1. Europa ya no le pregunta al área de sistemas: le pregunta al consejo
Lo publiqué en el blog de regreso de la PECB Conference 2026 en Roma. El tema que atravesó las conferencias fue uno: la ciberseguridad dejó de ser una responsabilidad que se delega hacia abajo.
El artículo 20 de la directiva NIS2 de la Unión Europea obliga a los órganos de dirección de las entidades esenciales e importantes a aprobar las medidas de gestión de riesgos de ciberseguridad y a supervisar que se implementen. Y contempla que puedan responder por el incumplimiento de la entidad. El mismo artículo exige algo más: capacitación en ciberseguridad para los integrantes del consejo.
No es sólo Europa. El 22 de mayo de 2026, Ecuador publicó en su Registro Oficial la Ley Orgánica para el Fortalecimiento de la Ciberseguridad, que incorpora el principio de responsabilidad compartida: cada operador responde por lo que está bajo su control.
En México no hay una ley equivalente, y las obligaciones de cada empresa dependen de su actividad, su información y sus contratos. Pero ésa es una pregunta de cumplimiento, y hay otra más útil: qué necesita tu empresa para seguir operando.
¿Por qué debe de interesarte?
La frase que mejor resume todo esto se dijo en Roma: «lo último que quieres es tener que pensar en medio de una crisis». Delegar la operación técnica es necesario; delegar la comprensión del riesgo es otra cosa. Si nadie en la dirección sabe cuánto puede operar la empresa sin sus sistemas, quién decide durante una crisis, o si el plan de respuesta se ha probado alguna vez, eso no es un pendiente del área de sistemas.
Fuente: El artículo completo, con las seis preguntas que la dirección debería poder contestar
2. Un atacante conectó un asistente de inteligencia artificial dentro de la red de sus víctimas
La firma de inteligencia de amenazas CloudSEK documentó un caso nuevo: un afiliado del grupo de secuestro de información The Gentlemen usó un asistente de programación con inteligencia artificial, conectado por MCP, para ejecutar acciones dentro de sistemas que ya había comprometido. Lo reportan como el primer caso público de MCP usado como canal de mando y control en una campaña criminal real, y alcanzó a más de dos docenas de organizaciones en seis países, entre ellos México.
Dos aclaraciones, porque es fácil contar esto mal. No hay una falla de seguridad en MCP: el abuso estuvo en cómo se usó, no en el software. Y la parte de inteligencia artificial está reportada con cautela: hay registro de la ejecución, pero no todos los detalles se pueden confirmar de forma independiente.
El reverso de esa noticia también lo publiqué. En Roma, Joseph Carson, de Segura, dio una charla titulada «The AI Dual-Use Dilemma» sobre exactamente esto: qué pasa cuando una herramienta hecha para ayudarnos recibe permisos suficientes para actuar sola. Su tesis es que el problema no es qué tan capaz es el agente, sino qué le permitimos hacer en nombre de la empresa: cada agente necesita identidad propia, un responsable humano con nombre, privilegio mínimo, registro de lo que hizo y una forma de revocarle el acceso de inmediato. Y dejó una prueba que casi nadie hace: probar qué pasa cuando el agente se equivoca. Lo conté completo en Agentes autónomos de IA: ¿quién tiene las llaves de tu empresa?
¿Por qué debe de interesarte?
Es la misma historia por los dos lados. Mientras se discute quién debe aprobar las medidas, el atacante ya le encargó el trabajo a un asistente, y adentro de tu empresa probablemente alguien ya conectó uno. Las preguntas no son técnicas: qué agentes hay, quién responde por cada uno, a qué información alcanzan, y si puedes detenerlos ahora mismo. Si no tienen nombre ni dueño, no son una herramienta: son una llave suelta.
3. El 79% de los incidentes informáticos pega al sector privado, y el sector privado mexicano son microempresas
Salles Sainz Grant Thornton publicó su lectura de los datos del INEGI: 43,116 incidentes de seguridad informática en México en los últimos dos años, de los cuales el 79% afectó al sector privado. Entre los obstáculos que identifica están el costo de las soluciones, la falta de personal especializado y, sobre todo, subestimar el riesgo.
Vale la pena poner ese 79% contra la forma del país. Según los resultados definitivos de los Censos Económicos 2024 del INEGI, en México operan 5,468,180 unidades económicas del sector privado y paraestatal, y el 95.4% son microempresas: diez personas o menos. Emplean al 41.4% del personal del país.
¿Por qué debe de interesarte?
Desarma la salida fácil. Los dos temas de arriba se pueden leer como cosas de corporativos europeos, y este número dice que no: el blanco es el sector privado, y el sector privado de este país está hecho de negocios de diez personas. Ninguno de ellos tiene un consejo de administración que apruebe medidas, lo cual no los exime de nada. En una empresa de diez personas, la alta dirección eres tú.
Fuente: INEGI, Censos Económicos 2024, resultados definitivos
Una cosa que puedes hacer esta semana
Escoge una sola de las seis preguntas del artículo y respóndela por escrito: ¿cuánto tiempo puede operar tu empresa sin sus sistemas?
No es una pregunta técnica. Es horas o días, y la respuesta la tienes tú, no tu proveedor. Si el número te incomoda, ya sabes qué sigue. Y si no tienes número, ése es el hallazgo.
No cuesta nada y toma diez minutos.
Marcela Mexía
Transformation Trends