José ZegarraTable of Contents
Resumen
TIVIT ALMAVIVA GROUP recomienda orientar los recursos de ciberseguridad según la criticidad de los sistemas, las vulnerabilidades, el impacto potencial de los incidentes y la capacidad de detección y recuperación.
Proteger los sistemas esenciales exige identificar riesgos proactivamente, ordenar inversiones y comprobar que los controles permiten detectar incidentes y recuperar la operación cuando sea necesario.
Lima, Perú, 5 de noviembre de 2026.— Si mañana dejara de funcionar el sistema de pedidos, ¿cuánto tiempo podría seguir operando la empresa? ¿Y si el problema afectara al correo, a los accesos administrativos o a los respaldos? Las respuestas ayudan a ordenar una inversión en ciberseguridad antes de elegir nuevas herramientas.
TIVIT ALMAVIVA GROUP propone siempre evaluar la criticidad de los sistemas, su exposición a amenazas y las consecuencias de un incidente para decidir dónde concentrar los recursos. El enfoque permite relacionar las necesidades técnicas con una pregunta empresarial: qué debemos proteger primero para sostener la operación.
Una estrategia de ciberseguridad no depende únicamente de la cantidad de herramientas implementadas, sino de la capacidad de identificar los riesgos más relevantes y asignar los recursos de acuerdo con su impacto potencial. Esto requiere conocer los activos críticos, evaluar las vulnerabilidades y establecer prioridades alineadas con los objetivos de la organización”, señala Gina Moreno Guerrero, Product Data Manager de Ciberseguridad para Latinoamérica de TIVIT ALMAVIVA GROUP.
Cuatro criterios para decidir dónde invertir primero
La propuesta de TIVIT organiza la evaluación en cuatro dimensiones complementarias. Ninguna funciona de manera aislada: un sistema importante puede tener poca exposición directa, pero depender de otro servicio vulnerable.
1. Criticidad de los sistemas y la información
El primer paso es identificar qué plataformas, aplicaciones y datos sostienen las actividades esenciales. Además de elaborar un inventario, conviene relacionar cada activo con el proceso al que sirve.
Un sistema de facturación, por ejemplo, puede depender de servicios de identidad, conectividad y bases de datos. Reconocer esas relaciones ayuda a evitar que la protección se concentre únicamente en la aplicación más visible.
La prioridad debe considerar cuánto tiempo puede tolerarse una interrupción y qué información sería difícil o imposible de reconstruir.
2. Exposición y vulnerabilidades
La gravedad técnica de una vulnerabilidad es importante, pero debe analizarse junto con la exposición del sistema y la posibilidad de explotación.
Entre los aspectos que TIVIT recomienda revisar figuran las actualizaciones pendientes, las brechas de seguridad y los accesos disponibles. Como referencia adicional, CISA mantiene un catálogo de vulnerabilidades con evidencia de explotación y recomienda utilizarlo para orientar la remediación. Su presencia en ese catálogo aporta contexto de amenaza; no demuestra que una empresa concreta haya sido comprometida. Fuente: content.govdelivery.com
3. Impacto potencial en el negocio
Una evaluación útil traduce los escenarios técnicos a consecuencias comprensibles para la dirección: servicios interrumpidos, información expuesta, trabajo detenido y costos de recuperación.
También debe contemplar las obligaciones aplicables a la organización y sus compromisos con clientes y proveedores. El objetivo es disponer de argumentos para comparar prioridades, sin presentar estimaciones de pérdidas como si fueran resultados inevitables.
4. Detección, contención y recuperación
Prevenir es una parte de la estrategia. La empresa también necesita comprobar si puede reconocer un incidente, limitar sus efectos y restablecer los servicios.
TIVIT recomienda evaluar el monitoreo, la protección de respaldos y los resultados de las pruebas de recuperación. Tener una copia disponible y demostrar que puede restaurarse son comprobaciones diferentes.
De la evaluación de riesgos al presupuesto
El siguiente cuadro convierte los criterios propuestos en preguntas para una reunión de priorización. Es una guía editorial de trabajo, no una auditoría ni una evaluación de una empresa específica.
| Criterio | Pregunta para decidir | Evidencia que conviene revisar |
|---|---|---|
| Criticidad | ¿Qué proceso se detendría si falla este sistema? | Inventario, dependencias y responsables |
| Exposición | ¿Qué facilita un acceso o una explotación no autorizada? | Configuraciones, accesos y vulnerabilidades |
| Impacto | ¿Qué consecuencias tendría para clientes y operación? | Escenarios de interrupción y necesidades de recuperación |
| Detección | ¿Cómo sabríamos que está ocurriendo un incidente? | Cobertura de monitoreo y ejercicios |
| Recuperación | ¿Podemos restablecer el servicio dentro del tiempo requerido? | Pruebas de restauración y resultados documentados |
Este enfoque es coherente con el Marco de Ciberseguridad del NIST, CSF 2.0, que proporciona resultados de referencia para comprender, evaluar, priorizar y comunicar los esfuerzos de seguridad. El marco puede adaptarse al tamaño, sector y madurez de la organización; no prescribe una compra concreta. Fuente: NIST
Cómo medir si la inversión está dando resultados
La cantidad de licencias adquiridas describe un gasto, pero no basta para comprobar la efectividad de la protección. Para ello se necesitan indicadores vinculados con los riesgos que motivaron la inversión.
