El Mes de la Concientización sobre la Ciberseguridad 2026 de CISA deja un mensaje claro: los ataques son cada vez más rápidos y sofisticados —sobre todo con la IA avanzada en manos de los atacantes—, pero la mayoría de los riesgos se reducen drásticamente si todos aplicamos lo básico. La agencia organiza sus recomendaciones en tres bloques: personas, empresas e infraestructura crítica.
Cada octubre, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) publica su campaña de concientización. Aunque está pensada para Estados Unidos, sus recomendaciones son prácticas, gratuitas y perfectamente aplicables a cualquier organización peruana. Acabo de revisar el portal de la campaña y vale la pena resumirlo, con una mirada local.
Por qué importa ahora: ataques más rápidos, mismas puertas de entrada
La inteligencia artificial redujo el costo de atacar. Hoy un correo de phishing llega sin faltas de ortografía, imita el tono de tu gerente y se personaliza en segundos. Los ciclos entre que se publica una vulnerabilidad y aparece un exploit funcional se miden en días, a veces en horas. Pero hay un dato que se repite año tras año: la mayoría de los incidentes empieza por las mismas puertas —una contraseña reutilizada, un clic en un enlace falso, un equipo sin actualizar—. Cerrar esas puertas sigue siendo lo que más riesgo elimina por cada sol invertido.
Y sí, ya sé: ahora la inteligencia artificial ya no se llama inteligencia artificial. En el discurso de Trump pasó a llamarse "superinteligencia", como si con cambiarle el nombre se volviera más poderosa, más patriótica y, de paso, un producto americano listo para exportar. Rebautizada o no, la realidad es más modesta: a la mayoría de las empresas no las va a tumbar una IA omnipotente, sino el practicante que usa "qwer1234" en todas sus cuentas. Ninguna superinteligencia compensa una contraseña repetida.
1. Para todos: los 4 hábitos fundamentales
CISA no se complica con tecnicismos. Pide que todos cumplamos cuatro pasos básicos:
- Detectar y reportar el phishing: desconfiar de correos, SMS o mensajes de WhatsApp que generan urgencia, piden datos o traen enlaces y adjuntos inesperados. Y, sobre todo, reportarlos: un reporte a tiempo protege a todo el equipo.
- Usar contraseñas fuertes: claves largas (mejor una frase de cuatro o cinco palabras que una palabra con símbolos) y únicas para cada servicio.
- Activar MFA y usar un gestor de contraseñas: la autenticación en dos pasos bloquea la gran mayoría de los accesos con contraseñas robadas, y el gestor elimina la tentación de repetir claves.
- Actualizar el software: celular, PC, navegador y aplicaciones al día. Cada actualización cierra vulnerabilidades que los atacantes ya conocen.
2. Para empresas y pymes: el eslabón de la cadena de suministro
CISA pone el foco en las pequeñas y medianas empresas porque forman parte de la cadena de suministro de servicios esenciales: el proveedor de software de un banco, la empresa de transporte de una minera o el contratista de una entidad pública. Un incidente en una pyme puede terminar interrumpiendo a una organización mucho más grande. Sus recomendaciones para organizaciones de todos los tamaños:
- Tener un plan de respuesta a incidentes y probarlo: saber quién decide, a quién se llama y qué se apaga antes de que pase algo. Un plan que nunca se ensayó suele fallar el día que se necesita.
- Respaldar y cifrar la información: copias de seguridad periódicas, al menos una fuera de la red principal, y cifrado de la información sensible.
- Activar registros del sistema (logging): sin logs no hay forma de detectar anomalías a tiempo ni de reconstruir qué pasó después de un incidente.
- Prepararse para interrupciones operativas: definir cómo seguir operando si el correo, el ERP o la red dejan de funcionar por horas o días.
- Reportar los incidentes a la autoridad correspondiente.
En el Perú, este último punto tiene equivalentes concretos: el PeCERT (Centro Nacional de Seguridad Digital de la PCM) como canal de reporte y alertas, la ANPD cuando hay datos personales comprometidos (Ley N° 29733) y la SBS para las entidades supervisadas del sistema financiero (Resolución SBS N° 504-2021). Tener esos contactos identificados es parte del plan de respuesta.
3. Para infraestructura crítica: la regla de las "3R"
Para los operadores de energía, agua, transporte o salud, CISA propone las 3Rs of Cybersecurity:
- Reducir (Reduce): disminuir la superficie de ataque expuesta a internet. Cada servicio publicado, puerto abierto o acceso remoto sin control es una puerta más.
- Reemplazar (Replace): retirar los equipos y sistemas que ya no reciben actualizaciones de seguridad del fabricante (end-of-support).
- Recuperar (Recover): contar con la capacidad de restaurar operaciones rápidamente si se sufre un ataque.
Aunque la regla está pensada para infraestructura crítica, funciona igual de bien como hoja de ruta para cualquier empresa mediana. Así se traduce a acciones concretas:
| Principio | Pregunta clave | Acción concreta |
|---|---|---|
| Reducir | ¿Qué tenemos expuesto a internet que no debería estarlo? | Inventario de activos expuestos, pentesting externo y cierre de accesos remotos sin MFA. |
| Reemplazar | ¿Qué equipos o sistemas ya no reciben parches? | Lista de equipos end-of-support (servidores, firewalls, sistemas operativos) con plan de renovación priorizado por riesgo. |
| Recuperar | ¿En cuánto tiempo volvemos a operar si nos cifran todo? | Backups probados con restauraciones reales, RTO y RPO definidos y un simulacro al año. |
Un detalle interesante: la ciberseguridad también necesita otros perfiles
CISA aprovecha la campaña para impulsar la Semana de Carreras en Ciberseguridad (del 19 al 24 de octubre de 2026), con un mensaje que comparto plenamente: este sector no solo necesita programadores o ingenieros, sino también comunicadores, educadores, analistas y diseñadores. Buena parte de la seguridad depende de que las personas entiendan los riesgos, y eso se logra con buena comunicación, buena capacitación y procesos bien diseñados.
Checklist para empezar este mes
- Activar MFA en correo, VPN y aplicaciones críticas.
- Implementar un gestor de contraseñas corporativo.
- Programar una simulación de phishing y una charla breve para todo el personal.
- Revisar el inventario de equipos y marcar los que ya no reciben actualizaciones.
- Probar la restauración de un backup real, no solo verificar que el respaldo se ejecutó.
- Escribir (o actualizar) el plan de respuesta a incidentes con los contactos de PeCERT y, si aplica, ANPD y SBS.
Conclusión
La IA está acelerando los ataques, pero no cambió lo esencial: lo básico, bien hecho y de forma constante, sigue deteniendo la mayoría de los incidentes. La campaña de CISA es un buen recordatorio de que la ciberseguridad es responsabilidad de todos —desde el colaborador que reporta un correo sospechoso hasta la gerencia que aprueba el plan de recuperación— y de que cada organización, por pequeña que sea, es un eslabón de una cadena más grande.