Septiembre tiene una forma muy particular de desordenar a las empresas.
No suele hacerlo con una gran crisis el primer día. Lo hace de manera más discreta: bandejas de entrada llenas, aprobaciones pendientes, proveedores que vuelven a llamar, proyectos que se reactivan con prisa, accesos temporales que nadie cerró, campañas comerciales que arrancan rápido, usuarios con fatiga digital y decisiones que se toman para “no perder más tiempo”.
La empresa vuelve. Pero no vuelve limpia, vuelve con inercia acumulada.
Durante las vacaciones, muchas cosas se han quedado a medio revisar. Cambios pendientes. Parches aplazados. Alertas miradas de reojo. Usuarios trabajando desde ubicaciones distintas. Proveedores en modo mínimo. Equipos usando herramientas nuevas para resolver tareas rápido. Documentos compartidos. Correos reenviados. Contraseñas que alguien pidió restablecer. Peticiones urgentes que esperaban respuesta.
En ese terreno aparece una superficie de ataque menos visible que un servidor expuesto, pero igual de peligrosa: la combinación de prisa, confianza, cansancio y falta de gobierno.
Para una alta dirección madura, la vuelta de vacaciones no debería ser solo una reactivación operativa. Debería ser una revisión breve, selectiva y seria de los puntos donde la empresa puede ser engañada, interrumpida, sancionada o empujada a decidir con información incompleta.
No hacen falta veinte reuniones. Hace falta una conversación bien planteada.
El riesgo ya no entra siempre por la puerta técnica
Durante años, muchas empresas han asociado la ciberseguridad con infraestructura: servidores, firewalls, antivirus, VPN, parches, copias de seguridad, monitorización. Todo eso sigue siendo necesario. Pero el riesgo actual se mueve también por zonas más humanas y directivas.
> Una instrucción aparentemente legítima.
> Un cambio urgente de cuenta bancaria.
> Una petición de acceso fuera de circuito.
> Una llamada que parece venir de alguien conocido.
> Una videollamada breve, convincente y difícil de verificar.
> Un correo muy bien escrito, con contexto real y tono adecuado.
> Un proveedor que solicita una excepción “solo por unos días”.
> Un responsable que autoriza algo porque septiembre va cargado y hay que avanzar.
La ingeniería social siempre ha buscado lo mismo: que alguien haga algo que no debería hacer, o que lo haga por un canal incorrecto.
La diferencia es que ahora el engaño tiene mejores herramientas.
La inteligencia artificial generativa permite preparar mensajes más creíbles, personalizar ataques, simular estilos de comunicación, traducir sin errores, analizar perfiles públicos, automatizar conversaciones y crear contenido sintético con una calidad cada vez más difícil de distinguir a simple vista.
El fraude ya no necesita parecer tosco.
→ Puede parecer interno.
→ Puede parecer oportuno.
→ Puede parecer urgente.
Y eso cambia la responsabilidad de la empresa. La defensa ya no puede depender solo de que una persona “se dé cuenta”. Hay que proteger los procesos donde una decisión equivocada puede tener impacto: pagos, cambios de IBAN, altas de proveedores, permisos privilegiados, excepciones de seguridad, transferencias de información, órdenes de dirección o accesos temporales.
La pregunta que conviene hacerse en septiembre es incómoda, pero útil:
¿qué decisiones sensibles pueden tomarse hoy en la empresa con una sola validación?
Si la respuesta es “varias”, ahí hay una exposición que no se arregla con un cartel de concienciación.
Suplantación con IA: cuando la confianza necesita circuito
La suplantación siempre ha aprovechado relaciones de confianza. La novedad no está en la intención, sino en la calidad de la apariencia.
Un atacante puede construir contexto a partir de LinkedIn, notas de prensa, organigramas, publicaciones corporativas, eventos, proveedores conocidos y patrones de comunicación. Puede preparar un mensaje que encaja con el momento de la empresa. Puede simular urgencia sin parecer exagerado. Puede imitar lenguaje directivo. Puede usar voz o vídeo sintético como refuerzo. Puede mezclar canales: primero correo, luego llamada, después mensaje.
El objetivo no es hackear una máquina.
Es hackear una decisión.
