En la película de ciencia ficción « : Minority Report», los agentes de policía no esperan a que se produzcan los delitos. Detienen a los sospechosos basándose en visiones del futuro generadas por los «precogs», que flotan en tanques de nutrientes. El sistema es rápido, eficiente y profundamente inquietante. Garantiza la seguridad al actuar antes de que se produzca cualquier daño. Esto también plantea una pregunta obvia: ¿qué ocurre cuando la predicción es errónea?
Dos décadas más tarde, los responsables de la ciberseguridad se enfrentan a una idea similar. ¿Y si se pudieran detener los ataques digitales antes incluso de que comenzaran? ¿Y si fuera el software, y no los analistas, el que pudiera detectar las señales sutiles de una violación inminente de la seguridad y la detuviera automáticamente?
Gartner considera que ese futuro está más cerca de lo que muchos piensan. Según las previsiones de la empresa, para el año 2030, las soluciones de ciberseguridad preventivas representarán el 50 % del gasto en seguridad informática, frente a menos del 5 % en el año 2024, sustituyendo a las soluciones independientes de detección y respuesta como el enfoque preferido para la defensa frente a las ciberamenazas.
La gran pregunta es si la ciberseguridad se encamina realmente hacia su propia versión de «Precrime» o si el término «preventivo» no es más que una nueva denominación para unas herramientas que existen desde hace años.
Qué se supone que significa «preventivo»
Gartner define la ciberseguridad preventiva como un cambio de la actitud de esperar a que se produzcan los ataques a la de anticiparlos y neutralizarlos de forma activa. En su informe « October 2025 » ($), «Emerging Tech Impact Radar: Preemptive Cybersecurity», la empresa argumentó que las organizaciones deben «transformar sus operaciones de seguridad en un sistema de defensa proactivo y dinámico que anticipe y prevenga activamente los ataques».
Dicho sistema se basaría en la inteligencia artificial y el aprendizaje automático para analizar el comportamiento de la red, simular vías de ataque y predecir dónde es probable que ataquen los adversarios. En lugar de responder a las alertas una vez que se han producido los daños, los sistemas de defensa intervendrían antes, bloqueando el acceso, reconfigurando los sistemas o despistando a los atacantes antes de que consigan afianzarse.
En la práctica, eso significa adelantar la detección «hacia la izquierda», afirmó Wendy Nather, directora sénior de iniciativas de investigación de 1Password, refiriéndose a la detección de actividades sospechosas en una fase más temprana del ciclo de ataque, antes de que se produzcan daños reales.
«Siempre hemos contado con medidas de prevención y detección», afirmó Nather. «Cuando no se puede prevenir, hay que detectar». Eso es una obviedad. «Lo que realmente se pretende con esto es adelantar el momento de la detección».
La diferencia, al menos en teoría, radica en la automatización. En lugar de que los analistas humanos revisen las alertas y decidan qué medidas tomar por su cuenta, los sistemas basados en la inteligencia artificial tomarían cada vez más las decisiones por sí mismos, con distintos niveles de supervisión humana.
La tecnología que sustenta esta visión
Para que la seguridad preventiva deje de ser una mera moda, Gartner ha señalado que las organizaciones necesitarán una nueva combinación de tecnologías predictivas, adaptativas y engañosas que funcionen de forma conjunta.
La base la constituyen las plataformas de inteligencia predictiva sobre amenazas, que analizan datos históricos y en tiempo real para prever posibles ataques. Las herramientas automatizadas de evaluación de controles de seguridad evalúan de forma continua si las configuraciones de seguridad funcionan correctamente e identifican las vulnerabilidades antes de que los atacantes puedan aprovecharlas.
[Lea también: ¿Qué es la automatización de la seguridad? Ventajas, importancia y características]
Las plataformas de gestión preventiva de la exposición se centran en identificar la superficie de ataque de una organización y en priorizar los puntos débiles que tienen más probabilidades de ser objeto de un ataque. Las herramientas avanzadas de engaño cibernético utilizan señuelos y «honeypots» para despistar y frustrar a los intrusos, al tiempo que revelan sus tácticas.
