amenazas Archivos - Consultora en Ciberseguridad y TI

5 agosto, 20265 agosto, 2026

La mesa de servicio como herramienta de prevención: más allá de cerrar tickets.

Gestión de incidencias y tickets en una mesa de servicio de TI

Hay un momento que los equipos de TI conocen muy bien.

El mismo usuario reporta el mismo problema por tercera vez en el mes. El equipo lo resuelve, cierra el ticket y sigue adelante. Nadie pregunta por qué sigue ocurriendo.

Ese ciclo, tan cotidiano y aparentemente inofensivo, es exactamente donde se pierde información valiosa sobre lo que está pasando en la infraestructura.

Los tickets no son solo solicitudes de soporte. Son datos. Y cuando nadie los analiza como tal, la mesa de servicio opera resolviendo síntomas mientras el problema de fondo sigue creciendo.

Lo que un ticket dice y lo que no dice

Cada vez que un usuario reporta una incidencia, está describiendo el efecto de algo. Una aplicación que tarda demasiado, una conexión que falla intermitentemente, un acceso que dejó de funcionar sin razón aparente.

El equipo de soporte resuelve el efecto. Restablece el acceso, reinicia el servicio, escala al área correspondiente. El ticket se cierra y el indicador de cumplimiento de SLA queda en verde.

Pero el origen del problema, en muchos casos, no se investiga. Y si nadie lo investiga, el mismo efecto volverá a aparecer. La semana que viene, el mes que viene, o en el peor momento posible.

La diferencia entre una mesa de servicio reactiva y una proactiva está precisamente ahí. No en la velocidad con la que cierra tickets, sino en la capacidad de reconocer cuándo varios tickets están contando la misma historia.

Los patrones que nadie está leyendo

Cuando se analizan las incidencias en conjunto, y no de forma aislada, empiezan a aparecer patrones que de otra manera serían invisibles.

Un incremento sostenido en tickets relacionados con la lentitud de una aplicación puede estar señalando un problema de capacidad en el servidor que la aloja. Una oleada de reportes de accesos fallidos en un área específica puede anticipar un problema de directorio activo antes de que afecte a toda la organización. Un aumento en incidencias de hardware en equipos de cierta antigüedad puede indicar que es momento de planear una renovación, no de seguir reparando.

Estas señales están ahí, en los datos que genera la mesa de servicio todos los días. El reto es tener la visibilidad y las herramientas para leerlas antes de que se conviertan en interrupciones mayores.

El costo de no verlo a tiempo

Cuando un problema de infraestructura no se detecta a tiempo, las consecuencias van más allá del ticket.

Una interrupción no planeada afecta la operación de toda la organización, no solo del usuario que la reportó. Genera retrabajo, consume tiempo del equipo técnico, impacta la percepción del área de TI y, en algunos casos, tiene consecuencias directas en la continuidad del negocio.

El costo de prevenir es casi siempre menor que el costo de remediar. Pero prevenir requiere visibilidad, y la visibilidad requiere que los datos que genera la mesa de servicio se usen como lo que son: inteligencia operativa.

De resolver tickets a gestionar problemas

Existe una distinción importante en el marco ITIL entre la gestión de incidencias y la gestión de problemas.

La gestión de incidencias busca restablecer el servicio lo más rápido posible. La gestión de problemas busca identificar y eliminar la causa raíz de las incidencias recurrentes. Las dos son necesarias, pero muchas organizaciones solo tienen activa la primera.

Activar la segunda no requiere empezar desde cero. Requiere mirar de forma diferente los datos que ya se están generando, identificar los patrones y escalar hacia las áreas correspondientes con evidencia concreta, no con suposiciones.

Plataformas especializadas en gestión de servicios de TI como Proactivanet están diseñadas precisamente para conectar esos puntos, permitiendo a los equipos identificar incidencias recurrentes, agrupar tickets relacionados y escalar hacia la causa raíz con la información necesaria para resolverla de fondo.

Pero más allá de las herramientas, el principio es el mismo para cualquier organización: una mesa de servicio que solo cierra tickets está dejando escapar la información más valiosa que tiene.

Para mantenerte informado y protegido, sigue las redes sociales de Nova en: Instagram, Facebook y LinkedIn, donde puedes encontrar más noticias y conocer las soluciones en ciberseguridad que ofrecemos.

#NovaInforma

15 julio, 202615 julio, 2026

6 mil millones de ataques en un mes. ¿Qué nos dice eso sobre el panorama actual?

Explotación de vulnerabilidades en aplicaciones web 2026

Marzo de 2026 quedó registrado como un mes histórico en el mundo de la ciberseguridad. Durante esas cuatro semanas, los sistemas de protección de aplicaciones web bloquearon más de 6 mil millones de intentos de explotación de vulnerabilidades. En un solo mes.

Para ponerlo en perspectiva: los ataques bloqueados durante todo el primer trimestre de 2026 ya representan el 60% de todo lo que se bloqueó a lo largo de todo 2025. Y 2025 ya había sido un año récord.

¿Qué está pasando exactamente? ¿Y por qué importa para cualquier organización que tenga presencia digital?

El problema ya no es solo la cantidad de ataques

Cuando hablamos de ciberseguridad, es fácil quedar atrapados en los números grandes. Millones de ataques, miles de millones de intentos, porcentajes de crecimiento que parecen sacados de un reporte financiero récord.

Pero el dato más relevante no es cuántos ataques están ocurriendo. Es qué tipo de ataques están creciendo más, y qué dice eso sobre cómo operan los atacantes hoy.

Según el análisis de tendencias del primer trimestre de 2026 publicado por Radware, partner estratégico de Nova, la explotación de vulnerabilidades representa casi el 62% de toda la actividad maliciosa bloqueada en aplicaciones web y APIs. Es la categoría dominante, y sigue creciendo.

Eso significa que los atacantes no están lanzando ataques genéricos al azar. Están buscando activamente puntos débiles específicos en los sistemas, vulnerabilidades conocidas que no han sido corregidas, configuraciones incorrectas, APIs expuestas sin los controles adecuados. Y cuando las encuentran, las explotan de forma sistemática y a gran escala.

¿Por qué las vulnerabilidades son tan difíciles de gestionar?

Aquí está el punto que muchas organizaciones no tienen claro todavía.

Descubrir que un sistema tiene una vulnerabilidad no es lo difícil. Lo difícil es corregirla a tiempo, antes de que alguien la encuentre y la aproveche. Y ese tiempo, la ventana entre que se descubre una vulnerabilidad y se parchea, se está reduciendo de forma dramática.

