profesional es cada vez más difusa. A lo largo del día, los empleados alternan con naturalidad entre aplicaciones corporativas, dispositivos personales, asistentes de IA, servicios en la nube y redes domésticas.
A medida que el trabajo se vuelve más distribuido, la seguridad ya no puede depender de controlar desde dónde se conectan los usuarios. Debe centrarse, en cambio, en comprender cómo se comportan. Esto supone un cambio significativo en la estrategia de ciberseguridad.
Las organizaciones necesitarán cada vez más visibilidad no solo sobre los dispositivos y las aplicaciones, sino también sobre los patrones de comportamiento que puedan revelar riesgos emergentes antes de que se produzca un incidente.
La concienciación en seguridad ya no es suficiente
Durante años, las organizaciones han abordado el riesgo humano principalmente mediante programas de formación y concienciación. Esta formación sigue siendo importante, pero el informe indica que, por sí sola, no puede resolver los retos actuales.
Muchos de los comportamientos identificados no se deben a una falta de conocimientos, sino a la fricción. Los empleados reutilizan contraseñas porque tienen que gestionar demasiadas credenciales. Adoptan herramientas públicas de IA porque les ayudan a completar sus tareas de forma más eficiente. Y eluden los controles de seguridad cuando estos ralentizan su trabajo.
Por este motivo, el futuro de la ciberseguridad no puede basarse únicamente en pedir a los usuarios que tomen mejores decisiones.
La seguridad debe hacer que la opción más segura sea también la más sencilla.
Esto implica promover el uso obligatorio de gestores de contraseñas y la autenticación multifactor (MFA), gobernar el uso de la IA mediante herramientas empresariales autorizadas, aplicar principios de Zero Trust al acceso remoto y extender la protección más allá del perímetro tradicional de la oficina.
De las métricas técnicas a las métricas de riesgo humano
Uno de los cambios más importantes que adoptarán las organizaciones en los próximos años será la forma de medir la ciberseguridad.
Tradicionalmente, los paneles de seguridad se han centrado en las vulnerabilidades, las detecciones de malware y el cumplimiento de las políticas de aplicación de parches. Estos indicadores siguen siendo valiosos, pero solo ofrecen una visión parcial.
La próxima generación de programas de seguridad medirá cada vez más el comportamiento humano junto con los controles técnicos.
Métricas como la adopción de gestores de contraseñas, la cobertura de MFA, la resistencia frente al phishing, el uso de shadow AI, la visibilidad del software y los hábitos de seguridad de los empleados pasarán a ser indicadores clave de la resiliencia de la organización, en lugar de simples métricas secundarias de concienciación.
Comprender el comportamiento humano será tan importante como identificar las vulnerabilidades técnicas.
Mirando al futuro
El sector de la ciberseguridad habla con frecuencia de cómo la inteligencia artificial está transformando el panorama de amenazas. Y, sin duda, así es.
Pero la IA también está acelerando un cambio menos evidente: la velocidad a la que evoluciona el comportamiento de los empleados. Surgen nuevas aplicaciones de la noche a la mañana. Los flujos de trabajo cambian continuamente. Aumentan las expectativas de productividad. Los usuarios adoptan nuevas tecnologías mucho antes de que las políticas de gobernanza consigan adaptarse.
Las organizaciones que sigan considerando el comportamiento humano únicamente como un problema de concienciación tendrán dificultades para mantener el ritmo. En cambio, aquellas que lo aborden como un componente de la ciberseguridad que debe supervisarse, medirse y gestionarse de forma continua estarán mucho mejor preparadas para reducir el riesgo. Porque la principal brecha de seguridad en muchas organizaciones ya no es la ausencia de un control concreto, sino la distancia cada vez mayor entre la forma en que las personas trabajan realmente y la manera en que la seguridad sigue asumiendo que lo hacen.
Más información en la nota de prensa.