Resumen: Las empresas están acelerando sus inversiones en AI y las plataformas en la nube, al tiempo que dejan enormes lagunas en las ciberdefensas básicas. Encuestas recientes a gran escala muestran planes generalizados para ampliar el gasto en IA generativa y el consumo de la nube, incluso cuando los controles fundacionales, como las confianza ceroLa gestión de identidades y la detección gestionada siguen estando infrautilizadas. Este análisis examina por qué las prioridades empresariales se inclinan hacia la innovación en detrimento de la resistencia, cómo se están desarrollando los riesgos basados en la identidad y post-cuánticos, qué están haciendo los principales vendedores y proveedores de seguridad, y una hoja de ruta operativa realista para empresas como la hipotética empresa mediana del mercado. AquilaTech para conciliar el crecimiento con la defensa endurecida.
Las empresas dan prioridad a la IA y a la adopción de la nube frente a la ciberhigiene básica: alcance y pruebas de la encuesta
Los datos de las encuestas realizadas a responsables de TI y empresas de todo el mundo revelan un patrón claro: el entusiasmo por la IA y los servicios en la nube no siempre coincide con una higiene cibernética rigurosa. En un amplio estudio realizado en la primavera de 2025 entre 1.000 encuestados directivos de TI y de empresas, la mayoría señaló planes para aumentar el gasto en IA generativa e infraestructura en la nube. En concreto, 78% indicaron una mayor asignación presupuestaria para la IA generativa, mientras que aproximadamente tres cuartos inversiones adicionales previstas en la nube.
Sin embargo, esas mismas organizaciones informaron de una inversión insuficiente en defensas básicas. Sólo 62% estaban implantando una arquitectura de red de confianza cero, y apenas 42% planearon desplegar servicios de gestión de acceso e identidad digital. La adopción de la detección y respuesta gestionadas (MDR) se situó cerca del 45%. Este desajuste expone a las empresas a ataques basados en la identidad, desconfiguraciones de la nube y vectores de ransomware que aprovechan la reutilización de credenciales.
AquilaTech ofrece un caso ilustrativo. La empresa aceleró una estrategia de "cloud-first" impulsada por Servicios web de Amazon y los servicios de Google Cloud para respaldar nuevos análisis basados en IA. El rápido despliegue de modelos y contenedores superó la capacidad del equipo de seguridad para validar los flujos de identidad y las políticas RBAC. En cuestión de meses, los investigadores encontraron múltiples roles IAM excesivamente permisivos que permitían el movimiento lateral en entornos de prueba. El escenario de AquilaTech se hace eco de las conclusiones del informe: crecimiento del canal de innovación con barandillas inadecuadas.
Entre las principales razones técnicas de este desfase figuran las siguientes:
- Fricción percibida: Los líderes empresariales suelen considerar los controles de seguridad como impedimentos para el acceso a los datos y la velocidad de los productos.
- Escasez de personal cualificado: Los equipos de seguridad carecen de personal con experiencia en controles nativos de la nube y gestión de riesgos de modelos de IA.
- Señalización presupuestaria: El entusiasmo de los consejos de administración favorece los proyectos de innovación visibles frente a las inversiones incrementales en resiliencia.
Estos factores no se excluyen mutuamente. Por ejemplo, mientras que los equipos de plataforma pueden confiar en los controles predeterminados del proveedor de la nube de Microsoft, Nube de Google, y Servicios web de AmazonSin embargo, es posible que no evalúen la brecha existente entre los controles de los proveedores y el modelo de amenazas de la organización. El resultado es un panorama multicloud en el que las políticas IAM en la sombra y los endpoints no gestionados se convierten en el camino de menor resistencia para los atacantes.
