Bogota Tiempo - Ciberseguridad en Colombia: la IA y la nube amplían los riesgos digitales

La integración masiva de soluciones de Inteligencia Artificial y arquitecturas en la nube está reconfigurando el panorama operativo de las empresas en Colombia, pero esta transformación tecnológica conlleva una expansión proporcional de los riesgos de ciberseguridad. Según un estudio realizado por Microsoft, apenas el 34% de las organizaciones consultadas en el país se percibe altamente preparado para enfrentar las amenazas digitales actuales.

El despliegue de plataformas interconectadas y agentes de software autónomos ha trasladado el desafío defensivo más allá del perímetro tradicional de la red. La seguridad ya no depende únicamente de contener intromisiones externas, sino de gobernar con precisión milimétrica qué información consumen los algoritmos automatizados, cómo se gestionan sus privilegios y qué alcance operativo se les concede sobre los datos sensibles.

Las métricas locales confirman que la preparación corporativa avanza a un ritmo inferior al de la evolución de las amenazas. El estudio de Microsoft, basado en encuestas a 100 líderes de tecnología y ciberseguridad del país, reveló que solo una minoría se siente segura. Un 46% adicional reconoce ubicarse apenas en un nivel intermedio de alistamiento, lo que deja a la mayoría de las empresas expuestas ante un entorno hostil.

Esta brecha de preparación se refleja en el entorno institucional y en la frecuencia de los ataques. De acuerdo con el informe anual del Centro de Capacidades de Respuestas a Incidentes Cibernéticos (Colcert), Colombia gestionó 697 incidentes de seguridad digital durante 2025. Si bien esta cifra representa un descenso significativo frente a los 1.427 registros de 2024, la autoridad nacional advierte que los grupos de Amenazas Persistentes Avanzadas (APT) continúan golpeando de forma sistemática a entidades territoriales, pequeñas y medianas empresas (Pymes) y plataformas de servicios digitales.

La masificación de la IA introduce vectores de amenaza que trascienden los esquemas convencionales. A medida que las organizaciones despliegan agentes capaces de consultar bases de datos, interactuar con APIs y ejecutar flujos operativos autónomos, una asignación deficiente de privilegios puede abrir brechas críticas de acceso a información confidencial.

Un caso hipotético ilustra la naturaleza de este riesgo: un agente integrado al gestor de correo corporativo podría procesar un archivo adjunto que contenga instrucciones maliciosas camufladas, conocidas como "prompt injection", orientadas a alterar su comportamiento. Si la herramienta opera con permisos expandidos y carece de capas de supervisión en tiempo real, podría terminar filtrando datos sensibles o ejecutando acciones ajenas a su función originaria. Este escenario constituye un modelo conceptual de análisis de riesgo informático y no responde a un incidente documentado específicamente en el país.

Oscar Castellanos, director regional de ventas de Thales para la región Andina y el Caribe, explica que este nuevo escenario exige controlar estrictamente las interacciones entre usuarios, agentes, modelos y herramientas. "Protegerlos exige controlar qué datos pueden consultar, qué pueden compartir y hasta dónde están autorizados a actuar", señala el vocero.

La preocupación también se extiende al uso cotidiano de estas herramientas por parte de los empleados. Introducir información confidencial en plataformas de IA que no han sido evaluadas por la organización puede generar exposiciones que no siempre son visibles para los equipos de tecnología internos.

Detener un ciberataque es solo el primer paso; la verdadera crisis comienza al día siguiente. Si una empresa se queda sin acceso a sus sistemas de cobro o de servicio al cliente, la operación se frena en seco. La situación empeora si los atacantes logran filtrar información confidencial de clientes, bases de datos o secretos comerciales.

En Colombia, este riesgo se materializó recientemente. En agosto de 2026, el Ministerio de Justicia sufrió un ataque de ransomware que dejó fuera de juego parte de su plataforma tecnológica. Para no paralizar del todo sus servicios, la entidad tuvo que habilitar canales improvisados de atención al ciudadano mientras los expertos trataban de contener la amenaza y entender por dónde entraron.

Este caso deja una lección contundente: de nada sirve guardar copias de seguridad si nunca se ha probado cómo restaurarlas. Tener respaldos guardados no garantiza poder reabrir las puertas si la empresa no ha ensayado previamente cómo levantar los sistemas en una emergencia real.

En Colombia, proteger los datos no es solo una buena práctica comercial, es una obligación legal. La Ley 1581 de 2012 exige que cualquier empresa que maneje datos personales garantice su seguridad para evitar filtraciones, pérdidas o manipulaciones. En la práctica, esto obliga a las compañías a saber exactamente dónde guardan su información, quién tiene las llaves de acceso y qué tan seguros son los proveedores en la nube que contratan.

Frente a este panorama, analistas como Castellanos insisten en que las empresas deben enfocar sus esfuerzos en defender sus procesos vitales, cerrar brechas de seguridad y auditar permisos. Para las medianas y pequeñas empresas, el camino empieza con tareas muy puntuales pero efectivas: activar la autenticación de doble factor, cifrar la información sensible y educar al equipo de trabajo para evitar caer en trampas.

"Con recursos limitados, conviene identificar qué interrupciones serían más graves y qué controles reducirían mejor esa exposición. Proteger cuentas privilegiadas, corregir vulnerabilidades de sistemas accesibles desde Internet y probar las copias de seguridad pueden ser prioridades, según el diagnóstico", dijo el directivo.

La lección de fondo es transparente: la ciberseguridad no se soluciona comprando la última herramienta de moda. Exige definir reglas claras para usar la Inteligencia Artificial, ponerle freno a la autonomía de los sistemas automáticos y demostrar en la práctica que la empresa sabe levantarse rápidamente tras sufrir un ataque.

M.Tovar--BT