Hace un año escribí que la ciberseguridad no se construye con miedo

Cerré el artículo del ENISE del año pasado con esta frase:

«El futuro de la ciberseguridad no se construye con miedo, sino con estrategia.»

La escribí convencido, pero un año después hemos vuelto a contar y los números no dicen lo que yo esperaba.

Un lector lo vio antes que yo

El martes publiqué el recuento de este año y un lector me dejó un comentario que me ha tenido pensando dos días.

Venía a decir que el programa no está lleno de inteligencia artificial porque el sector esté convencido, sino porque nadie quiere ser el que no hablaba de eso. Que el beneficio, mirado con frialdad, es pequeño, pero que la pérdida de no subirse es peor.

No se me había ocurrido nunca, y lo peor es que encaja con mis propios datos mejor de lo que me gustaría.

El pasillo no se ha movido

Fui a buscar mi artículo del año pasado, porque ya no me acordaba de qué había puesto en él.

En 2025 clasificamos las 118 empresas que dieron charla en 9 categorías. Este año hemos clasificado los 129 stands de empresa del plano en 3. No son lo mismo, así que comparar las dos tablas a pelo no vale: si las pones una al lado de otra sale un vuelco enorme que no ha ocurrido.

Aun emparejando las categorías con toda la generosidad posible, en 2025 el producto estaba entre el 38 % y el 44 % del pasillo y este año está en el 44,2 %, que es justo el borde de arriba de aquella horquilla y lo roza por fuera, así que no estamos ante un salto sino ante la misma foto repetida con doce meses de diferencia.

El escaparate, por tanto, sigue donde estaba, y el desajuste del que hablé el martes, ese de que se expone más producto del que luego aparece en la factura del sector, no lo ha traído la inteligencia artificial ni este ciclo concreto: es estructural y lleva ahí por lo menos 2 ediciones.

Me gustaría haber encontrado otra cosa, porque un cambio se cuenta mucho mejor que una constante, pero es lo que hay y no voy a maquillarlo.

El discurso sí se ha movido

Donde sí hay movimiento es en lo que se dice desde el escenario, y ahí los números son bastante más elocuentes.

El programa de este año tuvo 241 sesiones. De las que dijeron de qué iban, el 21 % hablaba de inteligencia artificial, casi el doble que el segundo tema. Cumplimiento y normativa, un 12 %. Resiliencia, un 9 %. Detección y centros de operaciones, un 8 %.

Al final de la lista está lo que de verdad cuesta dinero cuando sale mal. Postcuántica, un 2 %. Cadena de suministro, menos de un 2 %, y ninguna de esas sesiones en los turnos de empresa. Fraude, un 1 %.

El fraude que conté en mi ponencia costó 36 millones de euros a un banco y no necesitó ninguna tecnología nueva: un mensaje que parecía del consejero delegado, una llamada con la voz clonada de un abogado, unos correos, y de todo eso se habló en el 1 % del programa.

Un pasillo igual que el del año pasado con un escenario que habla de otra cosa ya no describe un cambio de mercado, sino un cambio de relato.

El escenario tampoco es lo que yo dije que era

En el artículo de 2025 escribí, muy satisfecho, que los Speaker Corners habían pasado «del escaparate al laboratorio». Que ya no eran vitrinas sino espacios de demostración y transferencia.

Este año, de los 166 turnos de empresa en esos mismos Corners, 75 no llevaban título, el 45 %: 20 minutos de escenario y un campo donde escribir de qué ibas a hablar, y casi la mitad lo dejó en su razón social.

No está comprobado cuántos lo llevaban en 2025, así que no puedo decir que haya empeorado, pero sí puedo decir que aquella frase no describe lo que hay ahora y que la escribí sin haber contado nada.

Microsoft hace lo mismo, con muchos más ceros

Esta semana Microsoft ha ofrecido la salida voluntaria a unos 60.000 empleados, alrededor de una cuarta parte de su plantilla, en 4 países. La misma empresa dedicó 41.000 millones de dólares a inversión de capital en un solo trimestre, en buena parte centros de datos y los chips que necesita la inteligencia artificial.

Conviene ser exacto, porque esto se está contando mal en todas partes. Microsoft no ha dicho que la inteligencia artificial sustituya esos puestos. Sobre el plan anterior afirmó literalmente lo contrario, y conviene añadir que esos 60.000 son a cuánta gente alcanza la oferta y no cuánta acabará marchándose.

Pero el movimiento, en bruto, es el mismo que el del pasillo de León: invertir muchísimo en lo que todo el mundo está invirtiendo, y recortar donde se puede medir, con la diferencia de que de lo primero todavía no se sabe cuánto rinde mientras que lo segundo aparece en la cuenta de resultados el trimestre siguiente.

Cuando invertir es cuidar la reputación

El martes terminé diciendo que un comité de dirección que entra en esto una vez al año no elige: coge lo que se deja enseñar.

Lo que no dije, porque no lo había pensado, es que nosotros hacemos exactamente lo mismo. Un sector entero llenando un programa con el tema del que no se puede no hablar, porque el coste de parecer antiguo es inmediato y el de comprar algo que no rinde tarda 2 años en aparecer.

Llamamos inversión a lo que en realidad es cuidar la reputación, y eso se reconoce por una señal que está a la vista de cualquiera: cuando nadie pregunta qué problema resuelve, sino si ya lo tenemos.

3 preguntas que lo distinguen

Separar una cosa de la otra no exige saber de tecnología, porque con 3 preguntas hechas en un comité se ve enseguida de cuál de las dos se trata.

• Qué medías antes. Si no hay línea de base no hay retorno que calcular, sino una sensación de ir deprisa, y conviene tomarla antes de comprar y no después, porque la que se toma después ya no mide nada: justifica.

• Qué dejarías de hacer si esto funciona. Si la respuesta es «nada, se suma», lo que has comprado es un seguro contra parecer lento. Los seguros tienen su sitio, pero no se pagan del presupuesto de transformación.

• Quién firma esa respuesta. No quien lo instala: el dueño del proceso. Si la única persona capaz de explicar para qué sirve es la que lo ha montado, lo que tienes es una afición cara.

Las tres valen igual para la inteligencia artificial que para un cortafuegos, que es precisamente la parte incómoda del asunto.

Un estudiante me preguntó a qué nos dedicábamos

Al bajarme del escenario en León se me acercó un estudiante y me preguntó a qué nos dedicábamos. Le dije que esa era la pregunta que menos sirve, y que probara con otras dos:

¿Qué problemas resuelve cada empresa?, y ¿en qué retos concretos está trabajando?

Me pareció un buen consejo para alguien que empieza, y dos días después me di cuenta de que se lo había dado a la persona equivocada.

Hace un año escribí que el futuro de la ciberseguridad no se construye con miedo, sino con estrategia, y lo sigo creyendo; lo que ya no tengo tan claro es que lo estemos haciendo así, y el primero que debería contestar a esas dos preguntas soy yo.