Cuadro: Aspectos destacados de la encuesta comparativa (estadísticas por muestreo)
| Métrica | Resultado de la encuesta | Implicación |
|---|---|---|
| Aumento previsto del gasto en IA generativa | 78% | Más superficie de ataque por el uso de modelos de datos y cadenas de suministro |
| Aplicación de la confianza cero | 62% | Perímetro residual y riesgo de movimiento lateral |
| Adopción de la identidad digital | 42% | Alto riesgo de intrusiones basadas en credenciales |
| Despliegue de MDR | 45% | Lagunas de detección y contención más lenta de los incidentes |
Las consecuencias prácticas para las operaciones incluyen tiempos de permanencia más largos, costes de recuperación más elevados y exposición estratégica cuando las cargas de trabajo nativas de la nube procesan datos confidenciales. El tema está claro: las métricas de priorización deben adaptarse para incluir indicadores de resiliencia como el tiempo de detección y el porcentaje de sistemas críticos bajo controles de confianza cero. Visión final: las organizaciones que amplían la IA y la nube sin inversiones concretas en identidad y detección amplifican el riesgo sistémico.
Las empresas dan prioridad a la IA y a la nube: Identidad, confianza cero y brechas en el control de acceso
Los ataques basados en la identidad siguen siendo un vector dominante de las brechas, pero muchas empresas restan prioridad a la higiene de la identidad mientras trasladan las cargas de trabajo a las nubes y despliegan herramientas de IA. La desconexión entre la urgencia de la IA a nivel ejecutivo y la implementación de controles de identidad en el terreno crea una ruta de ataque predecible: los adversarios aprovechan las cuentas débiles o no gestionadas para obtener acceso persistente a los recursos en la nube y a los canales de IA.
La gestión de identidades no es sólo un conjunto de controles técnicos; es la base para la adopción segura de la nube. Cuando las empresas utilizan servicios de proveedores como IBM, Oráculo, o Fuerza de ventasLa configuración incorrecta del SSO y los privilegios excesivos de las cuentas de servicio se traducen directamente en riesgos. Por ejemplo, una cuenta de servicio con privilegios incorrectos proporcionada para una canalización de formación de modelos en Nube de Google puede tocar cubos de almacenamiento, instancias de computación y servicios de registro, creando una trifecta de ataque si se abusa de ella.
Los fallos operativos se centran en tres áreas: ciclo de vida de las credenciales, segmentación y verificación continua.
- Ciclo de vida de las credenciales: falta de rotación, principales de servicio no gestionados y sesiones privilegiadas no supervisadas.
- Segmentación: red plana o reglas VPC permisivas que permitan el movimiento lateral entre las cargas de trabajo de IA y los almacenes de datos de producción.
- Verificación continua: ausencia de comprobaciones de postura en tiempo real y decisiones de acceso adaptativas.
Entre las medidas concretas para colmar estas lagunas figuran:
- Implementar confianza cero políticas aplicadas a nivel de identidad con RBAC detallado para cada integración de nube y SaaS.
- Adopte un proveedor de identidades de nivel empresarial y garantice la autenticación multifactor (MFA) para todas las funciones privilegiadas.
- Despliegue señales de autenticación continua y gating contextual para operaciones sensibles como el despliegue de modelos o la exportación de datos.
Los proveedores de productos de seguridad responden con enfoques variados. Redes de Palo Alto y Fortinet hacen hincapié en la segmentación basada en redes y cortafuegos con integraciones de servicios de acceso seguro (SASE). Empresas centradas en el punto final como CrowdStrike y SentinelOne reforzar la telemetría y la respuesta a los puntos finales comprometidos. La integración de estas funciones da lugar a una defensa en capas en la que la identidad es primordial y la telemetría de los puntos finales y de la red proporciona corroboración.
También hay que abordar cuestiones humanas y organizativas. El estudio detectó percepciones contradictorias entre los ejecutivos y los responsables de TI: 63% de los ejecutivos afirman que la ciberseguridad obstaculiza el intercambio de datos, mientras que sólo 35% de los responsables de TI están de acuerdo. Esta divergencia fomenta las opciones que favorecen la accesibilidad frente al cumplimiento.