TIVIT identifica medidas como el tiempo de corrección de vulnerabilidades críticas, la cobertura de autenticación multifactor, el cumplimiento de las actualizaciones y las pruebas de recuperación.
| Indicador | Qué permite observar | Precaución al interpretarlo |
|---|---|---|
| Tiempo de remediación | Cuánto tardan en corregirse las vulnerabilidades priorizadas | Revisar también los casos vencidos |
| Cobertura de autenticación multifactor | Qué accesos definidos como prioritarios cuentan con protección adicional | Distinguir cuentas administrativas, remotas y de usuarios |
| Cumplimiento de actualizaciones | Qué proporción del alcance previsto se actualizó dentro del plazo | Registrar excepciones y sistemas fuera de soporte |
| Pruebas de recuperación satisfactorias | Qué servicios o respaldos evaluados pudieron restaurarse | Precisar qué se probó y bajo qué condiciones |
| Tiempo de recuperación probado | Cuánto tomó restablecer un servicio durante el ejercicio | Compararlo con la necesidad del negocio |
Cada indicador necesita un alcance y una fuente de información. Una cobertura elevada puede resultar engañosa si deja fuera los sistemas más importantes. Del mismo modo, un promedio favorable puede ocultar vulnerabilidades que llevan demasiado tiempo pendientes.
Las empresas necesitan traducir sus evaluaciones de riesgo en planes de acción medibles, con responsables, plazos e indicadores. Revisar periódicamente estos resultados permite identificar brechas pendientes, ajustar las prioridades y orientar las inversiones hacia las necesidades reales de protección de la organización”, detalla la Product Data Manager de Ciberseguridad para Latinoamérica de TIVIT ALMAVIVA GROUP.
Responsables, plazos y decisiones documentadas
Después de identificar una brecha, corresponde definir quién la atenderá, qué recursos necesita y cómo se comprobará su cierre. Cuando una corrección no puede ejecutarse inmediatamente, conviene documentar la razón, las medidas temporales y la fecha de revisión.
El NIST también plantea utilizar perfiles organizacionales para priorizar resultados de ciberseguridad según los objetivos, las amenazas y los requerimientos de cada entidad. Esto permite comparar la situación actual con la que se necesita alcanzar. Fuente: CSRC
La revisión periódica debe permitir cambiar prioridades cuando cambian las condiciones. Un nuevo servicio expuesto, una adquisición empresarial o una dependencia crítica pueden modificar el riesgo aunque el presupuesto siga siendo el mismo.
Visión estratégica: continuidad para empresas de Perú y Latinoamérica
Para las organizaciones de la región, una decisión inicial es reunir a tecnología, seguridad y responsables de operación para identificar los servicios que no pueden detenerse y las dependencias que los sostienen.
Con ese mapa es posible evaluar si la siguiente inversión debe dirigirse a cerrar accesos, corregir vulnerabilidades, ampliar el monitoreo o fortalecer la recuperación. También permite revisar si las herramientas existentes están configuradas, integradas y atendidas por personal con capacidad de respuesta.
El presupuesto debe contemplar operación, mantenimiento y pruebas, además de adquisición. La pregunta para la dirección es concreta: qué riesgo se busca reducir, con qué evidencia se comprobará el avance y qué exposición permanecerá. Este proceso facilita decisiones justificadas, aunque ningún control elimina por completo la posibilidad de un incidente.
Glosario: conceptos para priorizar la protección
Activo crítico
Sistema, información o recurso cuya pérdida o interrupción afectaría de forma importante a la organización.
Vulnerabilidad
Debilidad que puede ser aprovechada para comprometer un sistema o su información.
Exposición
Condiciones que hacen que un activo pueda ser alcanzado o afectado por una amenaza.
Autenticación multifactor
Verificación de identidad mediante factores de categorías diferentes, como una contraseña y una llave de seguridad.
Remediación
Acciones para corregir una vulnerabilidad o reducir el riesgo asociado.
Contención
Medidas para limitar el alcance y los efectos de un incidente.
Recuperación
Restablecimiento de servicios y datos después de una interrupción.
Riesgo residual
Riesgo que permanece después de aplicar los controles y las medidas previstas.
Tu Opinión Nos Importa 🗣️
Me interesa conocer cómo se toman estas decisiones en tu organización. ¿La prioridad parte de los procesos críticos o de las herramientas disponibles? ¿Cuándo fue la última vez que comprobaron la recuperación de un servicio esencial?
Te invito a compartir tu perspectiva, sin revelar información sensible, con #ItusersAwards2026 y #superfan.
Apoya al Periodismo Independiente
¿Te sirvió en algo este contenido?, ayúdanos a combatir la Desinformación, dona desde S/ 1.00 a nuestro PLIN 943-438-457
