La percepción de riesgo cibernético en México está mutando. El reporte Voice of the CISO 2026 de Proofpoint, Inc. revela que el porcentaje de CISOs mexicanos que considera a su organización vulnerable a un ciberataque de impacto significativo en los próximos doce meses cayó al 44%, una disminución considerable frente al 80% de 2025. La pérdida significativa de datos reportada también bajó, del 42% al 39%.
Este estudio global, que encuestó a 1.600 CISOs en 16 países, advierte que el riesgo ya no solo proviene de agentes externos, sino que se concentra en el factor humano y en las herramientas de IA integradas al trabajo diario.
El 70% de los CISOs mexicanos identifica el comportamiento de los empleados como la mayor vulnerabilidad. A esto se suma una carga operativa adicional: el 90% deberá gestionar los riesgos de la IA durante los próximos dos años sin que sus recursos o experiencia aumenten en la misma proporción.
“La IA está cambiando fundamentalmente las responsabilidades del CISO”, señaló Patrick Joyce, Global Resident CISO de Proofpoint.
“A los líderes de seguridad se les está pidiendo hacer dos cosas al mismo tiempo: proteger al negocio frente a los riesgos tecnológicos y ayudarlo a adoptar tecnologías transformadoras de manera segura y rápida. A medida que los asistentes de IA, copilotos, la automatización y las herramientas públicas de IA generativa se integran en los procesos empresariales cotidianos, se confía en los CISOs para habilitar la innovación y, al mismo tiempo, evitar que los datos confidenciales, los accesos privilegiados y los flujos de trabajo críticos queden expuestos. Esta doble responsabilidad se está convirtiendo rápidamente en uno de los desafíos que definen el rol”, agregó.
El factor humano y el impacto financiero
El uso de IA generativa es un foco de alerta: las preocupaciones aumentaron 14 puntos porcentuales, y el 70% la considera un riesgo de seguridad. Aunque el 93% confía en sus controles, el 69% teme que los empleados expongan datos confidenciales a través de estas herramientas, lo que ha llevado al 73% a bloquear o restringir su uso.
El comportamiento interno es el detonante principal de las brechas. Entre las organizaciones que sufrieron pérdidas de datos, el 56% señaló a personas con intenciones maliciosas, el 44% a empleados negligentes y el 23% a cuentas comprometidas.
Un dato revelador es que el 92% de los CISOs afectados indicó que ex-empleados estuvieron involucrados en los incidentes. Aunque la frecuencia de pérdidas bajó, su impacto se agravó: las pérdidas financieras subieron del 21% al 36%, los costos de recuperación del 50% al 54% y el daño reputacional del 40% al 44%.
La relación con el consejo directivo
La alineación entre los CISOs y los consejos directivos mejoró, pasando del 79% en 2025 al 93% en 2026. No obstante, esta sintonía trae consigo expectativas más altas. El 68% de los líderes de seguridad siente que se depositan expectativas excesivas sobre ellos, y el 93% considera que se debería exigir experiencia en ciberseguridad a los miembros del consejo, un salto desde el 77% del año anterior.
“Lo que estamos observando específicamente en México es una evolución alentadora: las organizaciones parecen estar fortaleciendo su resiliencia cibernética, pero este avance ocurre en un entorno de riesgos cada vez más complejo”, señaló Luis Isselin, director general de Proofpoint México.
“Los riesgos están trasladándose cada vez más a las herramientas y los procesos de trabajo que las personas utilizan diariamente, particularmente a medida que la inteligencia artificial se integra en la forma en que los empleados trabajan y acceden a los datos. Para las organizaciones mexicanas, el siguiente desafío será consolidar estos avances mediante una gobernanza adecuada, mayor visibilidad y los recursos necesarios para adoptar la IA de manera segura, sin generar nuevas vulnerabilidades ni aumentar su exposición a los riesgos”, finalizó.