Los atacantes hoy tienen acceso a herramientas automatizadas que escanean internet constantemente en busca de sistemas vulnerables. Cuando se publica una vulnerabilidad nueva, el tiempo que pasa antes de que alguien intente explotarla puede ser de horas, no de días ni de semanas.

Las organizaciones que gestionan sus parches de forma manual, con ciclos mensuales o trimestrales, están operando con una lógica que ya no corresponde a la velocidad del problema.

Lo que está cambiando en la forma de atacar

Hay otro elemento en los datos del Q1 2026 que merece atención. Los ataques más frecuentes siguen siendo los más pequeños, los que pasan por debajo del radar de los sistemas de detección tradicionales. El 93% de los ataques Web DDoS registrados en este período estuvieron por debajo de los 100,000 requests por segundo.

Eso no es casualidad. Es una estrategia deliberada. Los atacantes saben que los sistemas de seguridad configurados para detectar picos grandes de tráfico no necesariamente van a identificar un volumen constante de actividad maliciosa que se mantiene por debajo de los umbrales de alerta.

La combinación de ataques pequeños y persistentes con la explotación activa de vulnerabilidades específicas es lo que hace que el panorama actual sea más difícil de manejar que el de años anteriores, donde los ataques grandes y ruidosos eran más fáciles de identificar y bloquear.

Lo que esto implica para tu organización

La pregunta que vale la pena hacerse no es si tu organización tiene vulnerabilidades. Todas las tienen. La pregunta es cuánto tiempo pasan expuestas antes de ser corregidas, y si tienes visibilidad suficiente para saber cuáles son las más críticas.

Una estrategia de seguridad madura no depende únicamente de tener buenas herramientas de protección. Depende también de tener procesos que permitan identificar y priorizar vulnerabilidades de forma continua, no en ciclos largos que dejan ventanas de exposición innecesariamente amplias.

En Nova acompañamos a las organizaciones en ese proceso, con soluciones que permiten tener visibilidad real sobre el estado de seguridad de sus sistemas y responder antes de que una vulnerabilidad se convierta en un incidente.

#NovaInforma

8 julio, 202610 julio, 2026

Zero Trust: cuando confiar en tu propia red se convierte en el mayor riesgo.

Modelo de seguridad Zero Trust: verificación continua de accesos en entornos híbridos y multinube

Durante décadas, la seguridad corporativa operó bajo una lógica simple: todo lo que estaba dentro de la red era confiable; todo lo que venía de afuera era sospechoso. Ese modelo funcionó bien cuando la oficina era el único lugar de trabajo, los datos vivían en servidores locales y las aplicaciones no se conectaban entre sí de formas complejas.

Ese mundo ya no existe.

Hoy los empleados trabajan desde casa, desde aeropuertos y desde redes que la organización no controla. Los datos viven en múltiples nubes. Las aplicaciones se integran con servicios externos. Y los atacantes aprendieron hace tiempo que el camino más fácil para entrar a una organización no es romper el perímetro; es encontrar a alguien con acceso legítimo y usar sus credenciales.

En ese contexto, confiar en algo solo porque está dentro de la red ya no es una política de seguridad. Es un riesgo.

¿Qué es realmente el modelo de seguridad Zero Trust?

El modelo de seguridad Zero Trust parte de una premisa muy concreta: nunca confíes, siempre verifica. No importa si la solicitud viene de dentro o de fuera de la red, de un dispositivo corporativo o personal, de un empleado o de un sistema automatizado; cada acceso debe verificarse antes de ser permitido.

Esto no significa desconfiar de las personas. Significa que la confianza no puede ser un estado permanente que se otorga una vez y no se revisa. En un entorno donde las amenazas evolucionan constantemente y las credenciales pueden ser comprometidas sin que nadie lo sepa de inmediato, la verificación continua es la única forma de mantener el control real sobre quién accede a qué.

Zero Trust no es un producto que se instala ni una tecnología específica que se compra. Es un modelo de pensamiento que transforma la forma en que una organización diseña, opera y mide su seguridad.

¿Por qué el perímetro tradicional ya no es suficiente?

El modelo de seguridad tradicional fue diseñado para proteger un perímetro claro: la red corporativa. Todo lo que estaba dentro era confiable por definición; todo lo que venía de afuera pasaba por controles estrictos.

El problema es que ese perímetro se disolvió. Las organizaciones migraron aplicaciones a la nube, adoptaron herramientas SaaS, habilitaron el trabajo remoto y conectaron sus sistemas con proveedores y partners externos. El resultado es un entorno donde los datos fluyen constantemente fuera de los límites tradicionales y donde la identidad de un usuario o dispositivo puede ser comprometida sin que los controles perimetrales lo detecten.

Un atacante que obtiene las credenciales de un empleado puede moverse dentro de la red con los mismos privilegios que ese empleado; sin romper nada, sin activar alertas volumétricas, sin dejar las huellas que los sistemas tradicionales están diseñados para detectar.

Eso es exactamente lo que el modelo de seguridad Zero Trust está diseñado para contener.

Los tres principios que sostienen Zero Trust

Aunque su implementación varía según cada organización, el modelo de seguridad Zero Trust se sostiene sobre tres principios fundamentales.

El primero es la verificación explícita: cada solicitud de acceso se autentica y autoriza de forma continua, considerando la identidad del usuario, el estado del dispositivo, la ubicación, el momento del día y el contexto de la solicitud. No basta con haber iniciado sesión correctamente una vez.

El segundo es el acceso con mínimo privilegio: cada usuario, dispositivo o sistema recibe únicamente el acceso estrictamente necesario para realizar su función. Nada más. Eso limita el daño potencial si una credencial es comprometida.

El tercero es la asunción de brecha: el modelo parte del supuesto de que una intrusión ya puede haber ocurrido o puede ocurrir en cualquier momento. Eso obliga a diseñar controles que contengan el daño y limiten el movimiento lateral dentro del entorno, en lugar de apostar todo a que el atacante no entre.

¿Cómo se aplica en entornos híbridos y multinube?

Uno de los mayores retos para implementar el modelo de seguridad Zero Trust en organizaciones de LATAM es la complejidad de los entornos actuales. La mayoría de las organizaciones no operan en un solo entorno; tienen infraestructura local, aplicaciones en la nube, herramientas SaaS y usuarios distribuidos geográficamente.

En ese contexto, Zero Trust requiere visibilidad unificada sobre todos esos entornos; la capacidad de aplicar políticas de acceso consistentes independientemente de dónde estén el usuario, el dispositivo o la aplicación; y mecanismos de detección que funcionen en tiempo real sin depender de perímetros fijos.

