La evolución de la confianza: predicciones sobre ciberseguridad para 2026

Durante casi treinta años, la seguridad se basó en una idea simple: si algo estaba dentro de la red, probablemente era seguro. Los cortafuegos marcaban el límite, por lo que todo lo que estaba fuera se consideraba una amenaza y todo lo que estaba dentro era confiable. Este enfoque tenía sentido cuando los datos residían en los centros de datos de las empresas y la gente trabajaba desde la oficina.

Ese mundo ya no existe. Hoy en día, tus cargas de trabajo se ejecutan en múltiples proveedores de nube, los agentes de IA acceden a aplicaciones confidenciales con permisos de administrador, y los contratistas y sistemas automatizados representan una gran parte de quienes solicitan acceso. La antigua frontera prácticamente ha desaparecido.

¿Por qué 2026 se siente diferente al cambio gradual que lo precedió? Porque las reglas ya están llegando y los plazos de cumplimiento se acercan. Los atacantes ya se han adaptado a un entorno donde la identidad es el objetivo, mientras que la criptografía débil y obsoleta se acumula como una deuda criptográfica silenciosa. Este blog reúne guías verificadas del NIST, la NSA, la CISA, Gartner, Forrester y la Cloud Security Alliance. El objetivo es simple: mostrar qué está cambiando y qué medidas debes tomar este año.

El modelo de confianza cero se convierte en norma.

La mayoría de los equipos de seguridad han incluido el modelo de Confianza Cero en su plan desde hace años. Lo que cambió en 2026 es que se está convirtiendo en una norma, no solo en un objetivo. Esto es importante, porque se puede posponer un objetivo, pero no una norma.

Lo que solicita el NIST: La norma NIST SP 800-207 (Arquitectura de Confianza Cero, 2020) proporciona la guía principal de EE. UU. para la Confianza Cero. Sus principios fundamentales son sencillos: no otorgar confianza implícita basada en la ubicación de la red, evaluar el acceso por sesión, tomar decisiones de política utilizando factores como la identidad y el estado del dispositivo, y supervisar y reevaluar continuamente la confianza. En 2023, el NIST publicó la norma SP 800-207A para mostrar cómo se aplican estos principios a las aplicaciones nativas de la nube, haciendo hincapié en la identidad, la autenticación de la carga de trabajo y el acceso basado en políticas en lugar de la ubicación de la red. La guía en sí es clara y detallada; el verdadero desafío es implementarla de forma consistente en las operaciones diarias.

La presión por el cumplimiento normativo: Es ahí donde recae la mayor parte de la presión. Para las agencias federales estadounidenses, y aún más para las industrias reguladas, el modelo de Confianza Cero está pasando de ser una opción deseable a un requisito indispensable. Gartner ha pronosticado que, para 2026, las organizaciones que prioricen sus inversiones en seguridad basándose en un programa de Gestión Continua de la Exposición a Amenazas (CTEM) tendrán tres veces menos probabilidades de sufrir una brecha de seguridad. Se trata de una predicción a futuro, y los analistas señalan que aún se está evaluando, pero la dirección es clara.

¿Por qué la confianza cero parcial es arriesgada? Una advertencia importante: implementar la confianza cero a medias puede ser peor que no adoptarla en absoluto. Si se restringe el acceso remoto, pero se sigue confiando en todo lo que hay dentro, el área a la que puede llegar un atacante no se reduce realmente. La confianza cero no es un producto que se activa y se olvida; es un enfoque que se revisa constantemente a medida que cambian los usuarios, las aplicaciones y las amenazas. La base de la confianza debe reorientarse.

Las máquinas son el nuevo perímetro.

Tras la desaparición de la antigua frontera, algo debe convertirse en el nuevo punto de control para usuarios, dispositivos, servicios en la nube y máquinas. Ese algo es la identidad. El informe de Gartner sobre amenazas para 2026 sitúa la seguridad basada en identidad y el acceso a la red de confianza cero en la primera línea de defensa contra el secuestro de sesiones y el robo de credenciales. Las cifras que respaldan este cambio son impactantes.