Por eso la alta dirección debería revisar los circuitos de validación de operaciones sensibles. No desde la desconfianza hacia las personas, sino desde la madurez del proceso.
Un cambio de cuenta bancaria de proveedor debería tener doble verificación por canal independiente. Una orden de pago urgente debería seguir un circuito definido. Una excepción de acceso debería tener caducidad, responsable y justificación. Una petición sensible por mensajería debería confirmarse por un canal seguro. Una instrucción fuera de procedimiento debería quedar documentada.
La confianza informal es buena para trabajar. Es mala como único control.
Septiembre, con su mezcla de urgencias y reactivaciones, es un buen momento para revisar qué decisiones dependen demasiado de la costumbre.
Identidad: el mapa de quién puede hacer qué
La identidad digital se ha convertido en una de las grandes superficies críticas de la empresa. No porque el concepto sea nuevo, sino porque casi todo pasa ya por cuentas, permisos, sesiones, tokens, integraciones, roles y plataformas cloud.
Un usuario no es solo una persona con contraseña.
Puede ser una cuenta con acceso a Microsoft 365, Google Workspace, ERP, CRM, VPN, repositorios, plataformas SaaS, paneles de administración, herramientas de soporte, sistemas de facturación, almacenamiento cloud, firma electrónica, analítica, marketing automation o entornos de desarrollo.
Y junto a los usuarios internos aparecen proveedores, cuentas técnicas, cuentas compartidas, administradores, identidades federadas, aplicaciones autorizadas por OAuth, sesiones persistentes, dispositivos de confianza y permisos heredados.
Después de vacaciones conviene mirar la identidad con una pregunta más ejecutiva que técnica:
¿sabemos qué identidades pueden afectar al negocio si se comprometen?
No todas las cuentas pesan igual. No todos los accesos tienen el mismo impacto. No todos los proveedores deberían tener la misma capacidad de entrada. No todas las sesiones abiertas son inocuas. No todos los permisos antiguos deberían sobrevivir al paso del tiempo.
Una revisión seria no consiste solo en comprobar si hay MFA. Eso ya debería estar asumido en los entornos críticos. La revisión útil mira cuentas privilegiadas, accesos externos, permisos temporales, usuarios inactivos, cambios de rol, aplicaciones conectadas, autenticación en herramientas SaaS, políticas de acceso condicional y capacidad de trazabilidad.
La identidad es donde se cruzan personas, tecnología y gobierno.
Cuando está mal gobernada, el atacante no necesita romper la puerta. Le basta con encontrar una llave olvidada.
Shadow AI: la herramienta que quizá ya trabaja dentro
La inteligencia artificial no siempre entra en una empresa por una decisión formal del comité.
A veces entra por una persona que quiere resumir un documento. Por un equipo comercial que prepara propuestas. Por marketing que genera contenido. Por recursos humanos que filtra perfiles. Por soporte que redacta respuestas. Por IT que analiza logs. Por operaciones que automatiza tareas. Por dirección que pide resúmenes ejecutivos.
La adopción real suele ir por delante de la política.
Ese desfase es uno de los puntos más delicados de la vuelta postvacacional. Equipos que han probado herramientas durante el verano vuelven con hábitos nuevos. Algunas herramientas serán útiles. Otras quizá traten datos personales, información confidencial, datos de clientes, contratos, código, documentación interna o decisiones sensibles sin que la empresa haya definido reglas claras.
La pregunta no es si la empresa “permite IA” en abstracto.
La pregunta es más concreta:
qué herramientas se usan, con qué datos, para qué procesos, qué proveedor interviene, qué salida se revisa, qué usos están prohibidos, qué evidencias quedan y quién asume la responsabilidad si una decisión asistida por IA genera un problema.
El AI Act empuja esta conversación hacia un terreno más práctico, especialmente en obligaciones de transparencia, gobernanza y control de determinados sistemas. Pero incluso al margen de la norma, el riesgo empresarial ya existe.
Una organización madura no debería esperar a tener un incidente para descubrir su mapa real de IA.
Septiembre puede ser un buen momento para pedir una fotografía honesta: qué herramientas de IA están usando los equipos, dónde aportan valor, dónde introducen riesgo y qué mínimos de gobierno deben aplicarse.