Palo Alto Networks ha desarrollado una plataforma diseñada específicamente para este escenario. Su arquitectura Prisma Access permite extender los principios de Zero Trust a entornos híbridos y multinube, aplicando verificación continua, segmentación de acceso y visibilidad centralizada desde una sola plataforma; independientemente de si el usuario está en la oficina, en casa o en cualquier otro lugar.

Lo que cambia para la organización

Adoptar el modelo de seguridad Zero Trust no es un proyecto de tecnología; es una transformación en la forma en que la organización piensa y gestiona el acceso a sus recursos más críticos.

Las organizaciones que operan bajo este modelo tienen una ventaja concreta: cuando ocurre un incidente, el radio de impacto es significativamente menor. El movimiento lateral del atacante está limitado por los controles de mínimo privilegio. La detección es más rápida porque cualquier comportamiento fuera del patrón normal activa una revisión. Y la evidencia para responder al incidente está disponible porque cada acceso fue registrado y verificado.

En un entorno donde las amenazas evolucionan constantemente y los perímetros tradicionales ya no definen el límite de lo que se debe proteger, el modelo de seguridad Zero Trust ofrece un marco claro para gestionar el acceso, reducir la exposición y mantener el control sobre los activos más críticos de la organización.

#NovaInforma

1 julio, 20266 julio, 2026

El cibercrimen evolucionó. Así es como opera hoy

Ecosistema de cibercrimen e inteligencia artificial en 2026

Hay una frase que resume muy bien lo que está pasando en el mundo del cibercrimen hoy: los criminales ya no construyen el arma, ahora venden las balas.

Es una imagen sencilla, pero describe algo que cambió de fondo. El cibercrimen dejó de ser una actividad que requería conocimiento técnico avanzado, acceso a infraestructura especializada o años de experiencia en programación. Hoy opera más parecido a cualquier industria de servicios: con proveedores establecidos, catálogos de productos, esquemas de precios por suscripción y, en algunos casos, hasta soporte al cliente.

La inteligencia artificial está en el centro de esa transformación. Y entenderlo no es un asunto exclusivo de los equipos de TI, es algo que cualquier persona que tome decisiones dentro de una organización necesita tener en el radar.

De la experimentación a la industria

Hace tres años, los primeros servicios de IA para uso criminal eran poco más que experimentos ruidosos. Chatbots manipulados para saltarse restricciones de seguridad, herramientas para generar correos de phishing con mejor redacción, pruebas de concepto que circulaban en foros clandestinos y desaparecían en semanas.

Lo que vemos hoy es algo cualitativamente diferente: un mercado que maduró. Los actores que sobrevivieron no son aficionados que prueban cosas, son operaciones con modelos de negocio definidos, clientes recurrentes, reputación dentro del ecosistema criminal y capacidad real de adaptación cuando los controles de seguridad de los grandes proveedores se actualizan.

El patrón dominante no consiste en desarrollar modelos propios desde cero. Eso requeriría inversiones enormes en infraestructura y talento que la mayoría de estos grupos no tiene. En cambio, lo que hacen es explotar los modelos comerciales que ya existen, los mismos que usan millones de personas para trabajar todos los días, a través de técnicas cada vez más sofisticadas para evadir sus restricciones de seguridad.

Cada vez que una compañía de inteligencia artificial invierte en mejorar sus controles, el ecosistema criminal lo analiza, lo prueba y busca la forma de rodearlo. Es una carrera que no tiene línea de llegada.

Trend AI, uno de los líderes globales en ciberseguridad y partner estratégico de Nova, lleva años rastreando esta evolución. Sus conclusiones son consistentes: el cibercrimen ya opera con la misma lógica de optimización, especialización y escala que cualquier industria formal. Y eso cambia la conversación sobre cómo protegerse.

Los deepfakes ya no son novedad, son una herramienta de trabajo

Uno de los cambios más significativos que hemos visto en los últimos años es lo que ocurrió con los deepfakes, esa tecnología capaz de generar imágenes, videos y voces sintéticas prácticamente indistinguibles de las reales.

Lo que hace unos años requería equipos especializados, software costoso y horas de procesamiento, hoy está disponible de forma gratuita o a precios mínimos, accesible literalmente para cualquier persona con conexión a internet y diez minutos de tiempo.

Las implicaciones para las empresas son muy concretas. Los esquemas de fraude donde alguien suplanta la identidad de un director general o un director financiero para autorizar transferencias bancarias urgentes ya existían antes como correos electrónicos o llamadas telefónicas. Ahora incorporan video en tiempo real y voz clonada que hace prácticamente imposible la verificación a simple vista, incluso para personas que conocen bien a quien supuestamente están viendo o escuchando.

Pero el problema va más allá del fraude financiero directo. Hay casos documentados donde personas con identidades completamente fabricadas, apoyadas en fotografías alteradas, historiales laborales inexistentes y tecnología de síntesis de voz, superaron procesos de contratación completos en empresas de tecnología. Accedieron a sistemas internos, a información confidencial y, en algunos casos, mantuvieron ese acceso durante meses antes de ser detectadas.

Lo que esto significa en términos prácticos es que los procesos de verificación que muchas organizaciones consideraban suficientes, una videollamada de validación, una revisión de documentos, una entrevista, ya no garantizan lo que garantizaban antes. La tecnología que permite falsificar esas interacciones está al alcance de cualquiera.

Malware que se escribe solo

Hay otro desarrollo que empieza a tomar forma y que vale la pena entender aunque todavía esté en etapas tempranas: la aparición de malware que usa inteligencia artificial para generar su propio código malicioso en tiempo real, de forma diferente en cada dispositivo que infecta.

La lógica tradicional de los sistemas de seguridad se basa en reconocer patrones conocidos. Si un software malicioso tiene una firma identificable, una forma característica de comportarse, los sistemas aprenden a detectarlo y bloquearlo. Ese modelo funciona bien cuando el código del atacante es siempre el mismo.

Pero ¿qué pasa cuando el malware puede reescribirse a sí mismo con cada nueva instalación? Cada variante es diferente, cada infección produce un código que los sistemas de seguridad todavía no han visto. La detección por patrones conocidos deja de funcionar como defensa primaria.

Por ahora, esta técnica tiene limitaciones reales que frenan su adopción masiva. Descargar un modelo de inteligencia artificial completo con cada infección requiere mucho tiempo, consume recursos enormes y resulta difícil de pasar desapercibido. Los criminales saben eso. Pero el ecosistema criminal tiene un historial muy claro de superar obstáculos técnicos cuando el incentivo económico es suficiente y cuando las herramientas se vuelven más accesibles.

Lo que hoy es una limitación práctica puede dejar de serlo en un plazo relativamente corto.

