Una actitud “idealista pero pasiva” por parte de los órganos directivos respecto a la ciberseguridad está dejando a las empresas expuestas a un mayor riesgo de ciberataques, alertó la asociación ISACA en su último informe.
A pesar de que los consejos de administración reconocen la importancia de proteger sus organizaciones ante amenazas digitales, esta percepción no se refleja aún en la asignación de recursos económicos ni en la inversión en personal especializado.
El auge de herramientas basadas en inteligencia artificial para detectar vulnerabilidades, sumado a recientes incidentes graves como la explotación de la falla PHP2Shell el mes pasado, han puesto de relieve la necesidad urgente de reforzar las defensas digitales. 
Chris Dimitriadis, director global de estrategia en ISACA, señaló que muchas entidades siguen sin destinar los fondos necesarios para contratar y mantener expertos en ciberseguridad.
“Sin un equipo capacitado y motivado en ciberseguridad, las organizaciones quedan a merced del azar, de los ciberdelincuentes y de ataques impulsados por IA maliciosa”, afirmó Dimitriadis. “Un consejo que es idealista pero inactivo se traduce en equipos sobrecargados, desmotivados y con recursos insuficientes, incapaces de prevenir o mitigar ataques.”
La escasez de talento limita la capacidad defensiva
El Estado de la Ciberseguridad 2026 elaborado por ISACA revela que más de la mitad de las organizaciones europeas tienen dificultades para retener a profesionales cualificados en ciberseguridad. Los factores que más influyen en las renuncias son el estrés laboral, los bajos salarios y la falta de oportunidades para progresar.
Casi el 50% de los expertos TI y en seguridad informática de Europa no confían en que sus juntas directivas prioricen adecuadamente los temas de ciberseguridad. Además, más de la mitad no esperan que el presupuesto destinado a esta área aumente en los próximos doce meses.
Dimitriadis subrayó que esta falta de inversión pone en peligro la postura de seguridad de las organizaciones. “Aunque los ataques recientes han generado una mayor conciencia sobre la relevancia de invertir en ciberseguridad, reconocerlo no basta. No podemos permitir que el sector colapse por falta de recursos.”
El directivo instó a que los consejos de administración conviertan sus prioridades en acciones concretas, dotando de financiamiento suficiente para atraer, contratar, formar y actualizar a los profesionales necesarios para fortalecer la resistencia cibernética de las empresas.
Además, la inteligencia artificial es un foco de preocupación creciente entre los expertos, debido a sus múltiples implicaciones en la gestión del riesgo corporativo.
ISACA advierte que, aparte de que los ciberdelincuentes utilizan IA para acelerar y ampliar la creación de exploits, el despliegue generalizado de IA por parte de las empresas también introduce riesgos propios que deben gestionarse activamente.
En la conferencia ISACA Europa de octubre, Dimitriadis alertó sobre la falta de una estrategia clara en torno a la seguridad de la IA: “No se puede proteger lo que no se comprende. No es suficiente con creer que se está seguro cuando existen riesgos derivados de IA si no se comprende su funcionamiento, los potenciales vectores de ataque ni las medidas necesarias. Sin este entendimiento, la protección organizacional probablemente fracase.”
En definitiva, la combinación de escasa inversión, falta de talento motivado y la rápida evolución tecnológica, en especial en IA, hacen indispensable un cambio urgente en la gestión y financiación de la ciberseguridad a nivel directivo.