Proveedores: los que vuelven contigo aunque no estén en tu oficina
La empresa vuelve de vacaciones, pero también vuelven sus terceros.
El proveedor IT. El integrador. La plataforma cloud. El partner de soporte. La agencia de marketing. El software de nóminas. La asesoría. El proveedor de mantenimiento. El servicio de backup. El SOC. El fabricante. El operador logístico. El proveedor de IA. La herramienta de ticketing. El CRM. El ERP.
Algunos tienen acceso a datos. Otros a sistemas. Otros a procesos. Otros a clientes. Otros a disponibilidad. Algunos, aunque parezcan secundarios, pueden frenar una operación entera si fallan.
La cadena de suministro digital ya no es un anexo contractual. Es una extensión del riesgo.
Para dirección, la revisión no debería quedarse en si existe un contrato. La pregunta debería ir más lejos:
qué terceros pueden afectar a la continuidad, qué accesos conservan, qué datos tratan, qué subproveedores utilizan, qué evidencias de seguridad pueden aportar, qué ocurre si sufren un incidente y cómo se coordina la respuesta si el problema empieza fuera de la empresa.
Esta conversación conecta directamente con NIS2, ISO 27001, ENS y RGPD. Pero, sobre todo, conecta con una cuestión de negocio: una empresa puede tener sus sistemas internos razonablemente protegidos y seguir siendo vulnerable por una dependencia externa mal gestionada.
El proveedor crítico no es siempre el más caro.
Es el que puede dejarte sin operar, sin datos, sin respuesta o sin confianza.
Infraestructura crítica: mirar lo que sostiene la caja
Después de vacaciones, el equipo técnico suele tener una lista larga de tareas: actualizaciones, incidencias acumuladas, proyectos pendientes, renovaciones, cambios aplazados, tickets antiguos, alertas, mejoras, usuarios que vuelven y nuevas prioridades.
Dirección no necesita entrar en cada detalle técnico. Pero sí necesita saber qué sistemas sostienen la caja.
Correo. Identidad. ERP. CRM. Facturación. VPN o ZTNA. Cloud. Copias de seguridad. EDR. Firewall. Plataforma de clientes. Sistemas industriales. Terminales de punto de venta. Herramientas de soporte. Telefonía. Repositorios. Firma. Producción. Logística.
La infraestructura crítica no se define solo por su complejidad técnica. Se define por el impacto de negocio si falla.
Un sistema aparentemente discreto puede ser crítico si impide facturar, entregar, atender, cobrar, producir, responder a clientes o cumplir una obligación legal. Un backup puede parecer invisible hasta el día en que la empresa necesita restaurar. Una cuenta de administrador puede parecer una comodidad hasta que se convierte en vía de entrada. Una integración puede parecer menor hasta que arrastra datos o procesos entre plataformas.
La vuelta segura debería incluir una revisión breve de los sistemas que no pueden caer durante septiembre y de los cambios que quedaron pendientes antes del verano.
No para paralizar la actividad.
Para priorizar con inteligencia.
Hay empresas que gestionan la infraestructura por ruido: lo más urgente, lo más visible, lo que más se queja. Las empresas maduras la gestionan por impacto.
Compliance: septiembre también pide evidencias
El cumplimiento no se defiende solo con buenas intenciones.
Se defiende con evidencias.
Y septiembre es un buen momento para revisar si la empresa puede demostrar lo que dice que hace. No en una auditoría perfecta, sino en los puntos que realmente importan: análisis de riesgos, revisión de accesos, gestión de proveedores, política de seguridad, formación, tratamiento de incidentes, continuidad, protección de datos, uso de IA y controles sobre sistemas críticos.
NIS2 refuerza la gestión del riesgo, los incidentes, la continuidad, la cadena de suministro y la responsabilidad de dirección. ISO 27001 exige sistema, evidencias, mejora continua y revisión por dirección. ENS trabaja la seguridad de los sistemas, la gestión del riesgo y las medidas aplicables según categoría. RGPD obliga a responsabilidad proactiva, medidas adecuadas, gestión de brechas y protección de datos desde el diseño y por defecto. El AI Act añade una capa nueva para ciertos usos de inteligencia artificial.