Muchos de estos sistemas se basan en heurísticas, es decir, en reglas simplificadas basadas en patrones extraídos de comportamientos anteriores que ayudan al software a determinar qué se considera «normal» y cuándo una actividad se desvía de ello.
A más largo plazo, Gartner ha destacado tecnologías como la emulación adversaria autónoma, la defensa de objetivo móvil y las «plataformas de ciberseguridad preventivas», cuyo objetivo es simular el comportamiento de los atacantes, modelar amenazas futuras y poner a prueba las defensas de forma continua.
En conjunto, estos sistemas están diseñados para que la seguridad pase de un enfoque reactivo a uno en constante adaptación, en el que las redes se supervisan a sí mismas, comprueban sus propios puntos débiles y ajustan sus defensas casi en tiempo real.
¿Por qué lo desean las organizaciones?
La ciberseguridad preventiva resulta atractiva. Las filtraciones de datos son costosas, causan trastornos y resultan cada vez más inevitables. El ransomware ha provocado el cierre de hospitales. Los ataques a la cadena de suministro han tenido repercusiones en todos los sectores. La inteligencia artificial ha reducido las barreras de acceso para los atacantes.
Si los sistemas de defensa pudieran intervenir antes, las organizaciones podrían reducir el tiempo de permanencia, frustrar las intrusiones, limitar los daños y evitar muchos de los costes derivados de la respuesta ante incidentes. Los sistemas preventivos también podrían ayudar a los equipos de seguridad a priorizar su trabajo, centrándose en los riesgos que, según las estadísticas, tienen más probabilidades de ser relevantes.
Para los CISO que rinden cuentas ante los consejos de administración, los modelos predictivos prometían algo más: cifras. Si los sistemas pudieran estimar la probabilidad de amenazas concretas, los responsables podrían plantear las inversiones en seguridad en términos financieros, vinculando los controles a una reducción cuantificable del riesgo.
En teoría, esto hace que la ciberseguridad sea más estratégica y menos reactiva.
El punto de vista del escéptico
No todos los profesionales están convencidos.
Jim Routh, director de confianza de Saviynt y antiguo director de seguridad de la información (CISO), se pregunta si la «ciberseguridad preventiva» supone un cambio significativo con respecto a los enfoques anteriores. «No me convence el término “preventivo”», admite.
Routh considera que gran parte de lo que los proveedores describen como «seguridad preventiva» se asemeja a técnicas de automatización y análisis que ya existen desde hace tiempo. Señala que el aprendizaje automático se lleva utilizando desde hace años para la puntuación de riesgos y la detección de anomalías, y que los modelos más recientes no eliminan las limitaciones fundamentales.
««No me siento cómodo con el término “preventivo”.»Jim Routh, director de confianza de Saviynt y antiguo director de seguridad de la información (CISO)
Nather expresó preocupaciones similares. Recordó un incidente en el que una red gubernamental parecía estar comunicándose con servidores situados en Rumanía, lo que despertó sospechas. Tras investigar el asunto, se comprobó que se trataba de actualizaciones legítimas procedentes de un proveedor autorizado.
«Ese es el tipo de cosas que la automatización aún no ha resuelto del todo», afirmó.
Señaló que las relaciones comerciales, las peculiaridades operativas y las excepciones temporales rara vez quedaban reflejadas íntegramente en los datos. Como consecuencia, las alertas tempranas solían resultar ser falsos positivos.
Durante años, muchas organizaciones se resistieron a implantar respuestas totalmente automatizadas por este motivo. Según Nather, incluso cuando recibían información automática sobre indicadores de compromiso, las empresas solían insistir en realizar una revisión manual antes de tomar medidas. Por ello, la necesidad de adoptar un enfoque que cuente con la intervención humana sigue siendo muy extendida y —al menos por el momento— fundamental.
El problema de los falsos positivos
Los falsos positivos no son solo un inconveniente. En un sistema preventivo, pueden resultar perjudiciales.
Si un agente de inteligencia artificial malinterpreta un comportamiento inofensivo como malicioso y, a continuación, actúa de forma automática, podría desactivar sistemas críticos, bloquear a usuarios legítimos o interrumpir las operaciones. El coste de cometer un error puede aumentar proporcionalmente a medida que avanza la automatización.