Lo que esto significa para tu organización

La conclusión más importante de todo esto no es técnica. Es organizacional, y aplica independientemente del tamaño o sector de la empresa.

El cibercrimen ya opera con la misma lógica económica que cualquier otra industria. Tiene costos, tiene rendimientos esperados y tiene competencia. Eso significa que los atacantes, como cualquier actor económico, calculan si el esfuerzo que requiere comprometer a una organización específica justifica el resultado que esperan obtener.

Las organizaciones que invierten en reducir su exposición, que trabajan en detectar amenazas antes de que escalen y que cuentan con una estrategia de seguridad construida por capas no se vuelven invulnerables. Ninguna estrategia garantiza eso. Pero sí se vuelven objetivos considerablemente menos atractivos en un mercado donde los atacantes también hacen sus cálculos.

Y en un ecosistema donde las herramientas para atacar son cada vez más accesibles y baratas, la diferencia entre una organización que tiene una estrategia de seguridad sólida y una que no, se vuelve más relevante, no menos. Esa es la lógica detrás de construir una arquitectura de ciberseguridad por capas, con vendors especializados, con visibilidad real sobre lo que ocurre en los sistemas y con capacidad de respuesta antes de que un incidente se convierta en una crisis.

#NovaInforma

10 junio, 202610 junio, 2026

Ataques a aplicaciones web y APIs: la amenaza que ya opera en el corazón de tu negocio

Durante años, la conversación sobre ciberseguridad giró alrededor de la red. Firewalls, perímetros, tráfico entrante y saliente. Esa visión no está equivocada, pero está incompleta.

Los datos más recientes del panorama global de amenazas revelan algo que los equipos de seguridad ya están sintiendo en su operación diaria: los ataques a aplicaciones web y APIs se han convertido en el principal frente de actividad del cibercrimen moderno, no como una proyección futura, sino como una realidad que lleva varios trimestres acelerando y que en 2026 sigue ganando terreno.

Entender qué está pasando en esta capa, por qué los enfoques tradicionales no son suficientes y qué implica para la operación de cualquier organización en LATAM es hoy, una conversación obligada para cualquier líder de TI o seguridad.

Ataques a aplicaciones web y APIs: los números que explican la tendencia

El volumen de transacciones maliciosas dirigidas a aplicaciones web y APIs creció 128% en 2025 comparado con el año anterior. Pero lo más revelador no es el número total sino el ritmo al que se aceleró durante el año.

La actividad registrada en los primeros seis meses de 2025 ya equivalía al 87% de todo lo registrado durante 2024. Y el segundo semestre creció otro 63% sobre el primero. En el cuarto trimestre de 2025 se mitigaron más de tres veces los ataques del mismo período del año anterior.

Ese patrón de aceleración sostenida es la señal más importante. No estamos ante un pico puntual, estamos ante una tendencia estructural que sigue activa y que las organizaciones que no han ajustado su postura de seguridad ya están enfrentando en tiempo real.

Por qué los ataques a aplicaciones web y APIs son diferentes

Los ataques volumétricos como los DDoS buscan saturar la infraestructura con tráfico masivo, son visibles, ruidosos y relativamente predecibles en su forma de operar.

Los ataques a aplicaciones web y APIs funcionan de forma distinta. Apuntan a la lógica del negocio, a los procesos que las aplicaciones ejecutan, a los datos que las APIs exponen y a los flujos de autenticación que protegen las cuentas de usuarios.

En 2025, la explotación de vulnerabilidades se consolidó como la categoría dominante de ataque en esta capa, representando el 41.8% de toda la actividad maliciosa. Esto indica que los atacantes están dejando atrás los vectores más predecibles como el SQL injection, cuya participación cayó a la mitad, para enfocarse en fallas más complejas y evasivas que los sistemas tradicionales de detección tienen más dificultad para identificar.

El declive del SQL injection no es una buena noticia, es una señal de que los adversarios están migrando hacia métodos más sofisticados que atacan la lógica de negocio y las APIs no gestionadas, como puntos de entrada prioritarios.

Los bots maliciosos: el motor silencioso detrás de los ataques a aplicaciones web y APIs

Detrás de gran parte de esta actividad hay un componente que muchas organizaciones subestiman: los bots maliciosos. En 2025 las transacciones de bots maliciosos crecieron 91.8%, casi duplicando el volumen del año anterior.

Esto no son scripts simples que lanzan solicitudes repetitivas; son redes coordinadas de bots que ejecutan reconocimiento, prueban credenciales, manipulan inventarios, realizan scraping de datos sensibles y preparan el terreno para ataques más complejos, como la toma de control de cuentas.

La región de América Latina no es ajena a esta tendencia. La participación de la región en el tráfico global de bots maliciosos creció de 13.4% a 15.2% en 2025. Un incremento que refleja que los actores de amenaza están ampliando su alcance geográfico y que las organizaciones en LATAM están cada vez más en el radar.

Lo que esto implica para las organizaciones en 2026

La buena noticia es que esta tendencia no es invisible ni imposible de gestionar. Los datos disponibles permiten entender exactamente dónde se están concentrando los riesgos y qué tipo de controles hacen diferencia real.

Las organizaciones que están respondiendo mejor a este panorama comparten algunas características: tienen visibilidad sobre el tráfico que llega a sus aplicaciones y APIs, no solo sobre el tráfico de red. Pueden distinguir entre tráfico legítimo y automatizado malicioso usando análisis de comportamiento, no solo firmas estáticas, y tienen procesos de remediación que no dependen únicamente de esperar a que se publique un parche, sino que pueden actuar sobre la exposición mientras la solución definitiva se prepara.

Los ataques a aplicaciones web y APIs seguirán siendo un frente activo en 2026. La diferencia entre las organizaciones que lo navegan con control y las que reaccionan cuando ya ocurrió el incidente, está en la visibilidad y en la capacidad de operar el riesgo de forma continua, no episódica.

La capa de aplicación es donde vive la lógica del negocio y es exactamente ahí donde las defensas modernas tienen que estar.

#NovaInforma

20 mayo, 202620 mayo, 2026

Ciberseguridad sin claridad: el problema que ninguna herramienta resuelve sola.

Modelo CROC de Nova para gestión de riesgo cibernético en empresas

Hay una conversación que ocurre con frecuencia en las salas de consejo de empresas en América Latina. Alguien pregunta: ¿qué tan expuestos estamos hoy ante un ciberataque? Y la respuesta, casi siempre, es una combinación de datos técnicos, nombres de herramientas y porcentajes que no le dicen nada concreto a quien toma las decisiones.

No es un problema de tecnología. Es un problema de traducción.