La dirección no necesita memorizar cada norma.
Necesita saber qué obligaciones afectan a la empresa, qué responsable interno las gobierna, qué evidencias existen y qué riesgos se han aceptado formalmente.
El cumplimiento maduro no debería ser teatro documental.
Debería ser capacidad de demostrar criterio.
La reunión que dirección debería tener en septiembre
Una reunión bien diseñada puede ahorrar muchos problemas.
No una reunión genérica de “cómo estamos en ciberseguridad”, porque esa pregunta suele producir respuestas vagas. Mejor una sesión corta, con dirección, IT, compliance o DPO, operaciones y quien tenga responsabilidad sobre proveedores o procesos críticos.
Cuarenta y cinco minutos pueden bastar si las preguntas son buenas.
Primera pregunta: ¿qué decisiones sensibles pueden ser manipuladas por suplantación, urgencia o ingeniería social?
Segunda: ¿qué identidades, accesos o proveedores podrían generar más impacto si se comprometen?
Tercera: ¿qué herramientas de IA se están usando ya y con qué datos?
Cuarta: ¿qué sistemas sostienen la operación y qué cambios críticos quedaron pendientes?
Quinta: ¿quién decide si una alerta se convierte en incidente, si se comunica, si se notifica o si se activa continuidad?
Sexta: ¿qué evidencia tenemos de que todo esto está gobernado y no solo comentado?
La seguridad mejora cuando las preguntas llegan antes que el incidente.
Y septiembre, bien usado, permite hacer esas preguntas antes de que la agenda vuelva a estar completamente ocupada.
Una vuelta segura también es cultura directiva
La cultura de ciberseguridad no se construye únicamente con píldoras formativas ni con campañas internas. Se construye cuando la dirección actúa de forma coherente en momentos de presión.
> Si una operación urgente se salta el circuito, el mensaje queda claro.
> Si una excepción se concede sin caducidad, el mensaje queda claro.
> Si un proveedor conserva acceso sin revisión, el mensaje queda claro.
> Si una herramienta de IA se usa con datos sensibles sin criterio, el mensaje queda claro.
> Si un incidente se gestiona sin roles, el mensaje queda claro.
La cultura real aparece cuando hay prisa.
Por eso la vuelta de vacaciones es una prueba interesante. No por ser dramática, sino por ser cotidiana. Todo el mundo quiere arrancar, recuperar ritmo, cerrar temas, responder rápido y volver a producir. En ese ambiente, los atajos parecen razonables.
La alta dirección marca el estándar cuando decide qué atajos no son aceptables.
El papel de TutumSec
En TutumSec entendemos la vuelta segura como un ejercicio de gobierno, no como una lista de tareas técnicas.
Una organización que quiere arrancar septiembre con criterio puede necesitar una revisión ejecutiva de riesgos, accesos críticos, proveedores, uso de IA, cumplimiento, continuidad e incidentes. Puede necesitar acompañamiento vCISO, auditoría de seguridad, análisis de brechas frente a ISO 27001, ENS o NIS2, revisión de políticas, simulacros de suplantación, formación directiva o revisión de procedimientos de respuesta.
La clave está en unir tres mundos que a menudo trabajan separados: negocio, tecnología y cumplimiento.
Porque el incidente serio rara vez respeta organigramas.
Afecta a sistemas, datos, clientes, reputación, contratos, caja y dirección. Por eso la respuesta también debe estar conectada antes de que haya presión.
Conclusión
La vuelta de vacaciones no merece alarmismo. Merece atención.
Las empresas no vuelven solo con personas descansadas. Vuelven con decisiones pendientes, proveedores activos, accesos antiguos, herramientas nuevas, sistemas que sostienen la operación y obligaciones que no se han ido a ningún sitio.
La ciberseguridad de septiembre no se juega en una recomendación básica.
Se juega en seis conversaciones: engaño ejecutivo, identidad, IA, proveedores, infraestructura crítica y gobierno de incidentes.
La empresa que revisa esos puntos gana algo más valioso que tranquilidad.
Gana margen de maniobra.
Y en ciberseguridad, cuando llega un problema real, el margen de maniobra suele valer más que cualquier discurso.