Lima, diciembre de 2025.– La falta de diagnósticos claros y evaluaciones regulares de riesgo está llevando a que gran parte de las empresas peruanas adopte una ciberseguridad reactiva, sin planes sólidos ni criterios para invertir de manera eficiente. Según la encuesta más reciente de Kaspersky, el 40% de las organizaciones no sabe cómo priorizar sus inversiones y opera sin una lectura precisa de su nivel real de protección.
Para los especialistas, esta brecha está generando decisiones imprecisas, baja capacidad de respuesta y un riesgo creciente frente a incidentes digitales cada vez más frecuentes y complejos.
Empresas actúan después del incidente
El estudio indica que el 56% de las organizaciones en Perú no realiza evaluaciones de riesgo de forma regular, lo que provoca que las medidas de protección se revisen solamente cuando ocurre un ataque o surge una alerta externa. Sin una metodología clara, los equipos de TI dejan de identificar vulnerabilidades y de desarrollar la resiliencia que exige el panorama de amenazas actual.
Aunque muchas empresas realizan simulaciones, el nivel de disciplina también es insuficiente:
- 52% las ejecuta cada mes,
- 30% de forma trimestral,
- y 82% no sigue ninguna rutina establecida para estas pruebas.
Este vacío operativo compromete la preparación real de los equipos ante un ciberataque.
Falta de estrategia y exceso de confianza
El reporte revela otro punto crítico: el 27% de los responsables encuestados no cuenta con una estrategia de seguridad clara. La ausencia de una directriz estructurada dificulta priorizar recursos, definir objetivos y establecer un nivel mínimo de protección.
Para Kaspersky, esto alimenta un fenómeno peligroso: la brecha entre la confianza que las empresas creen tener y el nivel real de seguridad que poseen. Cuando una organización sobreestima su protección, se vuelve más difícil justificar inversiones, corregir fallas y detectar puntos ciegos.
“Cuando una organización no tiene una lectura precisa de su situación en ciberseguridad, las decisiones de inversión se vuelven imprecisas y difíciles de justificar. La falta de métricas convierte el ROI en un cálculo incierto”, explicó Andrea Fernández, gerente general de la Región Sur de América Latina en Kaspersky. Agregó que un marco claro de madurez permite estructurar planes progresivos con resultados medibles y objetivos concretos.
Un enfoque pragmático para recuperar el control
Para revertir esta situación, Kaspersky recomienda adoptar un diagnóstico estructurado, ya sea mediante una evaluación de debilidades o un análisis de riesgos con metodologías reconocidas como el Análisis Factorial del Riesgo de la Información (FAIR).
Con un diagnóstico preciso, los equipos pueden identificar las áreas críticas que requieren inversión inmediata, justificar cada mejora con datos y establecer un camino claro hacia un nivel de protección alineado con las necesidades del negocio.
Fernández recordó que el aumento de ciberataques en empresas de todos los tamaños ha elevado la preocupación de los altos directivos, aunque los presupuestos siguen siendo un reto. Aun así, destaca que un enfoque pragmático “puede definir el nivel de protección adecuado, junto a la inversión y el tiempo necesarios para alcanzarlo”.
Del mínimo indispensable a estrategias más complejas
Según la ejecutiva, tanto pequeñas empresas que buscan establecer una base segura como grandes corporaciones que requieren un modelo avanzado pueden beneficiarse de este enfoque. Lo que cambia es el nivel de complejidad, no la lógica: identificar riesgos, priorizar recursos y medir resultados.
Las recomendaciones clave para mejorar la inversión
Para garantizar una mejora continua y medir el avance, Kaspersky propone cinco acciones esenciales:
- Establecer evaluaciones de riesgo trimestrales o semestrales.
- Realizar simulaciones de ataques mensuales o trimestrales, incluso en formatos simplificados.
- Definir indicadores de riesgo claros, vinculados a continuidad operativa e impacto en el negocio.
- Actualizar políticas y controles usando información de inteligencia de amenazas, y no solo por cumplimiento normativo.
- Alinear las inversiones con los resultados esperados, priorizando acciones que reduzcan la exposición y fortalezcan la gobernanza.
El informe completo del estudio puede descargarse en el reporte CISO 2025 de Kaspersky.