Muchas herramientas, poca claridad

La mayoría de las organizaciones medianas y grandes en la región ya tienen inversiones significativas en ciberseguridad. Tienen soluciones de detección, gestión de vulnerabilidades, protección en la nube y monitoreo de red. El problema no es la ausencia de herramientas. Es que todas esas herramientas generan señales que viven en silos, que hablan lenguajes distintos y que no se traducen en una respuesta clara a la pregunta más importante: ¿cuánto riesgo real tiene mi organización hoy?

Cuando un director general o un CFO no puede responder esa pregunta con certeza, la ciberseguridad deja de ser una función estratégica y se convierte en un gasto difícil de justificar. Las inversiones se hacen por intuición, no por evidencia. Las prioridades se definen por urgencia, no por impacto. Y los equipos de seguridad operan en modo reactivo, atendiendo alertas sin contexto, sin saber cuáles realmente importan.

Ese es el problema estructural que CROC resuelve.

De alertas a decisiones: qué es el modelo CROC

El Nova CROC, Cyber Risk Operations Center, es un modelo estratégico desarrollado por Nova para gestionar el riesgo cibernético de forma continua, proactiva y conectada al impacto del negocio. No es una herramienta. No es un software. Es un modelo operativo que cambia la forma en que una organización entiende, mide y actúa sobre su exposición al riesgo.

La diferencia con el enfoque tradicional es de fondo. La ciberseguridad convencional está centrada en alertas e incidentes. CROC está centrado en exposición y decisiones. No se trata de saber cuántos eventos de seguridad ocurrieron esta semana. Se trata de saber qué activos críticos están expuestos hoy, qué tan probable es que sean explotados y cuánto le costaría a la organización si eso ocurriera.

Ese cambio de perspectiva transforma completamente la conversación entre el área de seguridad y la dirección general.

El índice de riesgo cibernético: un número que todos pueden entender

Uno de los elementos más concretos del modelo CROC es el Índice de Riesgo Cibernético, conocido como CRI. Su propósito es simple pero poderoso: traducir información técnica compleja en una métrica comprensible que cualquier tomador de decisiones pueda interpretar y actuar sobre ella.

En lugar de presentar al consejo una lista de vulnerabilidades con códigos CVE y niveles de severidad técnica, el CRI responde una pregunta directa: ¿dónde está concentrado el riesgo real de la organización y cuánto podría costar un incidente hoy?

Eso es lo que permite tomar decisiones de inversión con base en evidencia. Asignar presupuesto donde el impacto es mayor. Priorizar acciones no por lo que genera más ruido, sino por lo que representa mayor exposición al negocio.

Cómo opera en la práctica

CROC funciona sobre cinco principios que se retroalimentan de forma continua. Primero, la contextualización de activos: entender qué existe en el entorno digital de la organización, desde endpoints hasta aplicaciones en la nube, y por qué cada uno es crítico. Segundo, la medición continua del riesgo a través del CRI. Tercero, la mitigación estratégica y proactiva, implementando controles antes de que las amenazas se materialicen. Cuarto, el monitoreo continuo de la postura de seguridad con ajustes basados en impacto real. Y quinto, la mejora constante como ciclo permanente, no como proyecto puntual.

Este modelo se integra con las herramientas que la organización ya tiene, XDR, EDR, gestión de vulnerabilidades, seguridad de nube, SIEM, consolidando sus señales en una visión unificada de riesgo. No reemplaza la inversión existente. La hace más inteligente.

Lo que cambia para la organización

El resultado de operar bajo el modelo CROC no es solo técnico. Es estratégico. Una organización que implementa este modelo conoce su nivel real de exposición, puede priorizar con inteligencia, actúa antes de que ocurra el incidente y convierte la ciberseguridad en una función alineada al negocio.

Eso tiene un impacto directo en cómo el área de seguridad se relaciona con la dirección general, con el consejo y con los reguladores. Ya no se trata de reportar incidentes. Se trata de gestionar riesgo con evidencia, con métricas y con criterio de negocio.

Para los líderes que hoy enfrentan la presión de justificar inversiones en seguridad, de demostrar que sus controles son efectivos y de anticiparse a amenazas que evolucionan constantemente, CROC representa exactamente eso: claridad donde antes había incertidumbre y decisiones donde antes había reactividad.

Si quieres profundizar en cómo CROC evoluciona el modelo tradicional del SOC, puedes leer nuestro artículo Del SOC al CROC: eventos vs exposición real al riesgo.

#NovaInforma

13 mayo, 202614 mayo, 2026

Cuando el ataque dura 60 segundos y tu respuesta tarda horas.

Los ataques DDoS crecieron 168% en 2025. El problema ya no es el volumen: es que ocurren más rápido de lo que cualquier equipo puede responder.

Hubo un tiempo en que un ataque DDoS era predecible. Venía con volumen, duraba horas y daba margen para reaccionar. Ese modelo ya no existe.

En 2025, el panorama cambió de forma estructural. Los ataques no solo crecieron en número, crecieron en velocidad, en escala y en inteligencia. Y esa combinación está dejando a muchos equipos de seguridad respondiendo a algo que ya terminó antes de que pudieran reaccionar.

El problema de los 60 segundos

El reporte global de amenazas 2026 de Radware documenta algo que debería cambiar la forma en que cualquier organización piensa su defensa: la mayoría de los ataques DDoS de mayor escala registrados en 2025 duraron menos de 60 segundos. Algunos de los más voluminosos, atribuidos a la botnet Aisuru, no superaron los cinco minutos.

Esto no es un detalle técnico menor. Es un cambio operativo fundamental.

Si tu modelo de respuesta depende de que un analista detecte el ataque, evalúe la situación, escale el incidente y active una mitigación, ya perdiste. El ataque terminó. Y el daño, dependiendo del objetivo, ya ocurrió.

Los atacantes lo saben. Por eso diseñan campañas algorítmicas que rotan vectores de ataque más rápido de lo que un operador humano puede procesar. Inundaciones UDP, carpet bombing, reflexión y amplificación, todo en secuencia y en cuestión de minutos. No están improvisando. Están ejecutando.

Un crecimiento que no es incremental.

Los números del reporte de Radware son difíciles de ignorar. Los ataques DDoS de red crecieron 168% en 2025 comparado con 2024. En la segunda mitad del año, el cliente promedio enfrentó más de 25,000 ataques, lo que equivale a un promedio de 139 por día.

Al mismo tiempo, los ataques DDoS web crecieron más del 100%, con un patrón que también cambió: el 94% de los eventos fueron ataques pequeños, por debajo de 100,000 solicitudes por segundo. Más frecuentes, más persistentes y diseñados precisamente para evadir los sistemas de detección volumétrica tradicionales.

