En 2023, uno de los bancos más grandes de América Latina —más de 15 millones de clientes, un equipo de más de 80 especialistas en ciberseguridad y un presupuesto anual superior a los 40 millones de dólares— sufrió una brecha crítica. No se trató de un ataque sofisticado ni de un exploit de clase mundial; fue consecuencia de algo más simple y común: no tenían claridad real sobre su postura de seguridad.

La organización contaba con firewalls next-gen, plataformas SIEM, EDR en miles de endpoints, un SOC 24/7 y políticas extensas. Pero el incidente reveló que detrás de esa aparente solidez había una brecha profunda: no entendían su exposición real al riesgo, no tenían claridad sobre sus capacidades de seguridad, y no operaban un modelo de gestión de riesgo alineado al negocio. En esencia, tenían controles, pero no capacidades.

Esta historia no es la excepción. Es la regla en bancos, infraestructura crítica, energía, manufactura, salud, retail y entidades públicas en toda la región. Y expone una verdad incómoda: tener herramientas no significa tener seguridad.

La confusión entre controles y capacidades

Durante años hemos observado cómo las organizaciones invierten en tecnologías de seguridad con la expectativa de que estas “resuelvan” el problema. Pero NIST CSF 2.0 introdujo un cambio conceptual fundamental: la seguridad no depende de cuántas herramientas posea una organización, sino de qué tan capaz es de utilizarlas para generar resultados consistentes.

Los controles —firewalls, MFA, EDR, políticas— son elementos aislados.
Las capacidades —gestión de identidades, gobernanza, monitoreo continuo, respuesta a incidentes— son competencias organizacionales que integran personas, procesos, tecnología y gobierno.

Un ejemplo claro es la identidad: una empresa puede afirmar “tenemos MFA”, pero eso no significa que cuente con una capacidad madura de Identity Governance. Si no puede gestionar ciclos de vida, accesos privilegiados, federación, integraciones con terceros, o riesgos derivados de identidades híbridas, tener MFA no reduce su riesgo; solo crea una ilusión de madurez.

Este tipo de brechas aparece constantemente, incluso en organizaciones “top tier”, y explica por qué tantas compañías con grandes presupuestos siguen presentando fallas graves.

 

 

Por qué fallan incluso los gigantes

A lo largo de más de 20 años de consultoría en ciberseguridad trabajando con empresas de misión crítica en toda LATAM, hemos identificado patrones recurrentes que limitan severamente la postura de seguridad:

1. Gestión de riesgo que no se usa para tomar decisiones

Muchas organizaciones tienen un risk register impecable… que nadie consulta.

• Los riesgos no se actualizan.
• Las evaluaciones se hacen por cumplimiento, no por estrategia.
• Las inversiones no reflejan el riesgo real.
• No existe un apetito de riesgo claro que guíe decisiones.

Esto convierte la gestión de riesgo en un ejercicio burocrático, no en una herramienta de gobierno.

2. Gobernanza sin ejecución

Es común encontrar documentos, comités y modelos formales, pero procesos que no operan en la realidad.

• Las políticas no se traducen en actividades medibles.
• Los comités discuten, pero no transforman.
• Las responsabilidades sobre el riesgo son difusas.
• Las tres líneas de defensa existen “en teoría”.

En consecuencia, la organización tiene estructura, pero no capacidad.

3. Dependencia excesiva de la tecnología

La inversión en herramientas no se traduce en reducción de riesgo.

• Herramientas aisladas, sin integración.
• Métricas que reportan “actividad” pero no “efectividad”.
• Falta de visibilidad en entornos OT, proveedores y la nube.
• Alert fatigue y operaciones saturadas.

La tecnología sin arquitectura, procesos y talento no es seguridad.

4. Cultura y talento insuficientes

La seguridad no es solo trabajo de los expertos; es un sistema humano.

• Los equipos de seguridad trabajan aislados.
• Los usuarios no conocen su rol como primera línea de defensa.
• No hay competencias definidas por rol.
• El talento crítico se desgasta y rota con rapidez.

Aquí es donde más organizaciones fallan… y donde la transformación real empieza.

Qué significa realmente “postura de seguridad”

La postura de seguridad no es un dashboard.
No es un puntaje de auditoría.
No es cumplir un checklist.

La postura de seguridad es la capacidad real de la organización para:

1. Comprender su contexto: industria, regulación, procesos críticos, superficie de ataque y amenazas relevantes.
2. Gestionar su riesgo: identificarlo, cuantificarlo y tomar decisiones alineadas al negocio.
3. Operar capacidades efectivas en las seis funciones del NIST CSF 2.0.
4. Detectar, responder y recuperarse de incidentes sin comprometer su continuidad.
5. Mantenerse dentro de su apetito de riesgo, incluso a medida que la empresa cambia.

