Protección de datos empresariales: por qué la ciberseguridad debe evolucionar frente a la inteligencia artificial
La protección de los datos corporativos está adquiriendo un papel central en la estrategia de ciberseguridad de las empresas. El crecimiento de los servicios cloud, el trabajo colaborativo y la incorporación de inteligencia artificial han multiplicado los lugares donde se almacena información sensible y las formas en que puede ser utilizada. En este escenario, las organizaciones necesitan ir más allá de las defensas tradicionales y comprender qué información poseen, quién puede acceder a ella y cómo detectar comportamientos que puedan comprometerla.
Una señal de esta transformación se produjo el 15 de octubre de 2026, cuando Proofpoint anunció un acuerdo para adquirir Varonis Systems por aproximadamente US$6.300 millones. La operación busca combinar capacidades de protección frente a amenazas dirigidas a las personas con herramientas especializadas en seguridad de datos. Aunque la transacción todavía está sujeta a las condiciones de cierre correspondientes, el anuncio refleja una prioridad creciente en el mercado: proteger la información empresarial y controlar cómo acceden a ella tanto los usuarios como los sistemas automatizados.
Para las empresas uruguayas, esta evolución plantea una cuestión estratégica. No basta con incorporar herramientas de seguridad; es necesario establecer una gestión consistente de los datos, los permisos, las identidades y los riesgos asociados a la operación digital.
Qué ocurrió y por qué importa
Proofpoint, empresa especializada en ciberseguridad, anunció un acuerdo para adquirir Varonis, compañía enfocada en la seguridad de los datos, por aproximadamente US$6.300 millones en efectivo. Según el anuncio corporativo, el cierre se espera para el primer semestre de 2027, sujeto a las aprobaciones y condiciones habituales.
Las capacidades de ambas compañías responden a necesidades complementarias. Proofpoint se especializa en áreas como la protección del correo electrónico, las personas y la defensa frente a amenazas. Varonis, por su parte, trabaja en la identificación de información sensible, el análisis de permisos, la supervisión de comportamientos y la protección de datos en entornos corporativos.
La relevancia del acuerdo no reside únicamente en su valor económico. La operación representa una apuesta por integrar diferentes capas de seguridad para ofrecer una visión más completa de los riesgos empresariales.
Durante años, numerosas organizaciones distribuyeron sus controles entre soluciones independientes: una herramienta para el correo electrónico, otra para los equipos, otra para la nube y diferentes mecanismos para controlar el acceso a los documentos. Esta arquitectura puede funcionar, pero también puede generar puntos ciegos cuando las herramientas no comparten información o los equipos de seguridad no disponen de una visión integral.
La integración tecnológica busca reducir esa fragmentación. Sin embargo, una adquisición empresarial no garantiza automáticamente que sus productos queden integrados, que mejoren los resultados de seguridad o que desaparezcan los riesgos. Esos beneficios dependerán de la ejecución, la interoperabilidad y la capacidad de las organizaciones para aprovechar las herramientas.
La nueva prioridad: proteger la información, no solamente la infraestructura
El dato se ha convertido en un activo crítico
Las empresas pueden invertir en firewalls, sistemas de detección, protección de endpoints y servicios de infraestructura, pero mantener una exposición significativa si desconocen dónde está su información más sensible.
Un documento financiero almacenado en una carpeta compartida con permisos excesivos puede representar un riesgo. Lo mismo ocurre con una base de datos accesible para cuentas que ya no necesitan utilizarla o con archivos confidenciales sincronizados en servicios cloud sin una política adecuada de clasificación.
En estos casos, la vulnerabilidad no siempre está en el software. Puede encontrarse en la configuración, la administración de identidades o las decisiones tomadas durante la operación diaria.
Una estrategia moderna de ciberseguridad debe considerar tanto la protección de la infraestructura como la información que circula por ella.
La inteligencia artificial amplía el problema
La adopción de inteligencia artificial empresarial introduce nuevos escenarios de exposición. Los asistentes digitales y otros sistemas automatizados pueden consultar documentos, resumir información y ejecutar tareas utilizando permisos concedidos por la organización.
Si esos permisos son demasiado amplios, una herramienta legítima podría acceder a información que no debería utilizar para una tarea determinada. También existe el riesgo de que datos confidenciales se incorporen a servicios externos sin una evaluación previa de sus condiciones de uso.
