El error humano no se elimina: se diseña alrededor de él

Un nuevo informe global de Kaseya confirma lo que muchos equipos de seguridad ya intuían: el mayor riesgo sigue estando en las personas. Pero el dato más revelador no es ese, sino cuánto confían las organizaciones en estar preparadas.

Hay una frase que se repite en casi todas las reuniones de seguridad: "El eslabón más débil es el usuario". Es cómoda porque ubica el problema afuera del equipo de seguridad. Y, según los propios profesionales de TI, se queda corta.

El Cybersecurity Report 2026 de Kaseya, basado en una encuesta a 1.132 proveedores de servicios gestionados (MSP) y profesionales de TI de más de 60 países, muestra que el factor humano sigue al frente de las preocupaciones. Pero también deja ver algo más incómodo: muchas organizaciones creen estar mejor preparadas de lo que pueden demostrar.

🎯 Lo que más preocupa no es una tecnología

Consultados por los riesgos de los próximos 12 meses, el 68% de los encuestados ubicó el error humano como el vector de ataque que más le preocupa. La categoría incluye la ingeniería social y la distracción. En segundo lugar aparece el correo electrónico, con el 55%.

Los dos datos cuentan la misma historia. El correo sigue siendo la puerta de entrada favorita porque del otro lado hay una persona apurada, con la bandeja llena y un mensaje que parece legítimo.

Cuando el informe mira hacia atrás, a las organizaciones que sufrieron incidentes en los últimos tres años, el patrón se confirma: cuatro de los cinco factores principales estuvieron vinculados a personas. Encabezan la lista:

• Las malas prácticas o la credulidad de los usuarios, con el 41%.
• La falta de formación en ciberseguridad, con el 40%.

🧠 El problema no es que la gente se equivoque

David Baggett, vicepresidente sénior de Kaseya, lo resume sin vueltas:

"Las personas no son perfectas, y todo el mundo lo sabe. El camino hacia una verdadera ciberresiliencia no pasa por eliminar los errores."

Es un cambio de enfoque importante. Durante años, muchas organizaciones trataron el error humano como una falla a corregir con una capacitación anual y una simulación de phishing ocasional. El resultado está en los números: la falta de formación sigue apareciendo como causa de incidentes.

La pregunta útil no es "¿Cómo hacemos para que nadie haga clic?". Es "¿Qué pasa en nuestra organización cuando alguien hace clic?".

Esa pregunta cambia las decisiones:

• Qué comportamientos medimos, más allá de la asistencia a un curso.
• Qué tan rápido una persona reporta algo sospechoso, y si sabe a quién.
• Qué controles limitan el impacto de un error antes de que se convierta en incidente.
• Qué áreas o roles concentran más exposición y necesitan un abordaje distinto.

📋 La brecha que nadie mide: creer que se cumple

El dato más interesante del informe está en el capítulo de cumplimiento.

El 65% de los encuestados cree que podría pasar una auditoría de cumplimiento sin prepararse. Pero cuando se les pregunta qué obstáculos encontrarían en esa revisión, las respuestas cuentan otra cosa:

| Obstáculo en una auditoría | % de encuestados |
| --- | --- |
| Documentación o políticas incompletas | 49% |
| Controles de seguridad no implementados por completo | 34% |
| Falta de concientización o formación del personal | 33% |

Es una brecha de autopercepción. La confianza está puesta en que la seguridad "funciona". La auditoría, en cambio, pregunta si se puede demostrar: políticas escritas, controles aplicados y evidencia de que las personas saben qué hacer.

Y vuelve a aparecer el factor humano. Uno de cada tres encuestados reconoce que la falta de formación sería un problema frente a un auditor.

💸 Más riesgo, el mismo presupuesto

El último dato explica parte de lo anterior. Solo el 20% de los departamentos de TI dice que su presupuesto de ciberseguridad crece al mismo ritmo que el riesgo real. El 77% se describe, de una u otra forma, con recursos insuficientes.

Con recursos ajustados, la tentación es invertir donde el resultado se ve: herramientas, licencias, tecnología. El problema es que el informe señala a las personas como el principal vector, y ahí la inversión suele ser la más chica y la menos medida.

Si el riesgo principal es humano y la inversión es mayormente tecnológica, la cuenta no cierra.

✅ Qué decisiones habilita este diagnóstico

Un aviso antes de las conclusiones: la encuesta refleja la mirada de MSP y equipos de TI, no la de toda la organización. Aun así, es la mirada de quienes atienden los incidentes, y eso le da peso.

Para un comité de riesgos o una gerencia de seguridad, el informe deja tres preguntas concretas:

1. ¿Medimos comportamiento o solo participación? Si la métrica principal de concientización es "porcentaje de personas que completaron el curso", no sabemos si el riesgo bajó.
2. ¿Podríamos demostrar hoy lo que decimos que hacemos? Antes de la próxima auditoría, conviene revisar si las políticas están documentadas, aprobadas y conocidas por quienes tienen que aplicarlas.
3. ¿Nuestro presupuesto refleja dónde está el riesgo? Si las personas son el principal vector, el programa de Human Risk necesita continuidad, objetivos y medición, igual que cualquier otra inversión de seguridad.

🔎 Diseñar para el error

La conclusión de fondo no es que las personas sean el problema. Es que las organizaciones más resilientes no apuestan a que nadie se equivoque: asumen que va a pasar y se preparan para que un error no se convierta en una crisis.

Eso empieza por saber dónde estás parado. Nuestro autodiagnóstico de ciberseguridad evalúa, en pocos minutos, 10 dimensiones de madurez, entre ellas cultura de ciberseguridad, cumplimiento y confianza, y gobierno y gestión de riesgos.

👉 Hacé el autodiagnóstico y descubrí dónde están tus brechas