Carlos A. Castañeda-Marroquín, director de Soluciones e Innovación de Integrity360 España.
Durante años, muchas organizaciones han considerado suficiente realizar una evaluación anual de su seguridad para verificar su nivel de protección. El ejercicio cumplía con los requisitos normativos, aportaba tranquilidad al consejo de administración y permitía identificar vulnerabilidades en un momento concreto. Sin embargo, en un entorno en el que la infraestructura tecnológica cambia constantemente, esa fotografía anual ha dejado de reflejar el riesgo real al que se enfrenta una empresa.
Imaginemos una organización que realiza una prueba de penetración en enero. El informe es positivo, las vulnerabilidades críticas se corrigen y la actividad continúa con normalidad. Sin embargo, durante los doce meses siguientes se producen migraciones a la nube, nuevas integraciones con terceros, despliegues de aplicaciones, cambios en la gestión de identidades, incorporación de API y proyectos de inteligencia artificial. Cuando llega diciembre, la infraestructura ya no se parece a la evaluada meses atrás. La pregunta es inevitable: ¿sigue siendo válido aquel informe?
La realidad es que los entornos tecnológicos actuales evolucionan a una velocidad que hace imposible confiar en una única fotografía anual del riesgo. Las organizaciones modernas operan en ecosistemas dinámicos, en los que el cambio es constante. Cada nueva aplicación, cada servicio en la nube y cada conexión adicional amplían potencialmente la superficie de ataque.
Esta transformación coincide, además, con un contexto regulatorio más exigente, marcado por normativas como NIS2 o DORA, que sitúan la gestión continua del riesgo en el centro de la estrategia de ciberseguridad.
La cuestión ya no es con qué frecuencia se realiza una prueba de penetración, sino si la organización está evaluando su exposición al mismo ritmo al que cambian su negocio y sus riesgos. Y, para la mayoría de las empresas, la respuesta es sencilla: todos los días.
Esto no significa que las pruebas de penetración tradicionales hayan perdido valor. Siguen siendo una herramienta esencial para identificar vulnerabilidades explotables y validar controles de seguridad. Lo que ha cambiado es su papel dentro de la estrategia de ciberseguridad: han dejado de ser una actividad puntual para convertirse en un proceso continuo de gestión del riesgo.
Las organizaciones más maduras ya están adaptando sus programas de seguridad a esta nueva realidad. En lugar de depender exclusivamente de una revisión anual, incorporan pruebas periódicas alineadas con el ritmo de cambio del negocio. En algunos casos, esto implica revisiones trimestrales; en otros, evaluaciones mensuales o modelos continuos de pruebas de penetración como servicio, conocidos como PTaaS por sus siglas en inglés.
La razón es sencilla: los atacantes no esperan doce meses para buscar nuevas oportunidades.
Cada cambio significativo en la infraestructura debería considerarse un posible detonante para realizar pruebas adicionales. Una migración a la nube, la implantación de una nueva plataforma corporativa, una modificación en la arquitectura de identidad o la publicación de una API orientada a clientes pueden introducir nuevas vulnerabilidades que no existían durante la última evaluación.
La aparición de la inteligencia artificial acelera aún más esta necesidad. Muchas organizaciones están incorporando modelos de IA en procesos internos, aplicaciones de negocio y plataformas de atención al cliente. Estas tecnologías generan nuevas superficies de exposición que las metodologías tradicionales de prueba no siempre contemplan.
La manipulación de modelos, la inyección de instrucciones maliciosas, la exposición de datos de entrenamiento o los problemas asociados a permisos excesivos son riesgos que ya forman parte de la conversación sobre seguridad.
Al mismo tiempo, los ciberdelincuentes también están aprovechando la IA para automatizar tareas de reconocimiento, mejorar campañas de suplantación de identidad, como el phishing, y acelerar el desarrollo de ataques. En este contexto, una prueba realizada hace diez o doce meses puede ofrecer una falsa sensación de seguridad.
La frecuencia adecuada dependerá del perfil de riesgo de cada organización. Una empresa con una infraestructura estable y pocos cambios tecnológicos puede seguir apoyándose en evaluaciones anuales complementadas con análisis regulares de vulnerabilidades. Sin embargo, las organizaciones que operan en sectores regulados, manejan información sensible o mantienen ciclos continuos de desarrollo deberían adoptar una cadencia mucho más frecuente.
Los sectores financiero, sanitario y energético, las administraciones públicas y los proveedores de servicios digitales se encuentran entre los que más se benefician de los enfoques continuos. También aquellas compañías que desarrollan software de forma constante o que dependen de arquitecturas complejas en la nube.
No se trata únicamente de encontrar vulnerabilidades. Se trata de obtener visibilidad continua sobre el nivel real de exposición de la organización y de reducir la ventana de oportunidad para los atacantes.
La ciberseguridad moderna exige pasar de una mentalidad basada en el cumplimiento a otra basada en la resiliencia. Cumplir con una auditoría anual puede satisfacer una obligación regulatoria; mantener una evaluación continua del riesgo es lo que ayuda a proteger el negocio.
Los líderes empresariales entienden perfectamente que una estrategia comercial no puede revisarse una vez al año y permanecer inalterada durante doce meses. Lo mismo ocurre con la seguridad. Cuando el entorno cambia constantemente, los mecanismos de validación también deben evolucionar.
La buena noticia es que la tecnología y los nuevos modelos de servicio permiten hacerlo de forma más eficiente que nunca. Hoy es posible integrar las pruebas de seguridad en los ciclos operativos del negocio, obtener resultados en tiempo real y priorizar la remediación en función del impacto real para la organización.
En 2026, una evaluación anual de la ciberseguridad debe considerarse el punto de partida, no la meta. Las empresas evolucionan día a día, semana a semana. Su forma de medir y validar el riesgo también debería ser igual de frecuente, más dinámica y alineada con la velocidad a la que evoluciona el negocio.
El riesgo ya no se actualiza una vez al año; las pruebas de seguridad tampoco deberían hacerlo.
*** Carlos A. Castañeda-Marroquín es director de Soluciones e Innovación de Integrity360 España