En los últimos dos años, las empresas brasileñas han intensificado su proceso de transformación digital, adoptando soluciones como la computación en la nube, la Inteligencia Artificial (IA) y la automatización para ganar eficiencia y agilidad. El problema es que, al incorporar estas nuevas tecnologías, las empresas también comienzan a lidiar con nuevas vulnerabilidades. En los últimos trimestres, Brasil ha sido testigo de un aumento significativo de los incidentes cibernéticos. Un informe publicado por Check Point Research mostró que, en el tercer trimestre de 2024, las empresas brasileñas sufrieron en promedio 2.766 ataques semanales cada una con un salto de 95% respecto al mismo período de 2023.

Muchas empresas aceleraron proyectos de nube digital durante la pandemia y la pospandemia, pero no todas fortalecieron sus defensas al mismo ritmo. Como resultado, 83% de grandes empresas sufrieron al menos un ciberataque grave en 2023, provocando tiempos de inactividad no planificados, pérdidas financieras y fuga de datos.

Además de fortalecer las defensas corporativas, todavía estamos lejos de tener procesos de gobernanza maduros. Los datos indican que el número de organizaciones en Brasil sin gobernanza de datos puede llegar a 80%.

Innovación versus seguridad: ¿estamos ampliando nuestra vulnerabilidad?

Aunque las inversiones en ciberseguridad y estructuración de la gobernanza siguen siendo tímidas, la carrera por la innovación ha experimentado un aumento en los presupuestos de TI durante el año pasado: de 2023 a 2024, el mercado brasileño de TI creció 13,9%, superando el promedio mundial y alcanzando US$ 58,6 mil millones. Las prioridades de inversión han incluido la modernización de la infraestructura en la nube, la digitalización de los procesos comerciales y la adopción de IA generativa.

Los sectores tradicionales, como la banca, lideran las inversiones en innovación en 2023 y 2024. Los bancos y fintechs invierten fuertemente en la nube y la IA para ofrecer banca móvil y pagos digitales. En general, las empresas brasileñas destinaron alrededor del 9,4% de sus ingresos en 2023 y 2024 a Tecnologías de la Información y las Comunicaciones (TIC). La Fundación Getulio Vargas (FGV) estima que este porcentaje aumentará a 11% en los próximos dos o tres años, a medida que las organizaciones sigan invirtiendo en innovación y modernización.

Por otro lado, el país se ha convertido en el segundo país más atacado del mundo en cibercrimen, con más de 700 millones de ataques en 12 meses (¡1.379 ataques por minuto!). Sólo en 2024, hubo 356 mil millones de intentos de ciberataques en territorio brasileño, un escenario alarmante y que se repite en todo el mundo.

A nivel mundial, hubo un aumento récord de 75% en 2024, un fenómeno atribuido en parte al uso de IA por parte de ciberdelincuentes para automatizar y hacer que los ataques sean más sofisticados. El phishing personalizado masivo, el malware adaptativo y el DDoS más potente son ejemplos de amenazas impulsadas por inteligencia artificial maliciosa.

Las vulnerabilidades también crecen de nuevas maneras: un estudio señala que 57% de empresas brasileñas ya utilizan IA para generar código de software, la tercera tasa más alta del mundo. Paradójicamente, 44% de estas organizaciones tienen el código generado por IA como principal preocupación de seguridad, por temor a fallas inesperadas o lagunas introducidas por la generación autónoma de software. API: esenciales para integrar sistemas y aplicaciones (44%) de estas organizaciones tienen código generado por IA en Brasil ve altos riesgos en las API expuestas. En resumen, al mismo tiempo amplifican la innovación, iniciativas como DevOps ágil, migración y amplifican el uso de IA para extender los entornos a vectores extendidos, iAps para extender el uso y proteger los vectores.

El problema es que la innovación no necesariamente va de la mano con el aumento de la seguridad digital. Aunque muchas empresas son más innovadoras en ciberseguridad y aumentan su arsenal de soluciones para la defensa, la etapa aún es inicial. El año pasado, el Instituto de Mercados, Innovación y Tecnología (MiTi) y el Laboratorio de Diseño de Seguridad (SDL) publicaron una encuesta sectorial de ciberseguridad, que evaluó la madurez de 181 empresas brasileñas. El estudio señaló que, a pesar de las mejoras, el nivel promedio de madurez en ciberseguridad fue de 53%, todavía medio (TP3T aunque supone un avance respecto al año anterior 4913.

Este número indica que la mayoría de las empresas todavía están por debajo de las mejores prácticas. Por ejemplo, 53% de empresas autentican sistemas críticos sólo con inicio de sesión y contraseña, un método obsoleto, mientras que 24% no tiene un presupuesto dedicado a la ciberseguridad y 27% no realiza pruebas de penetración con regularidad. Estas cifras muestran que, aunque las inversiones están creciendo, todavía quedan importantes lagunas que colmar en términos de política, cultura y gobernanza.

Gobernanza: junto con la innovación, puede aumentar la resiliencia cibernética

Existe una clara correlación entre la madurez de la gobernanza y el cumplimiento y la capacidad de la empresa para resistir incidentes cibernéticos o impulsar innovaciones con éxito. Los datos sugieren que las organizaciones con buenas prácticas de GRC (Gobernanza, Riesgo y Cumplimiento) sufren menos impactos y logran mejores resultados en sus proyectos de transformación digital.

Por ejemplo, la misma encuesta realizada por MiTi y SDL también arrojó datos de que el 38% de las empresas no tiene un plan de respuesta a incidentes y el 46% no tiene un plan de recuperación ante desastres. Estas cifras son preocupantes, ya que la ausencia de planes de contingencia eficaces tiende a prolongar y agravar los daños cuando se produce un ataque.

