Por qué la demanda de respuesta ante incidentes crecerá más rápido de lo esperado

Este artículo forma parte de una serie en curso de los especialistas en operaciones de seguridad de primera línea de Sophos en la que comparten los conocimientos que utilizan para reforzar nuestro servicio de Detección y Respuesta Gestionadas (MDR), líder en el sector, y defender a los clientes frente a las amenazas en constante evolución de la era de la IA.

Una previsión de crecimiento del 20 % para el talento en ciberseguridad parece significativa. Creo que subestima lo que vamos a ver en la respuesta a incidentes.

La Oficina de Estadísticas Laborales de EE. UU. prevé un crecimiento del empleo del 21 % para los analistas de seguridad de la información entre 2025 y 2035. Esa previsión se aplica a la profesión de la seguridad de la información en general, no específicamente a la respuesta a incidentes. Aun así, nos da un punto de referencia útil.

Por lo que veo y oigo en todo el sector, la demanda de respuesta a incidentes podría crecer mucho más rápido.

Asisto a conferencias de seguridad en las que los responsables de otras empresas dicen abiertamente que están contratando analistas de respuesta a incidentes. Nuestros partners nos dicen que están contratando. Las empresas de DFIR que conocemos nos preguntan si pueden usar Sophos para dar soporte adicional cuando sus equipos llegan al límite de su capacidad.

No se trata de conversaciones aisladas. Son señales constantes procedentes de todo el ecosistema de la seguridad.

Todo el mundo busca más capacidad de respuesta ante incidentes.

La IA está dando a los atacantes una mayor escala

La IA ha cambiado lo que los actores maliciosos pueden lograr con el personal y los recursos de los que ya disponen.

Los atacantes siguen recurriendo a muchas de las mismas técnicas. Roban credenciales, aprovechan vulnerabilidades, usan ingeniería social, se mueven lateralmente y atacan sistemas críticos. Lo que está cambiando es la velocidad y la escala a la que pueden hacerlo.

El Informe Sophos sobre seguridad con IA 2026 reveló que la IA está acortando los plazos de los ataques, en lugar de crear categorías de ataques totalmente nuevas. Permite tanto a los atacantes como a los defensores actuar más rápido en operaciones que ya conocen.

Esa distinción es importante.

No hace falta esperar a que aparezca un atacante con IA totalmente autónomo para considerar esto como un problema grave de capacidad. Si la IA ayuda a un atacante a investigar más objetivos, crear señuelos más convincentes, analizar más código o identificar más oportunidades, el atacante ya se ha vuelto más productivo.

El Informe de Sophos sobre adversarios activos de 2026 describe este efecto como un aumento de la velocidad, el volumen y el ruido en el panorama de amenazas, incluso aunque los atacantes sigan utilizando muchas de las mismas herramientas y técnicas.

Los atacantes han encontrado la forma de ampliar sus operaciones. La mayoría de los defensores, no.

Las organizaciones no pueden aplicar parches al ritmo de los atacantes

Esto se nota especialmente en la gestión de vulnerabilidades.

El consejo de «aplicar parches más rápido» es correcto, pero no refleja todo el reto operativo. Un equipo de seguridad no puede limitarse a instalar todas las actualizaciones en cuanto están disponibles.

Las organizaciones necesitan saber qué sistemas se ven afectados. Tienen que entender la importancia crítica para el negocio, probar los cambios, coordinar las ventanas de mantenimiento, gestionar la tecnología heredada y confirmar que la corrección ha funcionado. En algunos entornos, una actualización apresurada puede provocar una interrupción operativa significativa.

La IA está acelerando el descubrimiento de vulnerabilidades y acortando el tiempo entre su revelación y su explotación. Esto aumenta la presión sobre los equipos de seguridad que ya gestionan entornos complejos con recursos limitados.

Muchas organizaciones simplemente no tienen suficiente personal para aplicar parches a todos los sistemas tan rápido como lo exige el entorno de amenazas actual.

Eso no significa necesariamente que tengan un mal programa de seguridad. Significa que su capacidad disponible no ha crecido al mismo ritmo que el problema.