A continuación se ofrece una lista de comprobación de las medidas que pueden adoptarse:
- Inventariar todas las identidades, incluidas las cuentas de máquinas/servicios.
- Aplique MFA y acceso condicional para operaciones privilegiadas.
- Defina plantillas RBAC de privilegios mínimos adaptadas a los flujos de trabajo de IA y de la nube.
- Integrar la telemetría de identidades en plataformas SIEM/MDR para su correlación.
Se pueden encontrar lecturas relevantes sobre cómo alinear la adopción de la IA con la postura de seguridad en recursos del sector como el análisis de DualMedia sobre el papel de la IA en la ciberseguridad y la guía táctica sobre prácticas de seguridad de la IA (El papel de la IA en la ciberseguridad).
Conclusión final: reforzar la identidad e implementar la confianza cero son requisitos previos para la expansión segura de la IA y la nube; saltárselos transfiere el riesgo a los procesos de producción de IA y multiplica los costes de corrección posteriores.
Las empresas dan prioridad a la IA y la nube: Riesgo poscuántico, criptografía y estrategia de cifrado a largo plazo
El panorama criptográfico está evolucionando. Los equipos de seguridad están cada vez más preocupados por los adversarios con capacidad cuántica, pero la mayoría de las organizaciones siguen sin estar preparadas para las transiciones posteriores a la criptografía cuántica (PQC). En la encuesta del sector mencionada, 71% de los encuestados considera que sus defensas actuales son insuficientes frente a las amenazas de la era cuántica, y sólo alrededor del 14% informaron de que sus infraestructuras estaban preparadas para el PQC. Mientras tanto, aproximadamente la mitad están planeando migraciones, pero la ventana para la adquisición, las pruebas y el despliegue es estrecha.
La preparación post-cuántica es un programa plurianual que se solapa con las iniciativas de la nube y la IA. Algunos ejemplos en los que una criptografía débil se convierte en una amenaza inmediata son la validación de la procedencia de los modelos, el registro seguro de los datos de entrenamiento y las copias de seguridad cifradas de los puntos de control de los modelos. Si los adversarios pueden descifrar las claves históricas de forma retroactiva, los artefactos de modelos robados y los registros de auditoría podrían quedar expuestos, un riesgo importante para las empresas que dependen de activos de modelos ricos en propiedad intelectual.
Elementos programáticos clave para una migración PQC:
- Evaluación del inventario actual de claves y del uso criptográfico en los procesos de IA y los servicios en la nube.
- Priorización de los activos sensibles que requieren una transición inmediata (por ejemplo, claves de firma para la integridad del modelo).
- Pruebas de algoritmos criptográficos híbridos en entornos similares a los de producción antes de la plena implantación.
Los proveedores han empezado a ofrecer herramientas de transición: los principales proveedores de nubes y de seguridad están publicando orientaciones y servicios experimentales de PQC. Por ejemplo, la investigación y la colaboración entre proveedores han dado lugar a esquemas de claves híbridos en los que los algoritmos clásicos funcionan junto con primitivas de PQC para mitigar el riesgo durante la migración. Las empresas que aprovechan plataformas de Microsoft, IBM o Oráculo deben comprometerse con las hojas de ruta de PQC específicas de cada proveedor para alinear los plazos de migración.
Ejemplo práctico: AquilaTech modeló una migración por fases en la que las claves de firma críticas para los artefactos del modelo se envolvieron primero con algoritmos híbridos. Esto redujo el radio de explosión y permitió la validación de la verificación de firmas entre clientes heredados y puntos finales emergentes habilitados para PQC. Entre las lecciones aprendidas se incluye la necesidad de realizar pruebas exhaustivas de interoperabilidad entre servicios en la nube y herramientas de análisis de terceros.