Esto no es ruido. Es una estrategia deliberada. Los actores más sofisticados aprendieron que no necesitan el ataque más grande para causar impacto. Necesitan el ataque más difícil de detectar.

Lo que esto significa para la operación.

Hay una tensión real en este escenario que vale la pena nombrar. Por un lado, los ataques de mayor escala, algunos superando los 29.7 terabits por segundo, exigen infraestructura capaz de absorber volúmenes que hace pocos años eran impensables. Por otro, los ataques más frecuentes y pequeños exigen precisión de detección, no solo capacidad de absorción.

Ninguno de los dos extremos se resuelve con los mismos controles.

Un equipo que confía en umbrales volumétricos para detectar amenazas va a pasar por alto el 94% de los eventos. Un equipo que depende de intervención manual no va a responder en 60 segundos. Y un equipo que no tiene visibilidad en tiempo real sobre su superficie expuesta no va a saber qué proteger primero.

El reporte de Radware es claro en su conclusión: la defensa moderna requiere automatización, escala masiva e inteligencia integrada. No como aspiración futura, sino como condición operativa del presente.

La implicación para LATAM

América Latina no es un espectador en este panorama. La región registró un crecimiento del 146% en ataques DDoS web durante 2025, con un aumento significativo en amenazas automatizadas dirigidas a aplicaciones y APIs. Los actores de amenaza están diversificando su infraestructura y ampliando su alcance geográfico.

Para las organizaciones en la región, esto plantea una pregunta concreta: ¿está tu arquitectura de seguridad diseñada para responder en segundos o en minutos?

La diferencia entre ambas respuestas ya no es técnica. Es operativa. Y en muchos casos, es la diferencia entre un incidente contenido y uno que termina en los titulares.

Operar el riesgo, no solo detectarlo.

Lo que describe el reporte de Radware no es solo una evolución de las amenazas. Es una señal de que el modelo de seguridad reactivo tiene un límite de vigencia y ese límite ya se alcanzó.

Las organizaciones que van a navegar este entorno con éxito son las que dejen de pensar en la seguridad como una función de respuesta y empiecen a operarla como una función de gestión continua. Visibilidad en tiempo real, detección automatizada, mitigación sin intervención humana y capacidad de sostener la defensa no solo durante el pico del ataque, sino durante las horas que siguen.

El ataque de 60 segundos no es el problema. El problema es tener una respuesta que tarda más que eso.

#NovaInforma

29 abril, 202630 abril, 2026

frontera de la IA: por qué la defensa del futuro es una operación de riesgo en tiempo real

Escucha este artículo aquí:

La ciberseguridad siempre ha tenido una ventaja implícita: el tiempo. Detectar, investigar y responder solía ser suficiente para contener la mayoría de los incidentes antes de que escalaran. Esa ventaja se está erosionando.

Con la llegada de modelos de IA avanzados, los atacantes ya no dependen únicamente de habilidades humanas o ciclos manuales. Ahora pueden automatizar la búsqueda de vulnerabilidades, encadenar fallas en sistemas complejos y ejecutar ataques a una velocidad que reduce drásticamente la ventana de reacción de las organizaciones.

El mensaje de fondo de iniciativas como Unit 42 Frontier AI Defense de palo alto networks es claro: el modelo tradicional de defensa ya no escala frente a ataques impulsados por IA.

El cambio clave: de ataques humanos a ataques autónomos

Lo que está cambiando no es solo la velocidad, sino la naturaleza del atacante.

Los ataques ya no son necesariamente lineales ni manuales. Un sistema impulsado por IA puede:

explorar superficies de ataque completas en minutos,
identificar vulnerabilidades encadenables,
y ejecutar secuencias de explotación sin intervención humana constante.

Esto genera un problema estructural: la defensa tradicional está diseñada para interpretar eventos, no para competir contra sistemas que operan en ciclos mucho más cortos.

En ese contexto, el tiempo entre “detección” y “respuesta” deja de ser una métrica operativa… y se convierte en una variable de riesgo.

El verdadero problema no es la IA, es la velocidad compuesta

Cuando los ataques son automatizados, no solo se vuelven más rápidos. También se vuelven iterativos.

Un atacante puede probar múltiples variantes de explotación en paralelo, ajustar rutas de ataque en tiempo real y escalar intentos sin costo marginal relevante. Esto genera lo que se puede entender como “velocidad compuesta”: cada iteración mejora la siguiente.

En ese escenario, la exposición no es estática. Cambia mientras la organización todavía está investigando lo que ocurrió.

Qué propone este nuevo enfoque de defensa

El planteamiento de Unit 42 de palo alto networks va en una dirección interesante: mover la seguridad hacia una lógica de tres capas operativas:

Primero, identificar la exposición antes de que sea explotada, entendiendo qué vulnerabilidades realmente pueden encadenarse en un ataque real.

Segundo, reducir la superficie de ataque de forma estructural, no solo parcheando incidentes aislados.

Tercero, modernizar la operación de seguridad para responder en tiempo real, apoyándose en automatización y analítica avanzada para acortar los ciclos de decisión.

Más allá del nombre de la iniciativa, el concepto clave es este: la defensa ya no puede depender de ciclos humanos tradicionales.

De detección de incidentes a operación del riesgo

Aquí es donde este enfoque conecta directamente con la evolución que hemos venido trabajando en la serie CROC.

Un SOC tradicional está optimizado para detectar y responder eventos. Pero en un entorno donde la IA acelera el ciclo completo del ataque, eso ya no es suficiente.

Lo que empieza a tomar relevancia es otro enfoque: operar la exposición de forma continua.

Eso implica cambiar la pregunta central de seguridad:

De “¿qué pasó?”
A “¿qué es explotable ahora mismo y qué impacto tendría?”

Ese cambio es sutil, pero profundo. Porque convierte la seguridad en una función que no solo reacciona, sino que gestiona activamente la probabilidad de que un ataque ocurra con éxito.

El rol de la IA en defensa: no es opcional, es estructural

Así como los atacantes están usando IA para escalar su capacidad, la defensa también necesita apoyarse en sistemas inteligentes para analizar exposición, priorizar riesgos y acelerar decisiones.

No se trata de “automatizar el SOC” como un objetivo aislado. Se trata de algo más amplio: reducir el tiempo entre exposición y mitigación por debajo del ciclo del atacante.

En términos simples: si el atacante piensa en minutos, la defensa ya no puede pensar en horas.

Qué cambia para la organización

Este tipo de cambio no es solo tecnológico. Es operativo y estructural.