La Cloud Security Alliance ha confirmado lo que muchos equipos ya intuían: en entornos de nube, las identidades de máquina superan ampliamente a las humanas, según algunas estimaciones, hasta en una proporción de 100 a 1. Las cuentas de servicio, las claves API y otras credenciales de máquina se acumulan rápidamente. La CSA señala las identidades y permisos de máquina inseguros como el principal riesgo en la nube para 2026. Los atacantes prefieren las cuentas de servicio porque suelen tener un amplio acceso y reciben mucha menos atención que las cuentas humanas. La solución es sencilla de decir pero difícil de implementar: dejar de usar claves estáticas de larga duración, migrar a credenciales basadas en identidad de corta duración y aplicar el principio de mínimo privilegio a las máquinas, al igual que se hace con los administradores.

La IA con privilegios de administrador complica aún más la situación. No se trata de simples chatbots, sino de sistemas que actúan de forma autónoma, realizando tareas, leyendo datos, ejecutando código y, a menudo, con acceso de administrador a múltiples sistemas simultáneamente. Debe tratarse la identidad de cada agente de IA, ya sea entrante, saliente o interna, con el mismo cuidado que cualquier otra cuenta privilegiada. CSA descubrió que el 92 % de los responsables de seguridad se preocupan por cómo los agentes de IA afectan a su seguridad. Y es fácil entender por qué. Un agente con privilegios excesivos puede permitir que un atacante acceda a los datos a la velocidad de la máquina sin necesidad de robar una contraseña humana.

Esta situación llegó rápidamente al ámbito gubernamental. El 1 de mayo de 2026, seis agencias (CISA y NSA en EE. UU., además de sus socios en Australia, Canadá, el Reino Unido y Nueva Zelanda) publicaron conjuntamente «Adopción cuidadosa de servicios de IA con agentes» . Se trata de la primera guía coordinada entre varios países centrada específicamente en los agentes de IA. El mensaje era claro: no se debe otorgar a los agentes un acceso amplio o ilimitado, sino integrarlos en el modelo de seguridad habitual en lugar de tratarlos como un experimento aparte. La guía hace hincapié en el acceso con privilegios mínimos, la segmentación de la red, la monitorización continua, la supervisión humana y la capacidad de contener o deshabilitar rápidamente a los agentes cuando sea necesario.

El problema es que la mayoría de las organizaciones aún no pueden cumplir con ese requisito.

Post-cuántico: El tiempo corre

Ningún cambio se descarta con tanta frecuencia como un problema de la próxima década como la criptografía postcuántica. El NIST ha finalizado sus estándares, la NSA ha establecido plazos estrictos y los atacantes ya están recopilando datos cifrados para descifrarlos y leerlos posteriormente. El proceso ya ha comenzado, y los equipos que aún no lo han hecho se encuentran rezagados.

Los estándares en sí ya son definitivos. En agosto de 2024, el NIST publicó tres estándares post-cuánticos terminados: ML-KEM ( FIPS 203 ) para el establecimiento de claves, ML-DSA ( FIPS 204 ) para firmas digitales y firma de código, y SLH-DSA ( FIPS 205 ) como un estándar de firma digital basado en hash sin estado. Estos son reales y están disponibles. Los proveedores comerciales de PKI los admiten, y muchos proveedores importantes de tecnología y navegadores ya ejecutan protocolos post-cuánticos híbridos en producción. El documento IR 8547 del NIST , un borrador inicial, propone un cronograma en el que los algoritmos clásicos como RSA-2048 y ECC P-256 quedarían obsoletos después de 2030 y prohibidos después de 2035.

El conjunto de algoritmos CNSA 2.0 de la NSA , abreviatura de Commercial National Security Algorithm Suite (Conjunto de Algoritmos de Seguridad Nacional Comercial), se lanzó en 2022 y establece las reglas para los sistemas de seguridad nacional de EE. UU. Requiere ML-KEM para el establecimiento de claves y ML-DSA para firmas, con SLH-DSA aprobado para casos de uso específicos. El cronograma se presenta por etapas, en lugar de una fecha límite única. La NSA prioriza la migración de nuevo software, firmware y firma de cadena de arranque a CNSA 2.0 lo antes posible. Los equipos de red, como VPN, cortafuegos y enrutadores, deberían comenzar la migración alrededor de 2026 y utilizarlo exclusivamente para 2030. La NSA prevé que CNSA 2.0 sea el estándar predeterminado en todos los sistemas de seguridad nacional para 2035.

