Perspectivas
Las elevadas implicaciones de la ciberseguridad
|
|
Global Equity Observer
|
• |
marzo 27, 2026
|
Las elevadas implicaciones de la ciberseguridad
|
marzo 27, 2026
|
Las elevadas implicaciones de la ciberseguridad
Las elevadas implicaciones de la ciberseguridad |
|
| Pricing info as of |
|---|
| Pricing info as of |
|---|
BDC Pricing Table Component
Un ciberataque puede borrar un año de beneficio operativo en cuestión de semanas, lo que convierte la ciberseguridad en una necesidad defensiva.
A medida que la digitalización avanza, la inteligencia artificial (IA) se acelera y las tensiones geopolíticas persisten, la frecuencia, el grado de sofisticación y las consecuencias financieras de los ciberataques siguen aumentando. Las compañías de todos los sectores —no solo aquellas consideradas tradicionalmente de alto riesgo— se encuentran ahora expuestas. Para los inversores a largo plazo, la cuestión relevante no consiste en determinar si el riesgo cibernético existe, sino si las compañías están preparadas para gestionarlo.
En 2025, se aplicó nuestro marco propio de evaluación de ciberseguridad a determinadas compañías en cartera que se consideran relativamente expuestas al riesgo cibernético, con el objetivo de analizar este riesgo potencialmente significativo desde el punto de vista financiero a escala corporativa.
El panorama de amenazas
Se estima que la ciberdelincuencia generará un coste de 10,5 billones de USD en 2025, superando la inversión en ciberseguridad en casi 50 veces1. La agencia de crédito Equifax proporciona una ilustración efectiva del incremento en la frecuencia de los ataques: en 2024, respondió a más de 15 millones de ciberamenazas; es decir, casi 175 intentos hostiles cada segundo, con un aumento del 25% con respecto a 20232. Los incidentes de alto perfil continúan ilustrando la magnitud de los daños potenciales. En el Reino Unido, los ataques de ransomware en 2025 interrumpieron las operaciones de grandes corporaciones, contribuyendo a pérdidas por valor de cientos de millones de libras y a costes de remediación.
Al mismo tiempo, numerosos directivos reconocen que persisten deficiencias en el nivel de preparación. Una encuesta a Chief Information Security Officers3 indica que una mayoría prevé un ataque material en los próximos 12 meses, si bien una proporción significativa se considera insuficientemente preparada para responder.
La digitalización generalizada implica que toda compañía está actualmente configurada como una compañía de datos. Como resultado, el tamaño de las superficies de ataque de las compañías —el número de posibles puntos por los que un usuario no autorizado puede acceder a un sistema y extraer datos— se ha incrementado. Entre los factores adicionales que también pueden ampliar las superficies de ataque de una compañía se incluyen:
- Amplia automatización e Internet de las cosas (IoT)4
- Mayor dependencia de infraestructuras en la nube e híbridas
- Dependencia creciente de proveedores externos
- Cadenas de suministro a escala global más complejas
- Plantillas de mayor tamaño y más distribuidas
- Actividad continuada de fusiones y adquisiciones5
El error humano continúa siendo una causa principal de brechas de seguridad efectivas, pero las vulnerabilidades de la cadena de suministro están adquiriendo una relevancia equivalente. En el caso de compañías con una estrategia de adquisiciones activa, la integración insuficiente del proceso de debida diligencia en materia de ciberseguridad puede introducir riesgos latentes.
Nuevas tecnologías disruptivas
La IA está redefiniendo la ciberseguridad. Por un lado, la inteligencia artificial generativa (GenAI) reduce la barrera de entrada para los atacantes. Las campañas de phishing resultan más convincentes, la exploración de vulnerabilidades puede automatizarse a escala y la actividad maliciosa puede desplegarse con mayor rapidez y sofisticación. Por otro lado, las defensas habilitadas por IA pueden reducir de forma significativa el tiempo necesario para detectar y responder a las amenazas. La investigación sugiere que las organizaciones que incorporan IA en sus defensas de ciberseguridad registran costes medios de infracciones inferiores y una contención más rápida6. Sin embargo, a nuestro juicio, las compañías también deben considerar los requisitos de seguridad adicionales de las herramientas de IA, dado que la investigación identificó las vulnerabilidades relacionadas con la IA como el riesgo cibernético de mayor crecimiento en 20257.
La computación cuántica representa una amenaza más a largo plazo, pero potencialmente transformadora. La perspectiva de ataques de “capturar ahora, descifrar después” —donde los datos cifrados se sustraen en el presente para descifrarlos en el futuro— introduce riesgo para datos sensibles con largos plazos de conservación, incluidos registros financieros, propiedad intelectual e información sanitaria. No obstante, ya existen defensas en desarrollo. En 2024, el National Institute of Standards and Technology (NIST) de Estados Unidos publicó sus primeros estándares de criptografía poscuántica (PQC) y las agencias de ciberseguridad estadounidenses ya instan a las organizaciones a iniciar trabajos de preparación cuántica. Dado que las transiciones criptográficas requieren históricamente muchos años, se considera prudente una preparación temprana a efectos de la criptografía poscuántica, en particular, para las compañías que cuentan con datos sensibles de larga duración.