Por eso, implementar inteligencia artificial en una empresa requiere establecer límites de acceso, políticas de tratamiento de datos y mecanismos de supervisión. La productividad no debe evaluarse de forma aislada: también deben considerarse la confidencialidad, la trazabilidad y la responsabilidad sobre las acciones automatizadas.
Cómo impacta a las empresas chilenas
Las organizaciones chilenas con operaciones distribuidas, sistemas de gestión empresarial y plataformas colaborativas enfrentan desafíos similares a los de otros mercados. La información puede encontrarse en servidores propios, aplicaciones SaaS, servicios cloud, dispositivos de usuarios y repositorios administrados por terceros.
Esta distribución dificulta mantener un inventario actualizado de los datos y comprobar que cada usuario conserva únicamente los permisos necesarios.
En sectores como servicios financieros, salud, comercio, logística y servicios profesionales, una exposición de información puede traducirse en interrupciones operativas, costos de investigación, obligaciones contractuales y pérdida de confianza de clientes y socios.
El desafío aumenta cuando la organización incorpora proveedores externos o herramientas de IA sin definir responsabilidades claras. La seguridad debe abarcar el ciclo completo de la información: creación, almacenamiento, acceso, intercambio, conservación y eliminación.
Las decisiones de inversión tecnológica deberían contemplar esta realidad. Una estrategia de cloud & datacenter necesita incorporar controles de acceso, monitoreo, respaldo y recuperación, además de una arquitectura adecuada para las necesidades operativas.
Riesgos para las organizaciones que no se adapten
Una gestión deficiente de la seguridad de los datos puede producir consecuencias que van más allá de un incidente informático.
Exposición de información confidencial. Los permisos excesivos o la falta de clasificación pueden facilitar que usuarios o aplicaciones accedan a documentos sensibles.
Uso indebido de identidades. Una cuenta comprometida puede utilizarse para consultar información legítimamente accesible para su titular, lo que dificulta distinguir una actividad maliciosa de una operación habitual.
Pérdida de control en entornos cloud. La dispersión de aplicaciones y repositorios puede impedir que los equipos identifiquen todas las copias de un documento o sus usuarios autorizados.
Riesgos asociados a la IA. Los sistemas automatizados pueden ampliar el alcance de un error de permisos si disponen de acceso a grandes volúmenes de información.
Respuesta tardía ante incidentes. Sin registros adecuados ni una clasificación de los activos, la organización puede tardar más en determinar qué información resultó comprometida.
La solución no consiste en bloquear toda innovación. Consiste en establecer controles proporcionales al riesgo y verificar periódicamente que funcionan.
Visión experta de TiUruguay: la seguridad de los datos como indicador de madurez digital
La madurez digital no depende exclusivamente de cuántas plataformas utiliza una empresa ni de cuánto invierte en tecnología. También se refleja en su capacidad para gestionar los datos de manera responsable, medir los riesgos y mantener la continuidad de sus operaciones.
Una organización madura sabe dónde están sus activos críticos, quién puede utilizarlos, qué controles los protegen y qué hacer cuando se detecta una anomalía.
Personas: responsabilidades claras
Los colaboradores necesitan comprender cómo manejar la información, reconocer solicitudes sospechosas y utilizar las herramientas de IA conforme a las políticas corporativas. La capacitación debe relacionarse con situaciones reales de trabajo, no limitarse a cursos genéricos.
Procesos: controles repetibles
Las altas, modificaciones y bajas de usuarios deben estar vinculadas a procedimientos formales. Los permisos requieren revisiones periódicas y las excepciones deben tener un responsable, una justificación y una fecha de revisión.
Tecnología: visibilidad e integración
Las herramientas de seguridad deberían proporcionar registros útiles, alertas priorizadas y capacidad para investigar actividades sospechosas. La integración entre identidad, correo, endpoints y servicios cloud puede mejorar la detección, siempre que exista una arquitectura bien diseñada.
El software y el hardware deben evaluarse según su función, compatibilidad y ciclo de vida. Comprar tecnología sin definir cómo se administrará puede aumentar la complejidad en lugar de reducir el riesgo.