Para TI, significa que la gestión de vulnerabilidades deja de ser un proceso periódico y se convierte en un flujo continuo.
Para SecOps, implica que la priorización ya no puede basarse solo en severidad, sino en explotabilidad real en contexto.
Para el CISO, cambia la conversación: el foco deja de ser cuántos incidentes se atendieron y pasa a ser cuánto riesgo se redujo frente a un adversario que también evoluciona en tiempo real.

Conexión con CROC: el siguiente nivel de madurez

Este tipo de enfoques encajan naturalmente con la idea de un Cyber Risk Operations Center (CROC).

Porque cuando el adversario opera con IA, la seguridad deja de ser un sistema de alertas y pasa a ser un sistema de gestión continua de exposición.

Un CROC no compite con la velocidad del atacante desde la detección. La compite desde la reducción estructural del riesgo.

Y esa es la verdadera transición que está ocurriendo:
de defender eventos → a operar riesgo en tiempo real.
Para mantenerte informado y protegido, sigue las redes sociales de Nova en: Instagram, Facebook y LinkedIn, donde puedes encontrar más noticias y conocer las soluciones en ciberseguridad que ofrecemos.

#NovaInforma

22 abril, 202623 abril, 2026

visibilidad real: por qué el inventario “mensual” ya no sirve

Escucha este artículo aquí :

Durante mucho tiempo, el inventario de activos fue una de las bases más importantes de la gestión de TI. Saber qué equipos existen, qué software corren y dónde están ubicados era suficiente para construir una postura de seguridad razonable. El problema es que ese modelo nació en un entorno donde los cambios eran más lentos y predecibles.

Hoy ese supuesto ya no existe.

En entornos híbridos, con nube, trabajo remoto, dispositivos móviles, aplicaciones SaaS y despliegues continuos, la infraestructura cambia todos los días. Nuevos activos aparecen sin control centralizado, otros desaparecen, algunos cambian de configuración sin pasar por procesos formales, y muchos ni siquiera están correctamente registrados desde el inicio.

En ese contexto, un inventario mensual deja de ser una herramienta de control y se convierte en una fotografía histórica. Y en ciberseguridad, una fotografía del pasado no reduce el riesgo del presente.

El problema no es el inventario, es su caducidad

El error más común no es hacer inventarios, sino asumir que siguen siendo válidos cuando se consultan semanas después.

Entre un ciclo de inventario y otro pueden ocurrir decenas de cambios relevantes: endpoints que se conectan por primera vez, sistemas expuestos temporalmente a internet, usuarios con privilegios elevados que cambian de rol, o servicios que se levantan sin documentación adecuada.

Cada uno de estos cambios puede modificar la superficie de ataque. El riesgo no se detiene mientras esperamos el siguiente reporte.

En otras palabras: el inventario tradicional describe cómo era el entorno, no cómo es ahora.

Cuando la visibilidad de activos en tiempo real no es continua, el riesgo se mueve más rápido que la defensa

La visibilidad de activos no es solo una cuestión de control operativo, es una condición base para la gestión de riesgo. Si no sabes qué existe en este momento, no puedes evaluar qué está expuesto ni qué debería priorizarse.

El problema se amplifica porque los atacantes no trabajan con inventarios mensuales. Ellos exploran continuamente la superficie real, no la documentada. Cualquier desfase entre lo que existe y lo que se cree que existe se convierte en una ventana de oportunidad.

Este es uno de los puntos más críticos en la higiene de TI moderna: el riesgo se mueve en tiempo real, pero muchas organizaciones siguen operando con visibilidad periódica.

De inventario a visibilidad continua

La evolución natural del inventario no es hacer “mejores inventarios”, sino pasar a un modelo de visibilidad continua.

Esto significa tener una capacidad constante de identificar activos, cambios y relaciones dentro del entorno tecnológico. No como un ejercicio puntual, sino como un flujo operativo que refleja el estado actual del sistema.

Cuando la visibilidad es continua, cambia la forma en que se toman decisiones. Ya no se prioriza con base en lo que “se sabía” hace semanas, sino en lo que realmente está expuesto hoy.

Esto tiene un impacto directo en tres dimensiones:

Riesgo: se reduce la incertidumbre sobre la superficie real de ataque.
Operación: se eliminan esfuerzos duplicados y trabajo sobre activos inexistentes o irrelevantes.
Prioridad: se enfoca la remediación en lo que está activo y es relevante ahora, no en lo que lo fue.

El inventario estático crea falsas zonas de seguridad

Uno de los riesgos menos evidentes del modelo tradicional es la ilusión de control.

Cuando un inventario está actualizado “en papel”, es fácil asumir que la organización tiene visibilidad completa. Sin embargo, esa confianza puede ocultar activos no registrados, entornos temporales o configuraciones que cambiaron después del último corte.

Estas zonas ciegas no siempre son grandes o evidentes. A veces son pequeños desajustes entre realidad y documentación que, acumulados, crean un terreno fértil para exposición no controlada.

En seguridad, el problema no es lo que sabemos que existe, sino lo que creemos que no existe.

La higiene de TI como disciplina de visibilidad dinámica

En una higiene de TI moderna, la visibilidad no es un entregable, es una capacidad operativa.

No se trata de “tener un inventario”, sino de sostener una comprensión actualizada del entorno en todo momento. Esto permite que la organización deje de reaccionar a descubrimientos tardíos y empiece a operar con información viva.

Este enfoque es el que habilita modelos más avanzados de gestión de riesgo, donde la exposición no se calcula una vez al mes, sino de forma continua, alineada con la realidad del negocio y su infraestructura.

Qué cambia para la organización

Adoptar visibilidad continua de activos cambia más de lo que parece a primera vista.

Para TI, reduce el tiempo perdido en reconciliar inventarios desactualizados.
Para seguridad, mejora la precisión en la evaluación de exposición.
Para el negocio, disminuye la probabilidad de incidentes causados por activos desconocidos o mal gestionados.

Pero el cambio más importante es conceptual: la organización deja de confiar en estados estáticos y empieza a operar sobre un entorno dinámico.

Y en un entorno dinámico, la única forma realista de reducir riesgo es tener visibilidad en tiempo real.

#NovaInforma

15 abril, 202631 marzo, 2026

IA agente: cuando la IA deja de “responder” y empieza a actuar

Escucha este artículo aquí:

Durante el último par de años, muchas organizaciones empezaron a convivir con modelos de lenguaje (LLMs) como asistentes: redactan, resumen, responden dudas, ayudan a analizar información. En general, el riesgo se podía encerrar en un marco relativamente claro: lo que la IA “dice” puede ser incorrecto, puede filtrar información, o puede ser manipulada a través de prompts. Todo eso importa, pero tiene un límite: el LLM, por sí solo, no cambia tu realidad. Solo produce contenido.