Si no es contratista federal, estas fechas le proporcionan una base sólida para la auditoría. Muchas organizaciones utilizan la hoja de ruta CNSA 2.0 como referencia para la planificación, incluso cuando no es un requisito reglamentario.

La práctica de recopilar información ahora y descifrarla después ya es una realidad. Lo que muchos pasan por alto es lo siguiente: el peligro no reside solo en que alguien logre descifrar la encriptación en tiempo real, sino en que los atacantes copien y almacenen sus datos encriptados ahora, con la intención de descifrarlos cuando exista una potente computadora cuántica. Las agencias de inteligencia occidentales, como la NSA, el GCHQ del Reino Unido y la ANSSI de Francia, han advertido que grupos estatales ya están haciendo esto. Cada sesión web encriptada, túnel VPN o correo electrónico recopilado podría abrirse posteriormente. Si sus datos deben permanecer confidenciales durante diez años o más, esta amenaza le afecta directamente ahora mismo.

¿Por dónde empezar? NIST, NSA y CISA coinciden en lo mismo: diseñe sistemas que permitan intercambiar algoritmos sin tener que reconstruir toda la plataforma. Diseñar pensando en el cambio no justifica su postergación; simplemente implica aceptar que los estándares actuales son los mejores por ahora, no para siempre. En la práctica, mantenga la selección de algoritmos separada de la lógica de la aplicación, elija módulos de seguridad de hardware (HSM) con soporte post-cuántico en su hoja de ruta y asegúrese de que su sistema de gestión de certificados pueda emitir nuevos tipos de algoritmos a gran escala.

Todos los planes comienzan de la misma manera: con un inventario criptográfico completo. No se puede reemplazar lo que no se ha mapeado. E incluso un sistema criptográfico ágil y completamente mapeado sigue funcionando con código que no ha escrito, y ahí es precisamente donde surge el siguiente punto ciego.

El punto ciego de la cadena de suministro

Mientras los equipos refuerzan la seguridad de la identidad e implementan la criptografía postcuántica, un tercer frente ha superado silenciosamente las defensas. En 2021, Gartner predijo que el 45 % de las organizaciones se enfrentarían a ataques a la cadena de suministro de software para 2025. Esta estimación resultó ser baja: una encuesta del sector realizada en 2024 situó la cifra en el 75 %, un año antes de lo previsto. A partir de ahí, el ritmo no hizo más que acelerarse y la amenaza dejó de ser abstracta. Cientos de miles de paquetes de código abierto maliciosos se publicaron durante 2025. En marzo de 2026, los atacantes distribuyeron dos versiones maliciosas de la popular biblioteca npm axios a través de una cuenta de mantenedor comprometida.

¿Por qué es tan difícil? Porque no es lo mismo que el riesgo del proveedor. Las directrices del sector establecen una distinción útil: el riesgo de la cadena de suministro de software no es lo mismo que la gestión del riesgo del proveedor, y tratarlos como si fueran lo mismo te deja expuesto. El riesgo del proveedor abarca las empresas con las que haces negocios, su seguridad, contratos y respuesta a incidentes. Los ataques a la cadena de suministro se dirigen al proceso de compilación y entrega que utilizas para crear tu propio software. Una dependencia o un mantenedor anterior que nunca hayas verificado formalmente puede incluir una vulnerabilidad en un paquete en el que tu aplicación ya confía.

La respuesta implica analizar los componentes de código abierto de los que dependes, bloquearlos a versiones fiables, verificar el resultado de tu compilación y mantener un registro de los componentes de IA en tu software. Las cadenas de suministro siguieron siendo una zona de confianza excluida del modelo de Confianza Cero aplicado en todos los demás ámbitos. Esa brecha es precisamente la que los atacantes siguen aprovechando. Si bien las cadenas de suministro han sido el ámbito donde los defensores han tardado más en adaptarse, el centro de operaciones de seguridad es donde ahora avanzan con mayor rapidez, y la IA es la razón.

La IA se une al SOC

La IA en el centro de operaciones de seguridad ha superado con creces la fase de demostración. Para 2026, estará realizando un trabajo real en todo el proceso de respuesta a incidentes, y no solo mostrando alertas en un panel de control. Esto conlleva ventajas reales, pero también un nuevo riesgo que merece ser mencionado.

