Presupuestos con sentido: 2026 como año de inflexión

Pedir más presupuesto de ciberseguridad sin una narrativa sólida es como ir por “un poquito de sal” y volver con un asado completo. En 2026 la conversación cambia de eje: ya no se discute si habrá incidentes, sino cuánto costará cada minuto de interrupción, qué tan rápido podremos recuperarnos y qué exigirá el regulador cuando toquemos el botón rojo. Si 2020 aceleró la nube, 2026 consolida la ciber-resiliencia como variable estratégica en cada comité de inversiones. El lenguaje que funciona con el directorio no es el de las siglas, es el del P&L: continuidad de negocio, costo de capital, pérdida esperada y cumplimiento. Por eso, la tesis del año que viene es simple y áspera: invertir en arquitectura e identidad antes que en gadgets, automatizar la respuesta para bajar el MTTR (tiempo medio de recuperación) de horas a minutos, y convertir la evidencia regulatoria en un argumento financiero: sanciones evitadas, primas de ciberseguro contenidas, contratos habilitados.

Este editorial está pensado para ese momento incómodo y decisivo donde CFO, COO y CISO se miran y alguien suelta: “¿cuánto, dónde y por qué ahora?”. La respuesta —y el mapa de ruta— surge de dos vertientes: lo que aprendimos en investigación propia y lo que las operaciones reales han confirmado una y otra vez en la región. El resultado no es una lista de compras, sino un portafolio de apuestas con retorno táctico (menos incidentes por error humano, menos accesos comprometidos, menos horas caídas) y retorno estratégico (licitar con ventaja, operar en múltiples jurisdicciones, ser proveedor confiable en cadenas críticas). Para decirlo con una frase citable en pasillo: “2026 no premia al que gasta más; premia al que orquesta mejor.”

Lo que de verdad golpea el P&L: ransomware, brokers de acceso e IA ofensiva

Si tu empresa sufriera un impacto hoy, lo más probable sigue llamándose ransomware. No es intuición: el modelo RaaS (Ransomware-as-a-Service) está industrializado, con afiliados, soporte y “SLA” delictivo. La doble y triple extorsión ya es práctica estándar: cifran, exfiltran, te botan de Internet con DDoS y llaman a tus socios para subir la temperatura. Ese músculo se nutre de dos “commodities”: vulnerabilidades viejas sin parche y acceso inicial barato de brokers que subastan credenciales o RDP/VPN expuestos. Traducido a presupuesto: cada peso en gestión de parches priorizada por riesgo y autenticación multifactor resistente a phishing (FIDO2/Passkeys) vale por diez en rescates no pagados y downtime evitado.

La segunda palanca que inclina la balanza en 2026 es la IA ofensiva. Phishing impecable en castellano local, deepfakes de voz para autorizar pagos, malware que muta para esquivar firmas y EDR: la curva de sofisticación es real y asimétrica. No basta “concientizar”; hay que automatizar detección y contención con plataformas que correlacionen telemetría de endpoints, red y nube, y ejecuten playbooks en segundos (SOAR). Hay geografía y sector: finanzas, administración pública, salud, utilities y retail concentran golpes por densidad digital y retorno esperado. El mensaje al comité es directo: no financien miedo, financien probabilidad y severidad. Si tus controles no cambian la ecuación de acceso inicial, movimiento lateral y extorsión, son decoración cara. Identidad, superficie expuesta y respuesta orquestada son la trenza que define el costo real.

Arquitectura primero, herramientas después: Zero Trust, SASE y plataformas unificadas

El perímetro murió; el “castillo con foso” quedó para la foto antigua. Zero Trust deja de ser slogan cuando se financia en tres frentes operativos: identidad como perímetro (MFA resistente a phishing, privilegios mínimos, acceso condicionado al riesgo del contexto), segmentación y microsegmentación en red y cargas (aislar, no confiar) y verificación continua de postura de dispositivos (estado, parches, integridad). A su lado, SASE (Secure Access Service Edge) acerca la política de seguridad al usuario donde esté, unificando conectividad y controles en la nube sin arrastrar tráfico por datacenters congestionados. En 2026, Zero Trust y SASE rinden por dos razones. Primero, consolidan: pasar de una zoología de productos a plataformas unificadas de XDR/SASE reduce ceguera, baja falsos positivos y libera horas humanas del triage eterno. Segundo, aceleran cumplimiento: cuando el regulador pide notificación temprana, segregación efectiva o evidencia de control, el dato sale solo si tu telemetría está unificada.

La brújula presupuestaria es clara: menos “tool-sprawl”, más capacidad de ver, decidir y actuar extremo a extremo. Un consejo impopular pero honesto para 2026: desinvierte donde no hay integración. No se trata de amor por una marca, se trata de telemetría coherente, contexto compartido y automatización transversal. El CISO que llegue a comité con cinco pantallas y veinte consolas distintas está vendiendo complejidad, no seguridad. Arquitectura es estrategia. Herramientas, solo en la medida en que la ejecuten sin fricción.

