Las empresas españolas elevan el presupuesto en ciberseguridad en la era de la IA
Casi seis de cada diez compañías españolas admiten que no están preparadas para afrontar los ataques contra sistemas de inteligencia artificial, por encima de la media global.
La carrera empresarial por adoptar la inteligencia artificial abre un nuevo frente en ciberseguridad. Los ataques contra los sistemas de IA se han convertido en la amenaza ante la que las compañías se sienten menos preparadas. En España, el 57% de los responsables de tecnología y seguridad los incluye entre sus cinco principales carencias de preparación, siete puntos más que la media mundial.
Es una de las principales conclusiones del Global Digital Trust Insights 2027 de PwC, elaborado con las respuestas de 3.934 directivos de 71 países, entre ellos 116 españoles. El informe dibuja un escenario de riesgos cada vez más complejo, marcado por la IA, la geopolítica y la dependencia de terceros.
La IA reduce las barreras de entrada para los atacantes. Carlos Manchado, CISO de Acciona, advierte de que herramientas que antes exigían conocimientos técnicos están al alcance de perfiles menos expertos. “Casi cualquier persona con unos conocimientos mínimos, vitaminada con los superpoderes de la IA, puede diseccionar código, revisar aplicaciones e identificar vulnerabilidades”, explica.
Además, la IA acelera la explotación de fallos. Mariano González, jefe de la división de Riesgos y Seguridad de la Información y CISO de Banco de España, advierte de que se pueden lanzar ataques “en cuestión de minutos” desde que se descubre una vulnerabilidad.
Más presión sobre el CISO
Todo ello coloca bajo una enorme presión a los directores de ciberseguridad. “La IA ha desbordado a los CISO. No somos capaces de poner las medidas de mitigación adecuadas al ritmo al que avanza su uso”, reconoce José Luis Manzanera, director de Seguridad Corporativa y CISO de la Fábrica Nacional de Moneda y Timbre (FNMT). Entre los riesgos asociados al uso interno de estas herramientas señala, además, la protección de la información. “La filtración de datos es el mayor riesgo de la IA usada como motor externo ”, dice.
A esto se suma el apremio las organizaciones por acelerar el despliegue de la IA. González advierte de que “las prisas por salir al mercado no pueden ser la respuesta para todo. No podemos sacar sistemas de IA a producción sin tenerlos totalmente probados”. Una carrera en la que la seguridad corre el riesgo de llegar después.
La misma tecnología es también un arma para combatir esas amenazas. Más de la mitad de las empresas españolas usa la IA para analizar y priorizar vulnerabilidades, a lo que se suman aplicaciones como el análisis de código malicioso y las pruebas de intrusión.
Dependencia de terceros, geopolítica y cuántica
La dependencia de terceros, algo que están revisando el 56% de las empresas españolas, es otra de las preocupaciones “La seguridad de una gran compañía es tan fuerte como el eslabón más débil de su cadena de suministro”, dice Manchado. En su opinión, los mecanismos de control sobre proveedores son relativamente estáticos, basados en auditorías, cumplimiento y revisiones, frente al creciente dinamismo de las amenazas.
A ese riesgo se añade una dimensión geopolítica. González alerta de la dependencia de grandes proveedores tecnológicos no europeos y reclama “invertir en tener esas capacidades que ahora mismo solo tienen empresas americanas”. Manzanera coincide en el diagnóstico y defiende avanzar hacia “una tercera vía de soberanía digital” que reduzca las dependencias estratégicas de Estados Unidos y China.
La computación cuántica abre otro frente. Aunque todavía no existe capacidad para romper la criptografía, las empresas empiezan a prepararse. En España, el 44% de las organizaciones se encuentra en fase exploratoria y solo el 22% está tomando ya medidas. Manzanera, de la FNMT, advierte además de la dificultad de anticipar los plazos. “Lo que esperamos dentro de diez años a lo mejor lo tenemos encima dentro de cinco”.
Más presupuesto
Ante este panorama de amenazas, el 84% de las empresas encuestadas, el 74% en España, prevé incrementar su inversión en ciberseguridad en 2027, con la IA como primera prioridad para el 52% de las organizaciones españolas.
Para el CISO de Acciona, responde a varios frentes. “La situación geopolítica y todo lo relacionado con la IA van a empujarnos sí o sí a incrementar el presupuesto. No hay otra opción si queremos hacer frente al escenario al que nos enfrentamos”, dice.
A estos factores se suma la presión regulatoria. Manzanera apunta que las nuevas obligaciones europeas y la responsabilidad de la alta dirección actuarán como palanca para movilizar recursos.
“queda mucho por mejorar en los planes de continuidad ante ciberincidentes”
La capacidad de las empresas para mantener su actividad tras un ciberataque sigue teniendo margen de mejora. Solo la mitad de las organizaciones españolas asegura disponer de planes de continuidad plenamente formalizados e integrados para responder a ciberincidentes, frente al 39% a escala global.
Jesús Romero, socio responsable de Soluciones de Seguridad de Negocio de PwC España, señala que, pese a la mayor madurez que refleja el dato español, “queda mucho por mejorar”. Por eso, incide en que la ciberresiliencia debe consolidarse como un pilar estratégico del negocio, integrado desde el primer momento en la toma de decisiones de la alta dirección.
El gobierno del ciberriesgo ofrece una evolución más positiva. Nueve de cada diez encuestados identifican mecanismos de supervisión en el consejo de administración, y más de un tercio afirma que decisiones relevantes de negocio, como una adquisición o la entrada o salida de un mercado, desencadenan una evaluación o reevaluación del riesgo. Un cambio significativo respecto a hace apenas tres o cuatro años, cuando, según Romero, la ciberseguridad estaba mucho menos integrada en la toma de decisiones empresariales.
Además de los riesgos asociados a la IA, Romero remarca el creciente peso de las amenazas a terceros y a la cadena de suministro. Según señala, una gran parte de los ataques que tienen éxito tiene su origen en problemas de seguridad de proveedores y socios. La encuesta recoge que el 56% de las organizaciones españolas, frente al 50% a escala global, está revisando y reforzando la gestión del riesgo de terceros.