¿Cuál será el mayor cambio en las organizaciones en la forma de gestionar el riesgo en ciberseguridad?

En esta ocasión, Santiago Alvarez de Cienfuegos, Country Manager Spain at XM Cyber, nos responde a la pregunta planteada:

En 2026 veremos un cambio fundamental y es que las organizaciones finalmente asumirán que no todas las exposiciones importan igual. Tras años luchando contra listas interminables de vulnerabilidades, el mercado está empezando a adoptar lo que en XM Cyber llevamos tiempo demostrando: solo una fracción —en torno al 2%— de las exposiciones realmente pone en riesgo los activos críticos del negocio. El resto genera ruido, fatiga operativa y una falsa sensación de avance.

Tres tendencias marcarán claramente 2026:

El fin de la priorización basada únicamente en CVSS
Los equipos dejarán de perseguir cada CVE “crítico” y empezarán a hacerse la pregunta correcta: «¿esta exposición forma parte de una ruta de ataque real hacia mis activos críticos?». Cuando la respuesta es no, la prioridad cambia por completo.

CTEM pasa de concepto a realidad operativa
El framework de Continuous Threat Exposure Management dejará de ser una slide en una presentación. Las organizaciones que adopten una validación continua de rutas de ataque reducirán su superficie de ataque hasta en un 75%, concentrando el esfuerzo solo donde realmente impacta.

La cuantificación del riesgo se vuelve tangible
El foco dejará de estar en contar vulnerabilidades o medir ratios de remediación. En su lugar, las organizaciones pasarán a medir riesgo real de compromiso, entendiendo qué rutas de ataque están vivas, cuáles conducen a activos críticos y cómo se reduce ese riesgo al cerrarlas. El resultado ya no será “tenemos miles de vulnerabilidades abiertas”, sino “hemos eliminado la mayoría de las rutas de ataque viables hacia nuestros sistemas críticos, reduciendo de forma medible el impacto potencial de una brecha en el negocio”.

El mensaje es claro: en 2026 ganarán las organizaciones que trabajen más inteligentemente, no más duramente. Porque al final, qué prefieren los adversarios; pues que remediemos miles de exposiciones irrelevantes… mientras dejamos abierta la única ruta que realmente necesita para comprometer el negocio.