Las pruebas de seguridad puntuales ya no son suficientes para proteger a las organizaciones frente a un entorno digital en constante evolución. Así lo refleja un nuevo estudio de Synack, que concluye que el 95 % de los equipos de ciberseguridad detectó vulnerabilidades de alta o crítica gravedad fuera de los periodos de evaluación programados durante el último año, lo que evidencia la necesidad de adoptar modelos de validación continua.
El informe, elaborado a partir de una encuesta a responsables y profesionales de seguridad empresarial, pone de manifiesto que los cambios constantes en aplicaciones, infraestructuras y servicios están dejando obsoletos los modelos tradicionales de pruebas periódicas. De hecho, un 42 % de las organizaciones afirma encontrar este tipo de vulnerabilidades al menos una vez al mes, una frecuencia que dificulta mantener una visión actualizada del nivel real de exposición al riesgo.
La investigación identifica tres desafíos principales que están frenando la madurez de las estrategias de validación de seguridad.
En primer lugar, existe una importante brecha de cobertura. Cerca del 38 % de los encuestados reconoce que al menos una cuarta parte de su superficie de ataque crítica no ha sido evaluada ni validada de forma independiente durante los últimos 90 días, dejando activos expuestos durante largos periodos.
El segundo reto está relacionado con la confianza en la inteligencia artificial. Aunque las organizaciones valoran cada vez más el uso de IA para automatizar tareas de reconocimiento y detección, el 79 % asegura que no concede el mismo nivel de credibilidad a un hallazgo generado exclusivamente por inteligencia artificial que a uno validado por especialistas humanos.
La tercera brecha tiene que ver con la madurez de los programas de seguridad. Apenas el 15 % de las empresas considera que dispone de un modelo de validación verdaderamente continuo, mientras que la mayoría sigue dependiendo de auditorías impulsadas por requisitos de cumplimiento o revisiones periódicas.
El estudio muestra que la inteligencia artificial está ganando protagonismo en las tareas de reconocimiento, ampliación de la superficie de análisis y detección inicial de posibles vulnerabilidades. Sin embargo, los responsables de seguridad consideran que la intervención humana continúa siendo imprescindible para determinar si una vulnerabilidad puede explotarse realmente, evaluar su impacto sobre el negocio, reducir falsos positivos y contextualizar el riesgo.
Los expertos consultados señalan que la automatización permite procesar un mayor volumen de información, pero no sustituye la creatividad ni la experiencia necesarias para reproducir escenarios reales de ataque y comprender las implicaciones de cada hallazgo.
El informe concluye que el futuro pasa por combinar capacidades de inteligencia artificial con equipos especializados de ciberseguridad en un modelo híbrido de validación continua.
Este enfoque permite automatizar el reconocimiento y la identificación inicial de vulnerabilidades a gran escala, mientras que los investigadores humanos verifican su explotabilidad, analizan posibles cadenas de ataque y priorizan los riesgos con mayor impacto para la organización.
Para Synack, esta combinación representa la evolución natural de las pruebas de penetración tradicionales, permitiendo a las empresas adaptarse a entornos tecnológicos que cambian constantemente y reducir el tiempo durante el que las vulnerabilidades permanecen sin detectar.
Jarana
11 Agosto 2026
Podcast de Cyberlideria MGZN.
Todos los jueves, a partir de las 22:00, estará disponible en CyberLideria MGZN una nueva entrevista, donde un prestigioso CISO colaborador charlará con una personalidad inspiradora, importante, y líder empresarial, tanto del ámbito privado como público.
Manténgase informado sobre la ciberseguridad, tecnología, las tendencias y las noticias que afectan a los líderes de TI.
Suscríbete GRATIS y disfruta de contenido ilimitado sobre ciberseguridad y personas
