Proofpoint, Inc., líder global en ciberseguridad centrada en las personas y los agentes, publicó hoy su reporte Voice of the CISO 2026, el cual revela señales de una mayor resiliencia cibernética, incluso mientras la naturaleza del riesgo empresarial aumenta en complejidad. El porcentaje de CISOs mexicanos que considera que su organización está en riesgo de sufrir un ciberataque de impacto significativo en los próximos 12 meses disminuyó al 44%, frente al 80% en 2025, mientras que la pérdida significativa de datos reportada también descendió del 42% al 39%.
Sin embargo, estos avances no han simplificado el trabajo de los CISOs. El estudio global, realizado entre 1,600 CISOs de 16 países, revela que el riesgo se concentra cada vez más en las personas, los datos, las aplicaciones y los sistemas de IA integrados en el trabajo cotidiano. El 70% de los CISOs mexicanos identifica el riesgo humano como la mayor vulnerabilidad cibernética de su organización. Al mismo tiempo, las consecuencias de la pérdida de datos son cada vez más graves y los CISOs están asumiendo una mayor responsabilidad para habilitar el uso seguro de la IA: se espera que el 90% gestione riesgos relacionados con esta tecnología sin un aumento proporcional de recursos o experiencia durante los próximos dos años.
“La IA está cambiando fundamentalmente las responsabilidades del CISO”, señaló Patrick Joyce, Global Resident CISO de Proofpoint. “A los líderes de seguridad se les está pidiendo hacer dos cosas al mismo tiempo: proteger al negocio frente a los riesgos tecnológicos y ayudarlo a adoptar tecnologías transformadoras de manera segura y rápida. A medida que los asistentes de IA, copilotos, la automatización y las herramientas públicas de IA generativa se integran en los procesos empresariales cotidianos, se confía en los CISOs para habilitar la innovación y, al mismo tiempo, evitar que los datos confidenciales, los accesos privilegiados y los flujos de trabajo críticos queden expuestos. Esta doble responsabilidad se está convirtiendo rápidamente en uno de los desafíos que definen el rol”.
Entre los principales hallazgos para México del reporte Voice of the CISO 2026 se encuentran:
- Ahora se espera que los CISOs protejan e impulsen la IA. Las preocupaciones de seguridad en torno a la IA generativa aumentaron 14 puntos porcentuales interanuales, y actualmente el 70% de los CISOs mexicanos la considera un riesgo de seguridad. Al mismo tiempo, el 90% afirma que habilitar el uso seguro de asistentes de IA, copilotos y automatización será una prioridad durante los próximos dos años, mientras que otros nueve de cada diez (90%) deberán gestionar riesgos relacionados con la IA sin un incremento proporcional de recursos o experiencia.
- La resiliencia cibernética mejora, pero el modelo de riesgo está cambiando. Entre los CISOs mexicanos, la expectativa de sufrir un ciberataque de impacto significativo disminuyó del 80% en 2025 al 44% en 2026, mientras que la pérdida significativa de datos bajó del 42% al 39%. Sin embargo, el 45% de los CISOs todavía considera que su organización no está preparada para hacer frente a un ciberataque dirigido. La preocupación se concentra cada vez más en las tecnologías integradas en el trabajo cotidiano, incluidas las plataformas de colaboración (38%), las aplicaciones SaaS e integraciones de terceros (37%), los asistentes de IA, copilotos y agentes autónomos (34%), las herramientas públicas de IA generativa (28%) y las plataformas de almacenamiento e intercambio de archivos en la nube (22%).
- El mayor riesgo es el comportamiento de los empleados. Siete de cada diez CISOs mexicanos (70%) identifican el riesgo humano como la mayor vulnerabilidad cibernética de su organización. Entre las organizaciones que experimentaron una pérdida significativa de datos, las personas dentro de la organización que actuaron de forma maliciosa o delictiva fueron la principal causa (56%), mientras que los empleados negligentes y aquellos cuyas cuentas o accesos fueron comprometidos representaron el 44% y el 23%, respectivamente. Cabe destacar que el 92% de los CISOs de organizaciones que experimentaron una pérdida significativa de datos señala que los empleados que dejaron la compañía desempeñaron algún papel en estos incidentes.
- La pérdida de datos disminuye, pero sus consecuencias aumentan. Aunque la proporción de organizaciones en México que experimentaron una pérdida significativa de datos disminuyó ligeramente interanualmente del 42% en 2025 al 39% en 2026, el impacto empresarial para aquellas que sí sufrieron una pérdida de datos se volvió más grave. Las pérdidas financieras aumentaron del 21% al 36%, mientras que los costos de recuperación posteriores a un ataque pasaron del 50% al 54% y el daño reputacional aumentó del 40% al 44%.
- Los CISOs confían en sus defensas, pero no en los hábitos de sus empleados al utilizar IA. Si bien el 93% de los CISOs mexicanos considera que sus controles mitigan eficazmente los riesgos introducidos por la IA, las aplicaciones SaaS y los nuevos modelos de trabajo, el 69% cree que es probable que los empleados utilicen la IA de formas que podrían exponer datos confidenciales. Otro 69% está preocupado por la pérdida de datos de clientes a través de herramientas públicas de IA generativa, y el 73% bloquea o restringe el uso de IA generativa por parte de los empleados.
- Los consejos directivos escuchan más a los CISOs y, a cambio, también esperan más de ellos. El 93% de los CISOs en México afirma estar alineado con sus consejos directivos en materia de ciberseguridad, un aumento significativo frente al 79% registrado en 2025. Sin embargo, esta mayor alineación no está reduciendo la presión sobre los líderes de seguridad. Los consejos directivos evalúan el riesgo cibernético desde una perspectiva de negocio, considerando entre sus principales preocupaciones el valor empresarial, el tiempo de inactividad, el daño reputacional, la interrupción de las operaciones y la pérdida de datos confidenciales. El 68% de los CISOs mexicanos considera que se depositan expectativas excesivas sobre ellos y el 93% cree que debería exigirse experiencia en ciberseguridad a nivel de los miembros del consejo directivo, frente al 77% en 2025.
“Lo que estamos observando específicamente en México es una evolución alentadora: las organizaciones parecen estar fortaleciendo su resiliencia cibernética, pero este avance ocurre en un entorno de riesgos cada vez más complejo”, señaló Luis Isselin, director general de Proofpoint México. “Los riesgos están trasladándose cada vez más a las herramientas y los procesos de trabajo que las personas utilizan diariamente, particularmente a medida que la inteligencia artificial se integra en la forma en que los empleados trabajan y acceden a los datos. Para las organizaciones mexicanas, el siguiente desafío será consolidar estos avances mediante una gobernanza adecuada, mayor visibilidad y los recursos necesarios para adoptar la IA de manera segura, sin generar nuevas vulnerabilidades ni aumentar su exposición a los riesgos”.