Marco de evaluación de ciberseguridad propietario
Para evaluar la ciberseguridad de manera estructurada y comparable, se ha desarrollado un marco de evaluación propio. El marco evalúa indicadores positivos y negativos en seis pilares:
1. Gobierno: A nuestro juicio, las mejores prácticas incluyen la supervisión de la ciberseguridad a escala del consejo de administración, consejeros con experiencia pertinente y una asignación de responsabilidades claramente definida. Se considera que la ciberseguridad debe integrarse en la gestión de riesgos corporativos y no tratarse como una función de TI aislada.
2. Recursos, formación y cultura: La tecnología por sí sola resulta insuficiente. En línea con nuestro marco, un enfoque maduro incluye equipos especializados, simulaciones de phishing, con reciclaje formativo para los empleados que no las superan, y una cultura corporativa articulada en torno a la concienciación en ciberseguridad.
3. Riesgo de terceros y de fusiones y adquisiciones: En nuestro marco, nos centramos en indicios de un ecosistema resiliente, que incluyen la diligencia debida de la cadena de suministro, las salvaguardas contractuales y la integración del análisis de ciberseguridad en las decisiones de adquisición.
4. Procesos y controles: Entre los indicadores positivos se incluye la alineación con marcos de referencia reconocidos, así como indicios de controles tales como la gestión de identidades y accesos, la detección y respuesta en puntos finales y la gestión de amenazas y vulnerabilidades. Las defensas habilitadas por IA y la concienciación y planificación tempranas en relación con los estándares criptográficos poscuánticos también constituyen elementos positivos.
5. Preparación para la respuesta: La rapidez en la aplicación de las medidas de contención suele determinar el impacto financiero. Nuestro marco de referencia considera si las compañías llevan a cabo pruebas periódicas de respuesta a incidentes, simulaciones a escala ejecutiva y planificación de escenarios.
6. Garantía externa: Se buscan auditorías independientes, certificaciones (como ISO 270018), ciberseguros y divulgación cuantitativa transparente, que aportan una validación adicional de los controles internos.
En 2025 se entabló diálogo con 10 compañías incluidas en nuestras carteras que, en nuestra opinión, se encuentran en primera línea de riesgo de ciberseguridad. Si bien nunca puede descartarse un ciberataque significativo, el equipo considera que estas compañías, por lo general, gestionan el riesgo de manera adecuada. Entre los ejemplos de mejores prácticas se incluyen:
- Despliegue de defensas habilitadas por IA, que reducen de forma significativa el tiempo medio necesario para detectar y responder a los incidentes.
- Rescisión de relaciones con proveedores e incluso rechazo de adquisiciones cuando los estándares de ciberseguridad se consideran insuficientes.
- Adopción de una estrategia de doble aprovisionamiento para reforzar la resiliencia de la cadena de suministro.
- Implantación de controles para limitar el “radio de impacto” de un ataque, por ejemplo, mediante segmentación de redes y autenticación multifactor.
- Lecciones aprendidas de incidentes anteriores, que evidencian una cultura de mejora continua.
- Obtención de garantía independiente de los controles (p. ej., con ISO 27001)
- Divulgación de métricas cuantitativas para mejorar la transparencia para los inversores.
- Pruebas de rendimiento en fases iniciales de los estándares de criptografía poscuántica.
Implicaciones para la inversión: riesgos y oportunidades
El entorno de amenazas crecientes está impulsando un crecimiento estructural del gasto en ciberseguridad. Las previsiones del sector proyectan que el gasto en ciberseguridad a escala global será superior a 200.000 millones de USD en 2025 y continuará expandiéndose a tasas de crecimiento de dos dígitos9. Una encuesta a CIO corporativos indicó que los presupuestos de ciberseguridad están aumentando con mayor rapidez que el gasto total en software10.
Este entorno genera tanto riesgo como oportunidad. Desde la perspectiva del riesgo, las compañías que no invierten lo suficiente en defensas de ciberseguridad afrontan un mayor riesgo de sufrir un ataque con impacto financiero material. Desde la perspectiva de la oportunidad, los proveedores de ciberseguridad con escala y las plataformas integradas en ecosistemas corporativos podrían beneficiarse de un crecimiento sostenido de la demanda.
Dentro de nuestras carteras, se incluyen compañías con una exposición significativa a la ciberseguridad, entre ellas:
- Microsoft, que opera el mayor negocio de ciberseguridad del mundo, valorado en aproximadamente 30.000 millones de USD y que se ha más que duplicado en los últimos tres años11.
- Visa, que aprovecha su experiencia en seguridad de pagos y prevención del fraude para proporcionar servicios de asesoramiento en ciberseguridad a sus clientes.
- Alphabet, que está en disposición de profundizar su exposición a la ciberseguridad mediante la adquisición pendiente de Wiz por 32.000 millones de USD, una plataforma de seguridad en la nube líder.
- Experian, cuyas soluciones de verificación de identidad y prevención del fraude han ayudado a empresas de todo el mundo a evitar unas pérdidas por fraude estimadas en 19.000 millones de USD12.
Una realidad de escaso consuelo
Ningún sistema de ciberseguridad puede garantizar una protección completa. No obstante, a nuestro juicio, la distinción entre las empresas que están preparadas y las que no lo están reviste una importancia cada vez mayor. La ciberresiliencia constituye tanto una necesidad defensiva como una potencial ventaja competitiva. Las empresas que integran un gobierno corporativo sólido, invierten en capacidades defensivas avanzadas y se adaptan de forma proactiva al cambio tecnológico están, a nuestro juicio, en una mejor posición para proteger sus operaciones y el valor para el accionista.
|
Executive Director
International Equity Team
|
 |
Greg Heywood
Vicepresidente
Equipo International Equity |