La postura es dinámica, continua y profundamente ligada a la estrategia del negocio. No se logra con compras puntuales, sino con capacidades integradas, gobernanza sólida y talento preparado.

NIST CSF 2.0: el marco que impulsa capacidades, no controles

NIST CSF 2.0 plantea que la seguridad debe medirse en función de capacidades organizacionales. Esto cambia completamente la conversación. Ya no importa cuántas herramientas tienes, sino qué tan bien puedes:

• Gobernar tu programa,
• Entender tus activos y riesgos,
• Proteger lo que importa,
• Detectar actividad anómala,
• Responder con disciplina,
• Recuperarte y aprender.

Cada función refleja un conjunto de capacidades que requieren definición, operación, métricas y mejora continua. Y la mayoría de organizaciones está madura en unas pocas, pero inmadura en las que realmente importan.

Es precisamente esta brecha la que expone a tantas compañías: la diferencia entre lo que creen que pueden hacer y lo que realmente pueden hacer en caso de un incidente.

Cómo se ve un programa de gestión de ciber riesgo realmente sólido

Los programas exitosos comparten tres elementos esenciales:

1. Tienen un apetito de riesgo operacionalizado

El apetito de riesgo no es un documento; es un criterio de decisión.

Define qué riesgos aceptamos, cuáles no, qué impacto toleramos y qué escenarios son inaceptables. Cuando el apetito de riesgo guía la toma de decisiones, la ciberseguridad deja de ser un gasto reactivo y se convierte en una inversión estratégica.

2. Evalúan capacidades, no checklists

Una evaluación real exige:

• entrevistar a todas las líneas de defensa,
• entender procesos reales,
• revisar documentación,
• validar arquitectura,
• probar controles clave,
• medir madurez en niveles claros.

En Seccuri integramos todo este análisis en un modelo que permite ver no solo el nivel actual, sino la “salud” del programa y su capacidad de crecer.

3. Diseñan un roadmap basado en evidencia

Un roadmap efectivo no es una lista de compras.
Es la secuencia óptima de iniciativas que:

• reduce riesgo,
• cierra brechas,
• fortalece capacidades,
• y respeta la realidad operativa del negocio.

Incluye quick wins, cambios estructurales, inversiones y competencias necesarias por rol.

 

 

Las personas: el motor de la postura de seguridad

La tecnología no opera sola.
Las políticas no se cumplen solas.
Los incidentes no se resuelven solos.

Por eso la seguridad moderna depende del talento y de las tres líneas de defensa:

• Primera línea: todos los colaboradores digitales que operan procesos y sistemas.
• Segunda línea: los equipos de seguridad y riesgo con competencias técnicas y de gobierno.
• Tercera línea: auditoría interna con independencia y criterio técnico.

La mayoría de brechas ocurren por fallas humanas, culturales o organizacionales, no por tecnología insuficiente. La postura de seguridad empieza por el talento.

Cómo Seccuri transforma la postura de seguridad de una organización

En Seccuri combinamos 20+ años de consultoría en ciberseguridad y una plataforma global de talento y habilidades. Esto nos permite ayudar a empresas de todos los tamaños a evaluar, fortalecer y operar capacidades reales.

Nuestro enfoque incluye:

• Evaluación profunda de capacidades según marcos de trabajo como NIST CSF 2.0, con evidencia técnica y contexto de negocio.
• Definición y operacionalización del apetito de riesgo con los líderes ejecutivos.
• Construcción del Target Profile: el nivel de madurez requerido para operar dentro del apetito de riesgo.
• Roadmap estratégico 3–18 meses completamente accionable.
• Acompañamiento en ejecución para acelerar capacidades clave (IAM, SOC, OT, IR, terceros, continuidad) y solventar dudas del plan de trabajo propuesto.
• Desarrollo de competencias y cultura en todas las líneas de defensa.
• Mejora continua con métricas, visibilidad y niveles de madurez crecientes.

Nuestro valor es simple: convertimos controles dispersos en capacidades organizacionales reales, y eso reduce riesgo de verdad.

¿Tú entidad estás lista para dar el siguiente paso?

La mayoría de las organizaciones cree que está más madura de lo que realmente está.
Pero la seguridad no se mide por herramientas; se mide por capacidades.

Entender tu postura real puede evitar la próxima crisis y, sobre todo, puede construir un programa de seguridad resiliente, moderno y conectado al negocio.

Agenda una conversación con nuestros expertos aquí:
👉  https://calendly.com/seccuri-contact/30min?back=1&month=2025-06