Gobierno: decisiones con responsables
La protección de datos necesita responsables ejecutivos y técnicos. La dirección debe aprobar los criterios de riesgo, mientras que los equipos operativos deben convertirlos en controles medibles.
Riesgo: priorizar según el impacto
No todos los datos requieren el mismo nivel de protección. La información financiera, los datos personales, las credenciales y los secretos comerciales suelen exigir controles más estrictos que la documentación pública. La priorización permite concentrar recursos donde una exposición podría causar mayores consecuencias.
Esta visión conecta directamente con la madurez digital: tecnología, procesos y gobierno deben evolucionar de forma coordinada.
¿Qué debería hacer una empresa hoy?
Las organizaciones no necesitan esperar a que las grandes plataformas del mercado completen sus integraciones para mejorar su postura de seguridad. Existen medidas concretas que pueden comenzar a implementar.
- Inventariar los datos críticos. Identificar dónde se almacenan los documentos sensibles, las bases de datos y las credenciales de acceso.
- Revisar los permisos. Detectar carpetas compartidas con acceso excesivo, cuentas inactivas y privilegios que ya no tienen justificación.
- Fortalecer las identidades. Aplicar autenticación multifactor, limitar los privilegios administrativos y supervisar las cuentas de servicio.
- Definir reglas para la IA. Establecer qué información puede utilizarse en asistentes y aplicaciones, quién autoriza nuevos casos de uso y cómo se registran sus actividades.
- Mejorar la supervisión. Centralizar registros relevantes y definir procedimientos para investigar accesos anómalos o descargas masivas.
- Probar la recuperación. Verificar que las copias de seguridad permiten recuperar los servicios y los datos necesarios dentro de los tiempos establecidos.
- Evaluar a los proveedores. Revisar sus controles, responsabilidades contractuales, mecanismos de notificación y procedimientos de respuesta ante incidentes.
- Medir los avances. Utilizar indicadores como permisos excesivos corregidos, activos inventariados, cuentas protegidas y tiempo de detección y respuesta.
Los servicios TI pueden contribuir a implementar y mantener estas capacidades cuando se integran en un modelo de gestión con objetivos, responsables e indicadores definidos.
¿Por qué este tema importa para la madurez digital?
La seguridad de los datos permite evaluar si la transformación digital está generando capacidades sostenibles o simplemente incorporando nuevas herramientas.
- Personas: los usuarios conocen sus responsabilidades y cuentan con formación adecuada.
- Procesos: las autorizaciones, revisiones y respuestas ante incidentes siguen procedimientos definidos.
- Tecnología: las plataformas proporcionan visibilidad, controles de acceso y registros suficientes.
- Gobierno: la dirección comprende los riesgos y asigna recursos según las prioridades del negocio.
- Riesgo: la organización identifica escenarios de exposición y verifica la eficacia de las medidas adoptadas.
Cuando estos elementos funcionan de manera coordinada, la empresa puede aprovechar mejor los servicios cloud, la automatización y la IA sin depender exclusivamente de controles aislados.
La adquisición anunciada por Proofpoint y Varonis demuestra que la seguridad de los datos ocupa un lugar cada vez más importante en la evolución de la ciberseguridad empresarial. La combinación de protección frente a amenazas, control de acceso y visibilidad de la información apunta a una necesidad concreta: entender no solo cómo se intenta ingresar a los sistemas, sino también qué puede ocurrir con los datos una vez que alguien obtiene acceso.
Para las empresas chilenas, la principal lección no es adoptar una plataforma determinada. Es construir una estrategia que permita identificar los activos críticos, reducir privilegios innecesarios, supervisar el uso de la información y establecer reglas claras para la inteligencia artificial.
La madurez digital se demuestra cuando la innovación avanza junto con la capacidad de gestionar sus riesgos. Las organizaciones que desarrollen estas capacidades estarán mejor preparadas para proteger sus activos, responder a incidentes y sostener la confianza de sus clientes.
La protección de la información comienza con una comprensión clara de los activos, los riesgos y las capacidades actuales de la organización. En TiUruguay, las empresas pueden buscar orientación para identificar brechas, establecer prioridades y avanzar hacia una estrategia de seguridad alineada con sus objetivos de negocio.
Contacta a TiUruguay para conversar sobre los desafíos de seguridad y madurez digital de tu organización.