Tabla: Prioridades de la migración postcuántica
| Prioridad | Acción | Marco temporal |
|---|---|---|
| Inventario de llaves | Claves de catálogo utilizadas en canalizaciones, copias de seguridad y firmas de IA | 0-6 meses |
| Pruebas híbridas | Despliegue de algoritmos híbridos en la puesta en escena para la interoperabilidad | 6-18 meses |
| Vuelco completo | Migrar a las primitivas PQC con el apoyo del proveedor | 18-36 meses |
Las directrices sobre regulación y seguridad nacional han aumentado la urgencia de la migración criptográfica. Los gobiernos describen la renovación criptográfica como un imperativo empresarial, y las empresas que poseen datos regulados deben planificar en consecuencia. DualMedia ha recopilado recursos sobre preocupaciones de PQC y temas tácticos de seguridad de IA que complementan la planificación corporativa (Tácticas y orientaciones de seguridad de la IA).
Lista de control para la acción inmediata:
- Iniciar el inventario y la clasificación de las llaves.
- Ejecutar pilotos de algoritmos híbridos en clusters no de producción.
- Coordine con los proveedores y vendedores de la nube los plazos del PQC.
Visión final: La migración a PQC no es opcional para las organizaciones con secretos de larga duración; una actuación temprana y prioritaria es la única vía práctica para preservar la confidencialidad y la integridad en un futuro en la nube impulsado por la IA.
Las empresas dan prioridad a la IA y la nube: Ecosistema de proveedores, IA defensiva y dinámica del mercado
Las estrategias de defensa combinan ahora controles nativos de la nube con detección y respuesta basadas en IA. Los proveedores de seguridad se han adaptado: líderes en endpoints y EDR como CrowdStrike y SentinelOne hacen hincapié en el análisis del comportamiento basado en modelos, mientras que los proveedores de redes y dispositivos como Redes de Palo Alto y Fortinet integrar la inteligencia sobre amenazas en los productos SASE y NGFW. Los proveedores de la nube, en particular Servicios web de Amazon, Nube de Google, y Microsoft - están introduciendo servicios gestionados de seguridad de IA para la caza de amenazas, la detección de anomalías y la contención automatizada.
A pesar de la disponibilidad de herramientas avanzadas, los patrones de adopción siguen siendo desiguales. Muchas organizaciones compran productos puntuales sin integrarlos en una capa de orquestación, lo que crea lagunas de visibilidad. Además, algunos ejecutivos esperan que las herramientas de IA ofrezcan un retorno de la inversión inmediato, cuando en realidad el valor suele requerir ajustes, datos etiquetados e integración con los manuales de respuesta a incidentes existentes.
He aquí algunos pasos prácticos de integración que producen ganancias defensivas cuantificables:
- Centralice la telemetría: alimente los registros de endpoints, nubes e identidades en un motor de análisis unificado.
- Validar los modelos de IA: realizar pruebas adversariales de los modelos de detección y garantizar la explicabilidad de las alertas.
- Alinee las guías: asegúrese de que las respuestas automatizadas de los EDR y los guardarraíles nativos de la nube se corresponden con los procedimientos de respuesta a incidentes.
Un ejemplo: un cliente de servicios financieros implantó la telemetría de agentes de SentinelOne y registros de flujo en la nube de Nube de Google VPC, pero las alertas estaban aisladas. Tras la integración con un motor SOAR central, el tiempo medio de contención mejoró en 40%, lo que demuestra que la orquestación es tan importante como la precisión del modelo.
Continúa la consolidación del sector. Transacciones notables -por ejemplo, adquisiciones de empresas emergentes de seguridad de IA por parte de grandes proveedores- modifican los paquetes de capacidades y la dinámica de precios. Estos movimientos pueden ser beneficiosos, pero también pueden introducir riesgos de bloqueo que deben sopesarse frente a los beneficios de la integración.
Lista de comprobación de proveedores para equipos de contratación:
- Dar prioridad a la cobertura telemétrica sobre las listas de comprobación de características.
- Requieren API de integración de proveedores y modelos exportables para análisis internos.
- Evaluar la investigación de los proveedores sobre la solidez de los adversarios y los resultados de los equipos rojos.