Nube, edge e IoT: el perímetro ya no existe y el borde sí importa

La región corrió a la nube, pero no siempre subió con arnés. Configuraciones laxas, credenciales en repositorios, buckets mal expuestos: si una porción grande de los accesos iniciales ocurre por servicios cloud, la priorización cae de cajón. CSPM (higiene continua de postura en la nube), CIEM (gobierno de identidades y permisos en cloud), escaneo IaC (infraestructura como código) y microsegmentación en Kubernetes dejan de ser “nice-to-have” cuando tu mapa de ataque real vive en VPCs, clusters y funciones serverless.

El edge mete otra presión: 5G, plantas industriales conectadas, medidores, dispositivos médicos y cámaras que hablan más que tía en cumpleaños. Aquí no sirve “más firewall” en el core; necesitas controles en el borde (inspección local, listas de control firmadas, telemetría resumida), inventario vivo de dispositivos, autenticación fuerte máquina-a-máquina (mTLS con identidades de corto vencimiento) y capacidad de cortar lateralidad en segundos si un equipo se comporta raro. En paralelo, confidential computing y cifrado aplicado en tránsito y en reposo deben dejar de ser PowerPoint: las cargas sensibles se mueven; tu protección también.

¿Y el dato? Debe viajar con su política. Clasificación y etiquetado (data tagging) más control de acceso contextual son la combinación que desbloquea colaboración sin abrir la puerta trasera. Si 2024 fue el año de “subimos a la nube”, 2026 es el año de “gobernamos la nube” y su periferia, con métricas que amarran postura a riesgo real, no a “checklists” complacientes.

Regulaciones que cambian el juego: obligaciones, plazos y sanciones

El tablero regulatorio dejó de ser promesa y empezó a morder. Leyes de ciberseguridad con obligaciones para operadores de servicios esenciales, agencias nacionales con dientes, reportes obligatorios de incidentes y estándares sectoriales se están consolidando. Países que ya promulgaron marcos específicos elevarán el listón con reglamentos técnicos, fiscalización y multas. Otros están discutiendo marcos integrales que crean autoridades centrales, fondos permanentes y programas nacionales de resiliencia que bajan a estados, municipios y proveedores. ¿Qué significa para tu presupuesto 2026? Tres traducciones concretas.

Primero, capex en controles “auditables”: segmentación efectiva, gestión de vulnerabilidades basada en riesgo, MFA resistente a phishing, respaldo inmutable, planes de continuidad probados y evidencia de todo. Segundo, opex en monitoreo y respuesta: no basta un SOC que vea; necesitas capacidad de notificar en las ventanas de tiempo exigidas y plan de comunicación para stakeholders (regulador, clientes, prensa) con narrativa verificada. Tercero, compliance como ventaja competitiva: si licitas con gobierno o sector regulado, tener certificaciones y gobierno de seguridad alineado a los nuevos marcos es llave de entrada. El regulador dejó de ser obstáculo; es vector de inversión racional. Financia lo que te saca de la lista roja, te evita multas y te habilita contratos.

Talento, cultura y tercerización inteligente: el triángulo que sí escala

La brecha de talento no se cierra con voluntarismo. Se gestiona. En 2026, la estrategia que funciona combina tres movimientos. Núcleo interno con funciones clave (arquitectura, gobierno, respuesta avanzada, threat hunting) para no perder el mapa. Servicios gestionados para ejecutar 24/7 y absorber picos (monitoreo, first response, hardening continuo), con SLAs y telemetría compartida para que el conocimiento no se pierda en el proveedor. Y automatización para multiplicar al equipo sin quemarlo: detección basada en comportamiento, playbooks sin manos, clasificación de alertas con modelos que aprendan de tu propia historia.

La cultura deja de ser “campaña anual” y se vuelve hábito medible. Simulaciones de phishing con consecuencias reales, table-tops ejecutivos, acuerdos de nivel de riesgo (cuánto estamos dispuestos a tolerar) y KPIs de seguridad en los bonos del management. Si el error humano sigue gatillando incidentes, la respuesta no es culpar al usuario; es diseñar sistemas más seguros por defecto (controles que se imponen solos, no que se piden por favor). Tercerizar sin gobierno es entregar las llaves; tercerizar con contrato inteligente, métricas y revisiones trimestrales es ganar escala. El adversario se organiza; los defensores también.

Portafolio de inversión 2026: cambiar la probabilidad, no la presentación

Los comités no financian PowerPoint; financian cambio de probabilidad y severidad. El portafolio 2026 que mejor calza en la región tiene una estructura que conversa con finanzas. Identidad al centro: MFA resistente a phishing, gestión de privilegios, acceso condicional y rotación de llaves por defecto. Superficie expuesta bajo control: inventario vivo, cierre de servicios inseguros, reducción de ataque en nube con CSPM/CIEM, hardening automatizado. Respuesta orquestada: XDR con correlación real, playbooks automáticos, contención en minutos, copias inmutables y pruebas de restauración cronometradas. Protección de datos aplicada: clasificación, cifrado, control de exfiltración y trazabilidad. OT/IoT con políticas de segmentación y autenticación de máquina a máquina. Gobierno y cumplimiento que vive en métricas, no en carpetas.