La política federal ya se está poniendo al día: el ejemplo más claro es la CISA BOD 26-04 , emitida el 10 de junio de 2026 («Priorización de las actualizaciones de seguridad en función del riesgo»). Esta reemplaza los plazos fijos de remediación anteriores de la BOD 22-01 con un modelo de priorización basado en el riesgo. La directiva considera factores como si un activo afectado está expuesto públicamente, si la vulnerabilidad aparece en el Catálogo de Vulnerabilidades Explotadas Conocidas (KEV) , si la explotación puede automatizarse y el impacto potencial de un ataque exitoso. Estos factores determinan la prioridad de remediación: las vulnerabilidades de mayor riesgo requieren remediación en un plazo de tres días, mientras que los hallazgos de menor riesgo pueden aplazarse formalmente.

Es importante destacar que la norma menciona la automatización de la explotación de vulnerabilidades mediante IA como un factor relevante. CISA está elaborando políticas para un mundo donde la IA puede explotar una vulnerabilidad con mayor rapidez de la que los humanos pueden corregirla.

En el ámbito defensivo, la IA ahora ayuda a detectar amenazas, priorizar alertas, contener incidentes y gestionar las consecuencias. Sin embargo, el riesgo es igualmente real. En una conferencia de Gartner de 2026, un ejemplo real mostró a un atacante utilizando el asistente de IA de una empresa para buscar credenciales en documentos internos mediante palabras clave, encontrando accesos confidenciales más rápido que cualquier persona. No se necesitó ninguna vulnerabilidad nueva; el atacante simplemente utilizó una herramienta de confianza que la empresa ya tenía.

Vale la pena tener en cuenta el consejo de Gartner: trate la IA interna como la próxima versión de la TI en la sombra. No compromete su modelo de seguridad; simplemente acelera el descubrimiento de accesos que nunca se habían corregido. Esta coincidencia, donde un problema de acceso también es un problema de exposición de datos, apunta a un cambio más profundo que ya está en marcha.

La privacidad se une a la seguridad

Un cambio menos evidente vincula muchos de estos aspectos. La gobernanza de la privacidad y la gobernanza de la seguridad se están fusionando en un mismo marco. La lógica es práctica, no teórica. El riesgo de privacidad y el riesgo de seguridad ahora coexisten. Un sistema de identidad sin Confianza Cero representa tanto una vulnerabilidad de seguridad como una exposición a la privacidad. Un agente de IA con acceso excesivo a los datos supone un riesgo de seguridad y una responsabilidad legal a la vez. Un sistema que utiliza algoritmos obsoletos amenaza tanto la confidencialidad de los datos como la confianza.

No se trata de problemas independientes que comparten oficina, sino del mismo problema visto desde dos perspectivas distintas. Las empresas que gestionan programas separados de seguridad y privacidad, con equipos y auditorías independientes, encuentran cada vez más difícil justificar esta separación. La gobernanza unificada elimina la duplicación de tareas, elimina los puntos ciegos entre programas y ofrece una visión más precisa del riesgo real. Muchos equipos también están pasando de ventanas de parches programadas a un enfoque continuo y automatizado para correcciones de alta gravedad, de modo que la seguridad avanza al ritmo del desarrollo en lugar de quedarse atrás. Esto implica gestionar muchos elementos simultáneamente, y para ello sirve precisamente la guía rápida que aparece a continuación.

La guía rápida de 2026

Una breve referencia a los turnos mencionados anteriormente y sus fechas de llegada.

Predicción	Cronograma
Se acercan los plazos de implementación del programa federal Zero Trust.	2026
Las identidades no humanas (aproximadamente 100:1) se convierten en la principal superficie de ataque.	Activo ahora
Las agencias de Five Eyes publican una guía conjunta sobre cómo proteger la IA con agentes.	2026 de mayo
Se requiere CNSA 2.0 para los sistemas de seguridad nacional.	2030-2035
Comienza la cuenta regresiva para la descontinuación de RSA-2048 y ECC P-256.	2030 en adelante
La tasa de ataques a la cadena de suministro de software continúa en aumento.	2026 en adelante
Regla de tres días para la aplicación de parches según la norma BOD 26-04 para vulnerabilidades de mayor riesgo.	Activo ahora
La gobernanza de la privacidad y la ciberseguridad se fusionan operativamente.	2026 en adelante

Tus próximos cinco movimientos

La lista de cambios es larga. Aquí presentamos un orden sencillo, basado en los plazos y las amenazas mencionados anteriormente.