Para una perspectiva de mercado más amplia sobre los movimientos de las acciones de ciberseguridad y la estrategia de los proveedores, consulte la cobertura del sector y los análisis comparativos (CrowdStrike y las tendencias del mercado, Adquisiciones y cambios de capacidad en Palo Alto).
Visión final: combinar las capacidades de los proveedores en un tejido defensivo orquestado produce el mejor ROI; los compradores deben exigir contratos que den prioridad a la telemetría e insistir en la interoperabilidad y la validación frente a adversarios.
Las empresas dan prioridad a la IA y la nube: Hoja de ruta operativa, presupuestación y compromiso de la junta directiva
Abordar el desequilibrio estratégico requiere una hoja de ruta operativa disciplinada y nuevas estructuras presupuestarias que traten la ciberresiliencia como una funcionalidad a nivel de producto. Los consejos de administración y los equipos ejecutivos deben recalibrar las métricas para valorar los resultados del diseño seguro, además de los KPI de crecimiento para las iniciativas de IA.
Estructura del programa recomendada:
- Seguridad por diseñoIntegrar puertas de seguridad en el ciclo de vida de la IA y la entrega en la nube, con comprobaciones automatizadas de la procedencia de los datos, la desviación del modelo y los controles de acceso.
- Presupuestos de resistenciaasignar un porcentaje de los presupuestos de los nuevos proyectos de IA/nube específicamente a herramientas de identidad, detección y recuperación.
- Métricas e informesTiempo de detección, porcentaje de sistemas críticos bajo confianza cero y porcentaje de claves sensibles en formatos listos para PQC.
El despliegue práctico de AquilaTech alineó el gasto por proyecto: cada nueva iniciativa de IA incluía una contingencia de 12% para el refuerzo de la seguridad, que abarcaba el despliegue del agente MDR, el cierre seguro de CI/CD y la modernización de la identidad. Este reequilibrio evitó una reasignación perjudicial a mediados de año y aceleró la corrección cuando una prueba de penetración externa reveló privilegios de servicio excesivos.
Orientaciones presupuestarias para directores financieros y directores de sistemas de información:
- Establecer un norma de asignación de seguridaduna fracción fija del gasto en nuevas plataformas se destina a medidas defensivas.
- Financiar un "centro de excelencia de resiliencia" central que proporcione plantillas y barandillas automatizadas a los equipos que adopten la IA y la nube.
- Utilizar contratos basados en resultados con proveedores que incluyan métricas de nivel de servicio para la detección y contención.
La comunicación a los consejos de administración debe hacer hincapié en la cuantificación del riesgo y en escenarios reales. Entre los ejemplos que se pueden presentar se incluyen modelos de costes de infracciones basados en la identidad, plazos de recuperación con y sin MDR, y el coste previsto de un retraso de PQC para activos críticos. Los recursos del sector sobre presupuestos cibernéticos y postura organizativa pueden ayudar a informar las discusiones de la junta directiva: véase la cobertura de DualMedia sobre planificación presupuestaria de ciberseguridad (orientaciones presupuestarias sobre ciberseguridad) y sesiones informativas prácticas sobre amenazas (recursos para la evaluación de la vulnerabilidad).
Lista de control operativa para los 12 primeros meses:
- Implemente un proveedor de identidad empresarial y aplique MFA a todas las cuentas con privilegios.
- Despliegue MDR en 80% de puntos finales e integre la telemetría en la nube en los procesos de detección.
- Ejecute pilotos PQC híbridos en servicios de firma críticos y copias de seguridad.
- Cree manuales de incidentes asignados a casos de uso específicos de la IA, como el envenenamiento de modelos y la filtración de datos.
Visión final: alinear los presupuestos, las juntas directivas y los equipos de entrega en torno a resultados de seguridad mensurables permite que la IA y la innovación en la nube avancen sin crear una exposición desproporcionada; la compensación entre velocidad y seguridad puede gestionarse mediante una inversión disciplinada y orientada a los resultados.