Cuando se calcula el costo de un ciberataque suelen aparecer cifras relacionadas con dinero robado, rescates, recuperación de información, sanciones o infraestructura afectada. Sin embargo, existe otra factura mucho más difícil de identificar el tiempo y la capacidad de trabajo que una organización pierde mientras intenta controlar la crisis.
Un incidente puede obligar al equipo de ciberseguridad a investigar una amenaza, a infraestructura a mantener los sistemas disponibles, a comunicaciones a explicar qué está sucediendo y al servicio al cliente a responder a cientos o miles de usuarios afectados.
El atacante puede comprometer un sistema, pero la respuesta puede terminar involucrando a toda la organización.
Por eso, la discusión actual sobre ciberseguridad comienza a moverse desde una pregunta tradicional ¿cómo evitar un ataque?
Índice de temas
¿Por qué un problema tecnológico termina afectando a toda la empresa?
Un ciberataque no necesita apagar completamente una plataforma para provocar una crisis. Una aplicación más lenta, errores intermitentes, cuentas bloqueadas o problemas de acceso pueden ser suficientes.
Para el usuario importa poco si detrás existe un ataque de denegación de servicio, una credencial comprometida o un problema de infraestructura: desde su perspectiva, el servicio simplemente dejó de funcionar correctamente.
Entonces aparece un segundo problema. Cada usuario afectado puede convertirse en una llamada, correo, reclamación o comentario en redes sociales. Cuando el incidente escala, los centros de atención reciben clientes frustrados al mismo tiempo que los equipos técnicos todavía intentan comprender qué está ocurriendo.
El resultado puede convertirse en un círculo cuando la falla deteriora la experiencia, el deterioro aumenta las solicitudes de soporte y esa saturación obliga a dedicar todavía más personas y recursos a la crisis.
Es precisamente por esto que la continuidad operativa empieza a formar parte de la conversación sobre ciberseguridad. El ataque puede durar unas horas, pero recuperar la normalidad operativa y la confianza de los usuarios puede tomar mucho más tiempo.
¿Qué ocurre cuando la empresa ni siquiera fue atacada directamente?
Existe un escenario todavía más complejo, organizaciones que deben responder por ataques que técnicamente nunca ocurrieron dentro de su infraestructura.
Las campañas de phishing (suplantación digital) y el typosquatting (sitios web con dominios casi idénticos a los originales), son la creación de espacios similares a los legítimos que permiten a los delincuentes imitar la identidad de una organización para engañar al usuario.
Una letra diferente o una extensión distinta puede bastar para crear una página aparentemente auténtica donde una persona entregue sus credenciales. Cuando el usuario descubre el fraude, probablemente no buscará al ciberdelincuente. Buscará a la empresa cuya identidad fue utilizada.
La organización entonces, deberá entonces responder preguntas, publicar alertas, solicitar el retiro de dominios falsos, investigar el incidente y proteger su reputación, aunque sus propios sistemas nunca hayan sido vulnerados.
Esto ayuda a explicar por qué la identidad se está convirtiendo en uno de los nuevos perímetros de seguridad.
El estudio State of Identity Security 2026 de Sophos encontró que el 71 % de las organizaciones consultadas había sufrido al menos una brecha relacionada con identidad durante los 12 meses anteriores. México alcanzó el 83 %, la segunda proporción más alta entre los países analizados.
Además, el informe señala una conexión entre estas brechas y ataques posteriores: el 67 % de las organizaciones afectadas por ransomware afirmó que su incidente estaba relacionado directamente con su ataque de identidad más significativo.
Una sola credencial comprometida, por tanto, puede convertirse en el comienzo de un problema mucho mayor.
¿Cómo se protege la operación y no solamente los sistemas?
La respuesta empieza por ampliar la definición de ciberseguridad. Antivirus, protección de endpoints, firewalls y seguridad del correo continúan siendo necesarios, pero ya no responden por sí solos a una pregunta fundamental: ¿qué tan rápido puede una organización detectar, contener y recuperarse de un incidente sin paralizar el negocio?
Aquí entran elementos como la protección de identidad, inteligencia de amenazas, monitoreo de dominios, detección de credenciales comprometidas, automatización y capacidades de respuesta.
También existe un componente que ocurre fuera de la oficina. Un análisis realizado por Kaspersky antes del Mundial de 2026 estudió más de 84.000 señales de redes Wi-Fi en Ciudad de México, Guadalajara y Monterrey. La investigación encontró que el 17 % de las redes analizadas tenía cifrado débil o inexistente y apenas el 2,9 % utilizaba WPA3.
El dato resulta especialmente relevante en un entorno laboral donde las personas pueden acceder a servicios corporativos desde hoteles, aeropuertos, cafeterías o redes públicas.
La pregunta que una organización debería hacerse, entonces, no termina en cuántos ataques logró bloquear.
También debería preguntarse cuánto tardaría en detectar una amenaza, cuántas personas resultarían afectadas antes de contenerla, cuánto aumentaría la demanda de soporte y qué áreas tendrían que abandonar sus funciones habituales para responder al incidente.
Porque medir únicamente el dinero perdido deja fuera una parte importante del problema.
Un ciberataque también puede medirse en horas de trabajo, proyectos suspendidos, clientes esperando respuestas, empleados reasignados y sistemas operando bajo presión.
Y quizás ahí se encuentre una definición más completa de resiliencia digital, no solamente impedir que alguien entre, sino conseguir que la organización pueda continuar funcionando incluso cuando alguien lo intenta.