La brecha entre la velocidad de los atacantes y la capacidad de los defensores es cada vez mayor.

El reto va más allá de aplicar parches

Aplicar parches es solo una parte del problema.

El análisis de 661 incidentes en el Informe de Sophos sobre adversarios activos de 2026 reveló que el 67 % de las intrusiones comenzaron con credenciales comprometidas u otras tácticas relacionadas con la identidad. Los atacantes llegaron a Active Directory en una media de tres horas y 24 minutos.

Eso deja muy poco margen para demoras.

Las organizaciones deben parchear los sistemas vulnerables, reforzar los controles de identidad, recopilar los datos de telemetría adecuados, vigilar comportamientos sospechosos y garantizar la cobertura fuera del horario laboral habitual. También necesitan un plan probado para cuando esos controles fallen.

En algún momento, casi todas las organizaciones necesitarán ayuda para responder a cuatro preguntas básicas:

• ¿Qué ha pasado?

• ¿Hasta dónde ha llegado el atacante?

• ¿Qué tenemos que contener?

• ¿Qué tenemos que hacer ahora?

Esas preguntas requieren profesionales con experiencia en respuesta a incidentes.

La tecnología ayuda, pero la experiencia sigue siendo clave

La IA y la automatización harán que los equipos de respuesta a incidentes sean más productivos.

Pueden ayudar a los responsables a recopilar pruebas, correlacionar información, resumir la actividad, identificar patrones y centrar su atención en las áreas más importantes. Debemos aprovechar esas capacidades.

Pero un incidente de seguridad grave no es simplemente una investigación técnica.

Requiere criterio. Los responsables deben tomar decisiones con información incompleta mientras se coordinan con los equipos de seguridad, TI, jurídicos, las aseguradoras, los directivos y, a veces, con los reguladores o las fuerzas del orden.

También tienen que comunicarse con claridad bajo presión. Deben distinguir lo que se sabe de lo que se sospecha, explicar el riesgo para el negocio y ayudar a los directivos a tomar decisiones que pueden tener consecuencias operativas importantes.

El sector tecnológico puede apoyar ese trabajo. Pero no elimina la necesidad de contar con personas con experiencia.

Formar a esas personas lleva tiempo.

Puede que un 20 % no sea suficiente

Nadie puede predecir el número exacto de profesionales de respuesta a incidentes que necesitará el sector.

Pero los planes de personal deberían tener en cuenta las señales que ya podemos ver.

Los proveedores de seguridad están contratando. Los partners están ampliando sus equipos. Las empresas de DFIR buscan capacidad adicional. Las organizaciones se enfrentan a plazos de ataque cada vez más cortos mientras luchan por aplicar parches y proteger entornos cada vez más complejos.

Al mismo tiempo, la IA ayuda a los autores de amenazas a sacar más partido a los recursos que ya tienen.

En conjunto, creo que estos indicadores apuntan a que la demanda de respuesta a incidentes crecerá más rápido que el 20 % que se suele citar.

El sector tiene que prepararse para eso ya.

Tenemos que formar a nuevos analistas, crear trayectorias profesionales más sólidas, retener a los especialistas con experiencia y establecer mejores colaboraciones entre los equipos de seguridad internos y los proveedores externos. También tenemos que usar la IA y la automatización para potenciar la experiencia que ya tenemos, en lugar de dar por hecho que el sector tecnológico acabará con la necesidad de ella.

Los atacantes están aumentando su capacidad.
Los defensores deben hacer lo mismo.

Fuentes

• Oficina de Estadísticas Laborales de EE. UU., «Analistas de seguridad de la información», Manual de perspectivas ocupacionales (perspectivas para 2025-2035). Ver fuente
• Sophos, «Informe Sophos AI Security 2026». Ver fuente
• Sophos, «Nowhere, man: The 2026 Active Adversary Report». Ver fuente
• Sophos, «Stopping real-world attacks: Lessons for business leaders from the 2026 cyber frontline». Ver fuente