Por el contrario, las empresas que anticipan riesgos e invierten en seguridad obtienen beneficios tangibles. Un estudio global realizado por PwC destaca que sólo 5% de las empresas realmente ponen la seguridad en el centro de su innovación, integrando el trabajo del CISO desde el inicio de los proyectos.

Es decir, insertar gobernanza y seguridad desde la concepción de nuevas iniciativas informáticas aumenta la probabilidad de que se pongan en marcha nuevos proyectos sin aumentar la superficie de ataque digital y sin dejar a las empresas aún más vulnerables. Sin gobernanza, las iniciativas de big data, la inteligencia artificial o la transformación digital corren el riesgo de fracasar o generar consecuencias no deseadas (como el mal uso de la información o sistemas frágiles).

A las empresas con una gobernanza más madura les resulta más fácil cumplir con los requisitos regulatorios y de los clientes, lo que permite la participación en nuevos mercados y asociaciones de innovación. Por otro lado, la falta de cumplimiento puede obstaculizar los proyectos IMAGINE desarrollando una solución innovadora que se ocupe de datos personales sin cumplir con la LGPD: el proyecto enfrentará obstáculos legales y de reputación. Por lo tanto, unas estructuras sólidas de cumplimiento y seguridad aumentan la confianza de las partes interesadas y permiten que la innovación florezca de manera responsable y resiliente.

En resumen, la gobernanza y la seguridad no son antagónicas a la innovación; por el contrario, funcionan como base para la innovación sostenible. Las empresas que estructuran comités, políticas y planes de respuesta sufren menos eventos cibernéticos imprevistos y pueden centrarse en hacer crecer el negocio. Aquellos que descuidan estos elementos estratégicos terminan más expuestos a interrupciones, pérdidas financieras y la necesidad de remediación de emergencia, lo que invariablemente retrasa o redirige las inversiones que podrían destinarse a la innovación. Las cifras confirman: la madurez en gobernanza, cumplimiento y seguridad van de la mano de una mayor resiliencia y éxito en los emprendimientos tecnológicos. Las empresas que pueden alinear estos frentes no sólo deben lograr sostenibilidad frente a sostenibilidad sino también protegerse mejor contra la innovación y la confianza.

La incorporación de criterios ESG (Ambiental, Social y Gobernanza) en los pasos de debida diligencia El análisis de riesgos (investigación y análisis exhaustivos realizados antes de completar fusiones, adquisiciones, asociaciones o inversiones) es una práctica relativamente reciente. Sin embargo, ha ganado terreno en los últimos años, lo que refleja la creciente preocupación del mercado por los riesgos no financieros que impactan directamente la reputación, la sostenibilidad y el valor a largo plazo de las empresas.

EL debida diligencia ESG surgió como una evolución de los criterios tradicionales debida diligencia Aspectos legales, contables, laborales, fiscales y financieros. Se basa en la presión de inversores, consumidores y organismos reguladores, que consideran los factores ambientales, sociales y de gobernanza como criterios esenciales para evaluar riesgos y oportunidades. Por lo tanto, la adopción de esta práctica refleja un cambio de paradigma: el desempeño ESG se entiende no solo como una ventaja competitiva, sino como un requisito para la continuidad del negocio.

En la práctica, el proceso incluye evaluar si la empresa cumple con la legislación ambiental y adopta prácticas sostenibles; verificar las condiciones laborales, la diversidad y los derechos humanos en la cadena de producción; y analizar las estructuras de gobernanza, la transparencia, la ética y la lucha contra la corrupción. El objetivo es garantizar que la empresa sea responsable y resiliente, protegiendo al inversor de responsabilidades ocultas.

El primer paso para lograrlo debida diligencia ESG implica planificación y definición del alcance. Esto implica identificar los objetivos de la empresa. debida diligenciaDefinir los criterios ESG relevantes según el sector, la región y el tamaño de la empresa; y designar a los miembros del equipo responsables de realizar el trabajo. Este equipo puede estar compuesto por empleados internos o profesionales vinculados a una consultoría especializada.

Posteriormente, se debe recopilar información, solicitando documentos e informes relacionados con políticas ambientales (licencias, uso de recursos, emisiones, residuos, gestión de riesgos ambientales, etc.), políticas sociales (prácticas laborales, diversidad, salud, seguridad y relaciones con las comunidades) y políticas de gobernanza (estructura de control, ética, cumplimiento, transparencia y anticorrupción). Con todo esto en mente, es importante hablar con los líderes de la empresa responsables de las áreas ESG y de riesgo y, de ser posible, realizar visitas técnicas. in loco para verificar prácticas y estructuras físicas.

Tras evaluar el cumplimiento de las leyes y regulaciones, la alineación con estándares internacionales (como GRI, SASB, TCFD y OCDE) y la identificación de riesgos potenciales (bajos, medios o altos), así como oportunidades de mejora, se debe elaborar un informe detallado. Además de toda la información recopilada, este debe incluir recomendaciones, como posibles medidas correctivas, e indicar cláusulas contractuales o garantías (si corresponde a una transacción corporativa).

Para concluir, es posible establecer mecanismos de seguimiento y monitoreo de la evolución ESG dentro de la empresa, con la posible realización de auditorías periódicas o KPIs (siglas de Indicadores clave de rendimiento o Indicadores clave de rendimiento) sostenible. Todo el proceso contribuye a la toma de decisiones más informadas, asertivas y sostenibles, mitigando los riesgos legales, financieros y reputacionales.