Kaseya encuestó a 1.132 profesionales de TI: el error humano es su mayor temor y el presupuesto casi nunca crece al ritmo del riesgo.
TL;DR: El 68 % de los 1.132 profesionales de TI encuestados por Kaseya ve el error humano como su principal amenaza para los próximos 12 meses. Solo el 20 % dice que su presupuesto de ciberseguridad crece al ritmo del riesgo. En Colombia, las denuncias por delitos informáticos subieron 23 % en 2024, según la CCIT.
El error humano es el mayor temor de ciberseguridad para el 68 % de los profesionales de TI en los próximos 12 meses. Así lo muestra el informe de Kaseya de 2026. Aun así, solo uno de cada cinco departamentos asegura que su presupuesto de seguridad crece al ritmo del riesgo.
Estas son las cifras del estudio, sus límites y lo que significan para empresas y pymes en Colombia.
¿Qué dice Kaseya sobre el error humano?
El 68 % de los encuestados ve el error humano como su mayor amenaza de los próximos 12 meses; el correo electrónico le sigue con 55 %.
Kaseya, proveedor de software de gestión de TI y ciberseguridad, encuestó a 1.132 proveedores de servicios gestionados (MSP) y profesionales de TI de más de 60 países.
Entre quienes sufrieron un incidente en los últimos tres años, cuatro de los cinco factores que más contribuyeron tenían que ver con las personas. Los dos primeros fueron las malas prácticas o la ingenuidad de los usuarios (41 %) y la falta de formación en ciberseguridad (40 %).
David Baggett, vicepresidente sénior de Security Suite en Kaseya, sostiene que el objetivo no es eliminar los errores, sino construir organizaciones capaces de soportarlos. Su receta: prever los fallos, aceptar los límites de las personas y diseñar defensas que no dependan de que nadie se equivoque.
Kaseya publica el informe completo sobre ciberseguridad y errores humanos en su sitio.
¿Qué tan representativa es la encuesta?
La encuesta mide la percepción de profesionales de TI y proveedores de servicios, no cuánto se equivocan los empleados en su día a día.
El 68 % refleja lo que preocupa a quienes defienden las redes, no una medición directa de los errores de los trabajadores. En la información pública del informe tampoco aparecen un desglose por país ni las fechas del trabajo de campo.
Kaseya vende software de gestión de TI y ciberseguridad, así que la encuesta la hace una empresa del sector. Sirve como termómetro de lo que ven los equipos de TI, pero no como un estudio independiente.
Un detalle para no confundirse: la cifra de 65 % aparece en dos resultados distintos del estudio. Uno es el de quienes creen que superarían hoy una auditoría; el otro, el de los MSP que dicen que sus clientes invierten poco.
¿Por qué el presupuesto no alcanza?
Solo el 20 % de los departamentos de TI asegura que su presupuesto crece al ritmo del riesgo, y el 77 % se siente corto de recursos.
El 77 % se describe con recursos insuficientes: 23 % tiene presupuestos estancados, 30 % ve aumentos demasiado lentos y 24 % se reconoce sin recursos y lo sabe.
Los proveedores de servicios ven lo mismo en sus clientes: el 65 % afirma que invierten menos de lo necesario, frente al riesgo que enfrentan.
¿Una empresa pasaría hoy una auditoría?
Casi el 65 % de los encuestados cree que superaría hoy una auditoría de cumplimiento sin prepararse, aunque el 49 % ve problemas en su documentación.
Al preguntarles qué fallaría en una auditoría, el 49 % señaló documentación o políticas incompletas. Otro 34 % mencionó controles no aplicados del todo y 33 % la falta de formación de los empleados.
Kaseya considera que esa confianza podría ser excesivamente optimista: se cree estar listo, pero los huecos básicos siguen ahí.
¿Qué hacen distinto los proveedores de alto rendimiento?
Son los proveedores de TI que cumplieron sus metas de ingresos y crecimiento en los dos últimos trimestres, y aplican más pruebas y capas de seguridad.
Casi el 30 % de los proveedores de alto rendimiento prueba cada trimestre los planes de respuesta de sus clientes, frente al 18 % de los de bajo rendimiento. Solo el 11 % de los primeros no tiene plan de respuesta, frente al 25 % de los segundos. En el conjunto, el 15 % carece de uno.
Los de alto rendimiento adoptan más capas avanzadas de seguridad. El SIEM lo usa el 48 % frente al 31 % de los de bajo rendimiento, y el NDR, el 52 % frente al 27 %. El SIEM centraliza y analiza las alertas de seguridad; el NDR detecta tráfico anómalo dentro de la red.