«Por eso, antes de avanzar demasiado hacia la automatización y de irnos demasiado hacia la izquierda, debemos plantearnos seriamente cómo vamos a validar todo esto», afirmó Nather. «Va a tener que mostrarse más seguro de lo que ha sido hasta ahora».
«. Por eso, antes de automatizar demasiado el proceso y irnos demasiado hacia la izquierda, debemos plantearnos seriamente cómo vamos a validar todo esto.»Wendy Nather, directora sénior de iniciativas de investigación en 1Password
Dichas garantías exigen no solo una supervisión humana, sino también capacidades adicionales, como la información sobre amenazas en tiempo real y la gestión continua de la exposición, que son posibles gracias a una TI autónoma capaz de distinguir con precisión las señales del ruido. Los miembros del equipo de seguridad que lo supervisan también necesitarán información en tiempo real sobre todos sus terminales para saber con certeza si un cambio repentino constituye una desviación de proporciones reales y graves.
En un informe de elaborado para el Instituto de Tecnología de Infraestructuras Críticas (ICIT), el Sr. Routh argumentó que la automatización temprana funciona mejor cuando se basa en modelos deterministas que se activan ante desviaciones claras de los patrones. Según escribió, los entornos más complejos pueden requerir que la IA generativa evalúe múltiples variables, pero únicamente bajo una supervisión minuciosa. Advirtió que permitir que los sistemas probabilísticos controlen defensas de gran repercusión sin una validación rigurosa aumenta el riesgo operativo en lugar de reducirlo.
Routh también señaló la probabilidad como un obstáculo práctico. Aunque un modelo estimara una probabilidad del 70 % de que se produjera un ataque, es posible que los directivos siguieran cuestionando esa cifra, sobre todo si las medidas de mitigación resultaran costosas.
«Le preguntarán: “¿Cómo se le ocurrió eso?”», afirmó. «Y no van a querer hacer nada hasta que estén bastante seguros de que lo van a necesitar».
Primeros pasos
Si le interesa adoptar un enfoque preventivo, los expertos afirman que lo fundamental debe ser siempre lo primero.
«Sería mejor que mejorara su higiene», dijo Nather. «Haga un inventario exhaustivo de lo que tiene. «Poder controlar los cambios que se le introduzcan».
Sin una gestión precisa de los activos, una gestión de la configuración y una visibilidad adecuadas, los sistemas predictivos disponían de muy pocos datos fiables con los que trabajar.
A partir de ahí, las empresas podrían empezar a incorporar la automatización de forma gradual. Esto podría incluir la evaluación continua de los controles, plataformas de gestión de la exposición y formas limitadas de respuesta automatizada, como el aislamiento de terminales sospechosos o el bloqueo de credenciales de riesgo.
Routh señaló la gestión del acceso privilegiado como un ámbito en el que ya se está aplicando este enfoque. En su informe para el ICIT, describió unos sistemas que supervisan el comportamiento en tiempo real de los usuarios con privilegios, lo comparan con los valores de referencia establecidos y revocan automáticamente el acceso cuando se observan desviaciones significativas en los patrones. Los equipos de seguridad reciben la notificación a posteriori, escribió, lo que permite que la automatización contenga las posibles amenazas antes de que se propaguen.
Muchas organizaciones también están probando modelos de «intervención humana», en los que los sistemas de inteligencia artificial proponen acciones, pero requieren la aprobación de un analista antes de su ejecución.
Routh describió la automatización como una forma de potenciar el talento, en lugar de sustituirlo. En la investigación que llevó a cabo junto con el Instituto Scientia, descubrió que la automatización ayudaba a los analistas noveles a rendir a un nivel superior, pero no eliminaba la necesidad de contar con el criterio de los profesionales con experiencia.
«Siempre hay mucho trabajo de investigación que no se puede realizar de forma preventiva», afirmó.
Retos estructurales
Aun contando con unos cimientos sólidos, la seguridad preventiva se enfrenta a obstáculos estructurales.
La calidad de los datos sigue siendo desigual. Muchas organizaciones operan en sistemas fragmentados y entornos en la nube, lo que limita la visibilidad. Los modelos de inteligencia artificial entrenados con datos incompletos o sesgados heredan esos defectos.
