Menos de 590 empresas en México están certificadas contra riesgos cibernéticos

Por Ernesto Chera

México ostenta un puesto de liderazgo en América con 589 certificaciones ISO 27001, solo por detrás de los 1,898 de Estados Unidos. Sin embargo, este dato es la cara visible de una paradoja peligrosa: la inmensa mayoría de las más de 5.4 millones de empresas en el país navegan en la oscuridad cibernética, expuestas a un ecosistema de amenazas cada vez más sofisticado y con consecuencias que van más allá de un simple hackeo.

Según el último ISO Survey 2023, México se coloca en el puesto 21 a nivel global y en el segundo lugar en el continente americano en posesión de la certificación ISO 27001, el estándar internacional más reconocido para los Sistemas de Gestión de Seguridad de la Información (SGSI). Japón, China e India encabezan la lista global con miles de certificaciones, marcando la ruta de las economías que priorizan la protección de datos como un activo estratégico.

No obstante, al contrastar esta cifra con los Censos Económicos 2025 del INEGI, se revela una brecha crítica: las 589 empresas certificadas representan apenas una fracción mínima (0.0108%) del total de 5.45 millones de empresas privadas y paraestatales en el país. Incluso al enfocarse solo en los 636 corporativos registrados ante la Secretaría de Economía, la proporción de empresas protegidas con este estándar sigue siendo preocupantemente baja.

Más que firewalls: Las consecuencias del eslabón débil

Para Santiago Fuentes, cofundador y Co-CEO de Delta Protect, empresa mexicana especializada en ciberseguridad, el riesgo no es solo técnico, sino estratégico y reputacional. “Las compañías que no se protegen con procesos internos, servicios externos y/o certificaciones no solo arriesgan información confidencial, sino que enfrentan multas cuantiosas, compensaciones obligatorias a clientes, la fuga de socios comerciales y, sobre todo, un daño irreparable a su reputación que tarda años en reconstruirse”, advierte.

Esta alerta cobra fuerza en un contexto donde la confianza del consumidor es el nuevo currency. Un solo incidente de fuga de datos puede tumbar la valoración de una empresa de la noche a la mañana.

ISO 27001: La arquitectura de la confianza

Antonio Arellano, también cofundador y Co-CEO de Delta Protect, explica que la ISO 27001 va mucho más allá de un sello en la pared. “Su objetivo es proteger la confidencialidad, integridad y disponibilidad de la información mediante un sistema integral de 93 controles”, destaca.

Esta arquitectura de la confianza se divide en cuatro pilares fundamentales:

1. Organizacionales (37 controles): Desde políticas de seguridad hasta la gestión de incidentes y la cadena de suministro.
2. Tecnológicos (34 controles): Abarcan autenticación segura, cifrado de datos, protección contra malware y copias de seguridad.
3. Físicos (14 controles): Protegen oficinas, equipos y medios de almacenamiento.
4. De Personas (8 controles): Gestionan la concienciación de los empleados, la formación y los acuerdos de confidencialidad, críticos en la era del trabajo híbrido y remoto.

Un llamado a la acción estratégica

El puesto número 2 de México en América en certificaciones ISO 27001 es un logro que merece reconocimiento, pero también es una estadística que enmascara una vulnerabilidad masiva. Señala el camino a seguir, pero también la distancia abismal que queda por recorrer.

Para las empresas que aspiran a competir y prosperar hacia el 2030, la ciberseguridad dejó de ser un gasto operativo del departamento de TI para convertirse en una inversión estratégica de supervivencia y rentabilidad. La pregunta que deben responder los líderes empresariales ya no es "¿por qué certificarnos?", sino "¿cuánto estamos dispuestos a perder si no lo hacemos?".