Comience con un inventario criptográfico. Mapee cada certificado, clave, algoritmo, biblioteca y clave de firma antes de cualquier trabajo postcuántico. Sin él, no podrá evaluar el riesgo de la obtención inmediata de datos ni establecer un cronograma real. Además, se está convirtiendo en un requisito indispensable para las auditorías.

Gestiona las identidades de las máquinas, como las cuentas de administrador. Aplica el principio de mínimo privilegio a las cuentas de servicio, las claves API y los agentes de IA, rota las credenciales periódicamente y supervisa el acceso inusual desde cuentas automatizadas. Esto reduce el riesgo rápidamente, no es un proyecto que dure varios años.

Comprueba tus agentes de IA con los controles de las seis agencias. ¿Puedes limitar cada agente a su función específica? ¿Puedes desactivar rápidamente uno que falle? ¿Puedes aislarlo si algo se rompe? Si alguna respuesta es no, corrígelo antes de añadir más agentes.

Trate el código de terceros como tráfico no confiable: fije las versiones, verifique los artefactos de compilación, solicite a los proveedores las listas de materiales del software y revise en qué confía su canalización por defecto.

Planifique su migración de criptomonedas por fases. Proteja primero los datos de larga duración, donde el riesgo de acceso inmediato es mayor; luego, las jerarquías de certificados y la firma de código, y finalmente, el TLS general. Los equipos vinculados al gobierno federal deben alinearse con las fechas de CNSA 2.0 según el tipo de producto.

Cómo puede ayudar la consultoría de cifrado

En lo que respecta a la aplicación de todo lo anterior, la base es la misma: una visión clara, precisa y en tiempo real de su postura criptográfica. Precisamente para eso están diseñados los Servicios de Asesoramiento en Cifrado de Encryption Consulting.

Nuestros servicios de asesoramiento en cifrado le ofrecen una evaluación independiente de cómo su organización utiliza la criptografía. Le ayudan a comprender cómo se generan, almacenan y rotan sus claves, qué algoritmos se emplean, dónde se protegen los datos confidenciales y dónde no, y cómo todo ello se ajusta a los estándares y plazos descritos en este blog. A partir de esta información inicial, le ayudamos a establecer una política de cifrado, fortalecer la gestión y la gobernanza de claves, subsanar deficiencias de cumplimiento y priorizar las acciones que reducen el riesgo con mayor rapidez.

Cuando esté listo para abordar específicamente la era post-cuántica, nuestros Servicios de Asesoramiento Post-cuántico amplían ese mismo trabajo a un plan de migración por etapas alineado con los estándares regulatorios CNSA 2.0 y NIST. Contáctenos para analizar su estrategia de cifrado y su preparación para la era post-cuántica. Explore nuestra gama completa de productos y servicios para ver cómo podemos ayudar a proteger su organización.

Conclusión

Lo que realmente cambió en 2026 fue la cantidad y la frecuencia de las verificaciones. La respuesta es que se requiere más verificación, y de forma más continua, abarcando una gama más amplia de usuarios, máquinas y agentes que apenas existían hace dos años.

El principio de confianza cero es ahora una norma que los equipos de cumplimiento normativo están empezando a aplicar. Los estándares poscuánticos son definitivos, los plazos son vinculantes y la amenaza a los datos a largo plazo es una realidad. Las cadenas de suministro se han convertido en una de las vías de ataque más peligrosas, y la IA ahora actúa simultáneamente en ambos frentes.

Los equipos que mejor se adapten a 2026 no serán los que cuenten con más herramientas ni las políticas más extensas. Serán los que hayan logrado una visibilidad real de sus identidades, sus criptoactivos, sus dependencias de software y su IA. Así es como se sabe qué se protege y dónde reside el riesgo. En 2026, la preparación no es un hito que se alcanza, sino el único modo de operar que sobrevive al contacto con la amenaza.