¿Dónde se ahorra sin arrepentirse? En herramientas duplicadas que no integran, “dashboards” que nadie usa y proyectos que solo existen para foto de auditoría. ¿Dónde se invierte aunque duela? En gente que piense (arquitectos, hunters, responders), en plataformas que orquesten y en procesos que obliguen (cambio controlado, kill switch de accesos, gestión de secretos). Un peso en higiene y orquestación ahorra cinco en incidentes que no llegan a la prensa.

Métricas que importan: del SLA técnico al ROI de ciber-resiliencia

Si no se mide, no existe; si se mide mal, confunde. Las métricas 2026 que sí mueven aguja comparten un rasgo: conectan control con dinero. MTTD/MTTR en minutos, no en días. Porcentaje de accesos con MFA resistente a phishing sobre el total. Tasa de exposición crítica (vulnerabilidades explotables, servicios expuestos) antes y después de intervenciones. Tasa de “click-through” en simulaciones con plan de mejora. Éxito de restauración en pruebas ciegas (RTO/RPO reales, no teóricos). Backups inmutables certificados y ensayos de conmutación documentados. Cierre de brechas regulatorias en hitos con evidencia. Y, sobre todo, traducción a dinero: minutos de interrupción evitados, sanciones evitadas, primas de seguro ajustadas a la baja, contratos habilitados por cumplimiento. El ROI de ciber ya no se calcula con fórmulas mágicas; se narra con eventos evitados y tiempos comprimidos.

Un tablero útil para el directorio tiene pocas láminas y ninguna excusa. Muestra tendencia (no fotos), resalta desviaciones, explica decisiones de inversión pasadas y plantea apuestas verificables para el próximo trimestre. El relato no es heroico; es operativo: “Esto redujo exposición un 40% y acortó contención a 7 minutos. Próximo paso: extender a filiales y cerrar 20% restante de accesos legados”.

Escenarios de estrés y tabletop 2.0: entrenar como si ardiera

Las organizaciones que mejor sobreviven a 2026 no son las que nunca caen; son las que caen bien y se levantan más rápido que la competencia. Eso no se improvisa; se entrena. Los table-tops clásicos se quedaron cortos: necesitamos ejercicios de estrés realistas que crucen lo técnico, lo legal, lo comunicacional y lo humano. Un escenario con ransomware que cifra parte del ERP y filtra un lote de datos sensibles; una campaña de suplantación ejecutiva con voz clonada; una caída de servicios críticos por sabotaje en nube; un incidente OT con impacto físico. ¿Quién decide el kill switch? ¿Quién habla con el regulador en la primera hora? ¿Qué se prioriza: restaurar o notificar? ¿Qué mensaje sale a clientes y prensa? El tiempo de decisión es un control y también se entrena.

La práctica produce artefactos que valen oro: árboles de decisión, playbooks afinados, plantillas de comunicación, listas de contactos, evidencia de cumplimiento, y algo más sutil: confianza entre áreas. Cada ejercicio descubre fricciones: seguridad vs. operaciones, legal vs. comunicaciones, negocio vs. TI. Mejor pelearlas en mesa que en vivo. Presupuesto 2026 debe contemplar simulaciones trimestrales con observadores externos, medición de tiempos y mejoras. Entrenar con presión hoy abarata el incidente de mañana.

De la exposición al liderazgo: una oportunidad incómoda

La región tiene densidad digital, talento que emerge, normativas que maduran y, sí, brechas que duelen. Ese mix incómodo es también una oportunidad. Quien ordene su arquitectura, gobierne su identidad, orqueste su respuesta y hable en el idioma del negocio liderará cadenas de suministro que exigen seguridad probada, entrará a mercados regulados sin temblar y capturará confianza en sectores donde un incidente cuesta reputación por años.

2026 no es el año de la compra impulsiva; es el año del diseño inteligente. El presupuesto no se defiende con miedo, se demuestra con menos superficie expuesta, menos tiempo de caída, menos sorpresas y más contratos ganados. La narrativa cambia cuando tu tablero muestra que la seguridad dejó de ser costo hundido y se volvió ventaja competitiva. Ese es el punto: pasar de reaccionar a dirigir. Y dirigir exige orquestación, métricas y coraje para decir que no a juguetes caros que no mueven la aguja.

En esta casa seguimos una regla simple: si no reduce probabilidad o severidad, no entra al presupuesto. Lo demás es ruido. 2026 será exigente con quienes improvisen; será generoso con quienes diseñen. Que el plan que hoy llevas a comité no sea un catálogo, sino una partitura: pocos instrumentos, bien afinados, tocados a tiempo. Porque los atacantes ya ensayan todos los días; es hora de que nosotros también.