La seguridad informática se refiere al conjunto de medidas técnicas y organizativas destinadas a proteger los sistemas, las redes y los datos contra accesos no autorizados, modificaciones o destrucciones. Ante amenazas en línea que evolucionan cada trimestre, los reflejos de protección deben seguir el mismo ritmo. El desafío ya no se limita a las contraseñas o a los antivirus: ahora abarca toda la cadena de dependencias digitales de una organización.
Cadena de suministro digital: la superficie de ataque que las empresas subestiman
La mayoría de las guías de ciberseguridad se centran en el perímetro interno: cortafuegos, actualizaciones, sensibilización de los colaboradores. Sin embargo, el riesgo se desplaza hacia los proveedores, los prestadores de servicios en la nube y los componentes de software de terceros. La ENISA documenta esta tendencia en su informe ENISA Threat Landscape 2026, publicado el 15 de septiembre de 2026: los ataques dirigidos a las dependencias digitales producen incidentes a gran escala, mucho más allá del perímetro de la empresa inicialmente objetivo.
Un proveedor de nómina comprometido puede exponer los datos personales de decenas de clientes. Un componente de código abierto vulnerable, integrado sin auditoría, puede abrir una puerta en un sistema de gestión que, sin embargo, está certificado. La detección de estas vulnerabilidades exige un inventario riguroso de cada componente de software y de cada flujo de datos saliente hacia un tercero.
Para mapear estos riesgos, los recursos técnicos disponibles en la página de seguridad de Viruslab detallan los mecanismos de protección aplicables a entornos expuestos a múltiples dependencias externas.
Concretamente, reforzar esta capa supone tres acciones distintas:
- Elaborar un registro de los proveedores que tienen acceso, incluso indirecto, a los sistemas o datos de la empresa, y luego evaluar su nivel de protección según criterios documentados.
- Exigir contractualmente un plazo de notificación en caso de incidente de seguridad en el proveedor, alineado con las obligaciones regulatorias vigentes.
- Establecer una vigilancia sobre las vulnerabilidades publicadas para cada componente de software de terceros integrado en los sistemas de producción.
Ransomware en 2026: por qué las pymes y micropymes siguen siendo los principales objetivos
El ransomware sigue siendo la amenaza más impactante a corto plazo. El Panorama de la ciberamenaza 2025, publicado por la ANSSI el 11 de marzo de 2026, indica que las compromisos por ransomware reportados a la Agencia han disminuido ligeramente en comparación con 2024. Sin embargo, esta disminución estadística no refleja un retroceso de la amenaza: las pymes, micropymes y ETI siguen siendo las entidades más afectadas.
La proporción de incidentes que afectan a los establecimientos de salud está nuevamente en aumento según el mismo informe. El modelo económico de los atacantes ha evolucionado: la amenaza se ha vuelto más fragmentada entre varios grupos, lo que complica la detección y la atribución.
Mecanismos de propagación a vigilar
Un ransomware rara vez penetra por una falla espectacular. El acceso inicial a menudo se realiza a través de un correo electrónico de phishing, un acceso remoto mal asegurado (RDP expuesto sin autenticación fuerte) o un software obsoleto cuya vulnerabilidad es públicamente conocida.
La segmentación de la red limita la propagación lateral una vez obtenido el acceso inicial. Si el puesto comprometido no puede alcanzar directamente el servidor de archivos o el controlador de dominio, el cifrado masivo de datos se vuelve más difícil para el atacante.
Las copias de seguridad fuera de línea, probadas regularmente, siguen siendo el último bastión. Una copia de seguridad conectada permanentemente a la red puede ser cifrada al mismo tiempo que los datos de producción, lo que anula su utilidad.
Inteligencia artificial y ciberseguridad: una doble exposición
La IA está modificando el panorama de las amenazas en dos direcciones opuestas. Por un lado, las herramientas de detección basadas en aprendizaje automático mejoran la capacidad para detectar comportamientos anómalos en una red. Por otro lado, los grupos cibercriminales utilizan la IA para mejorar sus operaciones, según el ENISA Threat Landscape 2026.
Los correos electrónicos de phishing generados por modelos de lenguaje son más convincentes, mejor redactados y personalizados a partir de datos públicos. Los deepfakes de audio permiten suplantar la voz de un directivo para validar una transferencia fraudulenta.
Sistemas de IA como objetivos directos
Los sistemas de IA desplegados por las organizaciones se convierten en sí mismos en objetivos potenciales. Un modelo entrenado con datos confidenciales puede ser manipulado para restituirlos. Una interfaz de chatbot mal aislada puede servir como vector de acceso al sistema de información subyacente.
Auditar las entradas y salidas de cada sistema de IA conectado a la red se convierte en un paso de gestión de riesgos en sí mismo. Esto incluye las API de terceros utilizadas para enriquecer las funcionalidades de un producto.
Directiva NIS 2: obligaciones de ciberseguridad para las empresas en Francia
La directiva europea NIS 2 amplía el perímetro de las organizaciones sujetas a obligaciones de ciberseguridad. En Francia, la transposición ahora afecta a un número mucho más amplio de empresas, incluidas estructuras de tamaño intermedio que no estaban cubiertas por la primera versión del texto.
Las obligaciones se centran en la gestión de riesgos, la notificación de incidentes a las autoridades competentes y la implementación de medidas técnicas y organizativas proporcionales. No cumplir con NIS 2 expone a sanciones administrativas.
Para las micropymes y pymes que descubren estos requisitos, el proceso comienza con una evaluación de su situación: ¿la empresa opera en un sector cubierto por la directiva? ¿Sus sistemas manejan datos cuya indisponibilidad tendría un impacto en un servicio considerado crítico?
- Identificar si la actividad de la empresa se encuentra dentro de los sectores listados por NIS 2 (energía, transporte, salud, infraestructuras digitales, entre otros).
- Designar a un responsable de la seguridad de los sistemas de información, incluso a tiempo parcial, encargado de liderar la conformidad.
- Documentar las medidas de protección existentes y compararlas con los requisitos del texto para priorizar las acciones correctivas.
La amenaza ya no se limita a un virus aislado en un puesto de trabajo. Entre la fragmentación de los grupos de ransomware, la explotación de la IA por parte de los atacantes y la ampliación de las obligaciones regulatorias, cada organización debe tratar la seguridad informática como un proceso continuo, no como un proyecto puntual. Las empresas que mapean sus dependencias digitales y realmente prueban sus copias de seguridad tienen una ventaja sobre aquellas que se limitan a marcar casillas.