[Lea también: ¿Qué es la IA agencial? Lo que debe saber sobre este nuevo tipo de IA]
La integración supone otro obstáculo. Los enfoques preventivos funcionan mejor cuando las herramientas comparten datos y coordinan las respuestas. En la práctica, las estructuras de seguridad siguen estando compartimentadas, con una interoperabilidad limitada.
También existe una barrera cultural. Pasar de una investigación dirigida por personas a una actuación dirigida por máquinas requiere confianza. Esa confianza se va forjando poco a poco, sobre todo tras los fallos de la inteligencia artificial que han tenido gran repercusión mediática.
Los atacantes siguen estudiando los sistemas de defensa y poniendo a prueba sus límites. A medida que las herramientas predictivas se generalizan, los atacantes prueban nuevas técnicas para eludir la detección, manipular los modelos y aprovechar los puntos ciegos. Ese ciclo continuo ejerce una presión constante sobre las organizaciones para que actualicen sus sistemas, perfeccionen los controles y revisen sus hipótesis.
Un futuro que aún se está forjando
La visión de Gartner es ambiciosa. Prevé sistemas de seguridad que se comporten de forma más parecida a los sistemas inmunitarios, detectando amenazas, adaptándose continuamente y neutralizando los riesgos de forma autónoma.
«: Veo un sistema inmunológico digital para la empresa...»La IA forma parte de la transformación.»Jim Routh, director de confianza de Saviynt y antiguo director de seguridad de la información (CISO)
Routh ha descrito un concepto similar en su trabajo en el ICIT, al que denomina «sistema inmunológico digital». En ese modelo, los sistemas basados en inteligencia artificial supervisan continuamente si se producen desviaciones respecto a los patrones y activan respuestas automatizadas en milisegundos, recurriendo a los seres humanos únicamente cuando es necesario. El objetivo, escribió, es igualar la velocidad de los ataques actuales sin tener que depender de los analistas para poner en marcha cada medida defensiva.
«Veo un sistema inmunológico digital para la empresa», afirmó Routh. «La inteligencia artificial forma parte de la transformación».
La diferencia radica en las expectativas. Gartner definió la seguridad preventiva como un cambio a corto plazo. Los profesionales lo describieron como una evolución gradual, limitada por la realidad organizativa.
Por el momento, es probable que la mayoría de las empresas adopten una postura intermedia y prueben herramientas como el engaño cibernético. Pueden recurrir al análisis predictivo, la gestión de la exposición y la automatización para mejorar los tiempos de respuesta y reducir el ruido. Los seres humanos seguirán desempeñando un papel fundamental en la interpretación de las señales y la gestión de riesgos.
La verdadera predicción al estilo de «Precrime» sigue siendo difícil de alcanzar.
¿Qué se podría obtener?
Si la seguridad preventiva llega a imponerse, los beneficios podrían ser considerables. Las organizaciones podrían reducir las superficies de ataque antes de que sean objeto de explotación. Podrían reducir los brotes de ransomware, limitar el movimiento lateral y evitar que los incidentes menores se conviertan en crisis. Los equipos de seguridad podrían dedicar menos tiempo a resolver problemas urgentes y más tiempo a mejorar la resiliencia.
También podría cambiar la forma en que las empresas perciben el riesgo, desplazando el enfoque de los análisis a posteriori hacia la prevención.
Sin embargo, ese futuro depende de una aplicación cuidadosa, de unas expectativas realistas y de una inversión sostenida en los aspectos fundamentales.
Como señaló Nather: «Antes de cambiar las reglas del juego en cuanto a las medidas que desea adoptar, más le vale asegurarse de que realmente quiere llevarlas a cabo».
El sistema «Precrime» de «Minority Report» ( ) acabó por derrumbarse bajo el peso de sus propios errores. La versión dedicada a la ciberseguridad aún se encuentra en fase de desarrollo. Que se convierta en una red de alerta temprana fiable o en otra visión de la que se ha prometido demasiado dependerá menos de los algoritmos que de la prudencia con la que las organizaciones los utilicen.
Por el momento, los precognitivos siguen siendo humanos.