Son datos de proveedores y no de empresas finales. Probar el plan antes del incidente marca la diferencia entre tener un documento y tener una respuesta.
¿Qué significa para las empresas en Colombia?
Colombia es el segundo país de Latinoamérica con más ataques semanales por organización, y las denuncias por delitos informáticos crecieron 23 % en 2024.
Según Check Point Research, las organizaciones colombianas reciben en promedio 4.090 ciberataques por semana, solo por debajo de Brasil (4.118) y por encima de México (3.548). La cifra aparece en su informe más reciente, citado en Colombia en septiembre de 2026. El promedio de Latinoamérica es de 3.364, un 20 % más que un año antes.
En 2024 la Policía Nacional registró 77.866 denuncias por delitos informáticos, 23 % más que en 2023. De ellas, 37.409 fueron hurtos por medios informáticos, de acuerdo con el informe Estado de la ciberseguridad y la inteligencia artificial en Colombia, de la CCIT.
Ninguna de esas cifras mide cuántos ataques entran por el error de un empleado. Por eso no se puede afirmar que el 68 % global se repita en Colombia.
Los vectores que más preocupan en el informe, el correo electrónico y la ingeniería social, se parecen a los casos que MasterCrispi ha cubierto en el país: desde el falso CAPTCHA ClickFix hasta saber si una llamada es un deepfake.
¿Cómo reducir el error humano en tu empresa?
Kaseya resume su guía de ciberresiliencia en cinco puntos: prever errores, defender la inversión, facilitar lo seguro, usar IA y tratar el cumplimiento como tarea continua.
El informe completo desarrolla cada punto. Esta es la lectura de MasterCrispi de lo que implica cada uno para una empresa pequeña:
- Prepararse para los errores previsibles: el 41 % de quienes sufrieron un incidente citó malas prácticas de los usuarios. Un plan de respuesta escrito y probado pesa más que esperar que nadie se equivoque.
- Defender la inversión antes del incidente: solo el 20 % tiene presupuestos al ritmo del riesgo. Llevar a la gerencia una cifra concreta, como cuánto costaría una semana sin sistemas, convence más que hablar de riesgo en abstracto.
- Hacer que lo seguro sea lo fácil: la autenticación en dos pasos y un gestor de contraseñas reducen las decisiones que dependen de la atención de cada persona.
- Usar IA para aliviar a equipos sobrecargados: puede ayudar a filtrar alertas y correos sospechosos, pero no reemplaza la formación de los usuarios.
- Tratar el cumplimiento como tarea continua: con el 49 % señalando la documentación incompleta como problema de auditoría, mantener las políticas al día durante el año evita la carrera de última hora.
La formación pesa en la encuesta: el 40 % de quienes sufrieron un incidente cita la falta de capacitación de los usuarios. MasterCrispi explicó cómo capacitar a tu equipo y hacer simulacros de phishing y qué revisar antes de contratar un servicio.
Quien quiera formarse por su cuenta puede mirar Experta Tech en Bogotá, la convocatoria de la Alcaldía que abrió 90.000 cupos gratuitos para aprender IA, nube y ciberseguridad.
Preguntas frecuentes sobre el error humano en ciberseguridad
¿Cuál es el mayor riesgo de ciberseguridad para las empresas en 2026?
En la encuesta de Kaseya a 1.132 profesionales de TI, el error humano encabeza la lista. El 68 % lo ve como su principal amenaza para los próximos 12 meses, seguido del correo electrónico, con 55 %.
¿Qué es el error humano en ciberseguridad?
Es cualquier acción de una persona que abre la puerta a un ataque, como hacer clic en un enlace falso, reutilizar contraseñas o ignorar una alerta. Kaseya incluye en esa categoría la ingeniería social y la distracción.
¿Cuánto invierten las empresas en ciberseguridad frente al riesgo?
En la encuesta de Kaseya, solo el 20 % de los departamentos de TI dice que su presupuesto crece al ritmo del riesgo real. El 77 % se considera con recursos insuficientes de alguna manera.
¿Cuántos ciberataques recibe Colombia?
Check Point Research calcula 4.090 ataques semanales por organización en Colombia, el segundo promedio de Latinoamérica. La Policía Nacional registró 77.866 denuncias por delitos informáticos en 2024, según la CCIT.
¿Una empresa necesita un plan de respuesta ante incidentes?
Sí. Kaseya recomienda prepararse para los errores que los equipos ya prevén. Su encuesta muestra que el 15 % de los proveedores de TI no tiene un plan de respuesta, aunque vive de la seguridad.
¿Tu empresa tiene un plan para cuando alguien se equivoque, o depende de que nadie lo haga?