La IA agente (agentic AI) rompe ese límite.

Radware lo plantea de forma contundente: los LLMs generan texto; la IA agente genera consecuencias. El salto de respuestas predictivas a acciones autónomas cambia por completo la ecuación de riesgo. Un agente acepta objetivos, planifica tareas en varios pasos, usa herramientas, llama APIs, actualiza registros y toma decisiones sin que necesariamente haya un humano aprobando cada movimiento.

Y cuando la IA puede actuar, la seguridad deja de ser un tema de “prompt y respuesta”. Se convierte en un tema de operación.

El “salto de autonomía”: por qué aquí cambia todo

Un LLM puede ayudarte a redactar un correo de atención al cliente. Un agente, en cambio, podría hacer algo como: consultar datos del cliente, validar un caso, emitir un reembolso, actualizar el CRM, y disparar un flujo de seguimiento. Ese ejemplo aparece como analogía directa en el texto de Radware, y es perfecto porque lo vuelve tangible: la IA ya no está en el dominio del contenido; está en el dominio de los procesos.

Ese cambio tiene tres implicaciones enormes para el riesgo:

1) La velocidad del error se comprime.
Entre un input malicioso y un resultado dañino puede pasar muy poco tiempo, porque el sistema está diseñado para ejecutar.

2) El “radio de impacto” crece.
Un mal prompt ya no solo produce una mala respuesta; puede desencadenar movimientos de datos, cambios en sistemas, decisiones operativas o impactos financieros.

3) El riesgo se vuelve sistémico.
El agente no vive aislado: se conecta a herramientas, identidades, memorias, pipelines, sistemas internos. Y eso amplifica cualquier debilidad de gobierno.

Los riesgos no vienen solo de “lo que dice”, sino de “lo que puede hacer”

Cuando el agente puede usar herramientas, hay una pregunta que se vuelve inevitable para TI y seguridad: ¿qué permisos tiene?

En el mundo clásico, el problema era: “¿qué información vio el modelo?”.
En el mundo agentic, el problema es: “¿qué acciones tiene permitido ejecutar el sistema?”.

Radware enfatiza que, una vez que el AI puede actuar, la seguridad debe extenderse más allá de prompts y outputs y entrar en dominios como identidad, herramientas, memoria y gobernanza de runtime.

En lenguaje de negocio, el riesgo no es que la IA “se equivoque” al responder. El riesgo es que la IA se equivoque mientras opera: moviendo datos, generando transacciones, abriendo accesos, automatizando cambios o ejecutando procesos.

El punto ciego más común: confundir automatización con control

Un patrón que estamos viendo en muchas organizaciones es este: se implementan agentes para ganar velocidad, pero el gobierno se queda atrás. Se asume que “si el agente es útil”, entonces “es seguro”.

La realidad es más incómoda: la autonomía no solo multiplica productividad; también multiplica exposición si no existe un marco de control. Y ese marco no se resuelve con “buenas prácticas de prompts” únicamente. Necesita, como mínimo, cuatro pilares:

Identidad y privilegios mínimos para lo que el agente puede hacer.
Gobierno de herramientas y APIs: qué puede invocar, cuándo y con qué validaciones.
Memoria y contexto: qué recuerda, qué conserva y qué puede reusar (y qué no).
Monitoreo y enforcement en runtime: visibilidad de acciones, límites, bloqueos, auditoría.

No es un tema de paranoia. Es el equivalente moderno a lo que ya aprendimos con automatización en IT: si automatizas un proceso sin controles, automatizas también el error.

Dos escenarios “antes y después”

Imagina un agente que ayuda a soporte y finanzas a resolver casos en minutos. En el flujo normal, es brillante. Pero un atacante logra manipular el contexto (por ejemplo, inyectando instrucciones en datos que el agente consulta) y el agente ejecuta reembolsos o cambios de cuenta que “parecen” legítimos porque siguen el flujo. El daño no viene de un exploit tradicional; viene de abuso de autonomía: el agente hizo lo que estaba diseñado para hacer, pero bajo un contexto adverso.

Ahora piensa en un agente que “optimiza” procesos: actualiza tickets, crea accesos temporales, reinicia servicios, aplica cambios de configuración con base en diagnósticos. Si el agente tiene permisos amplios y el monitoreo es débil, cualquier error de razonamiento o manipulación de entrada puede convertirse en un cambio real en producción. No necesitas un atacante brillante; basta con una cadena de suposiciones incorrectas ejecutadas a máquina.

En ambos casos, el problema no es que la IA “alucine”. El problema es que la IA puede ejecutar.

Qué cambia para TI, SecOps y el CISO

Para TI, esto introduce una nueva disciplina: no basta con “integrar” un agente; hay que operar su ciclo de vida como un sistema crítico. Permisos, roles, auditabilidad, límites de acción, pruebas de abuso, y observabilidad se vuelven parte del estándar.

Para SecOps, los agentes agregan una nueva superficie de ataque: entradas manipulables, contextos contaminables, herramientas invocables, identidades automatizadas. El monitoreo debe evolucionar para incluir no solo “alertas”, sino trazabilidad de decisiones y acciones.

Para el CISO, el reto principal es de gobierno: el negocio va a pedir agentes por eficiencia. La pregunta es cómo habilitarlos sin crear una deuda de riesgo que explota después. Aquí el lenguaje de riesgo importa: autonomía = mayor productividad, sí, pero también mayor blast radius si no se diseña con controles.

Cómo se conecta con el enfoque CROC

En Nova, cuando hablamos de CROC, hablamos de operar el riesgo como un proceso continuo: ver exposición, priorizar, intervenir y verificar reducción.

La IA agente encaja perfecto como nuevo frente de exposición. No porque sea “mala”, sino porque cruza una línea: pasa de recomendar a ejecutar. Y eso exige un enfoque operativo, no solo políticas.

Un CROC aplicado a este problema significaría: mapear dónde hay agentes, qué sistemas tocan, qué permisos tienen, qué datos consumen, qué acciones ejecutan, qué tan verificables son sus decisiones, y qué guardrails existen en runtime. Es el mismo principio: convertir un riesgo emergente en un proceso manejable y medible.

La idea central

La IA agente no es “un LLM más”. Es un cambio de categoría.

Si tu IA puede actuar, tu seguridad debe proteger no solo lo que el modelo responde, sino lo que el sistema puede ejecutar: identidad, herramientas, memoria y gobierno operativo. Ahí es donde se juega la resiliencia, el cumplimiento y la confianza del negocio en la nueva economía agentic.

#NovaInforma