El undécimo informe SANS Security Awareness & Culture aporta nuevos datos sobre la madurez de los programas de seguridad a nivel mundial: la inteligencia artificial ha pasado del cuarto al segundo mayor riesgo humano en solo dos años.
La ingeniería social sigue siendo el mayor riesgo individual para las organizaciones, pero la distancia con el segundo puesto se reduce: según el informe SANS Security Awareness & Culture Report 2026, basado en las respuestas de más de 1.700 profesionales de seguridad de todo el mundo, el uso inadecuado de la IA en el trabajo ha pasado del cuarto al segundo lugar entre los principales riesgos humanos.
El informe, publicado anualmente por SANS Institute para medir la madurez de los programas de concienciación en seguridad, sitúa de nuevo el phishing, el smishing y el vishing en lo más alto de las prioridades de riesgo, con un 77 por ciento. Según los autores del estudio, le sigue el uso inadecuado de la IA en el trabajo con un 42 por ciento, por delante del manejo incorrecto de datos sensibles (39 por ciento) y las contraseñas débiles (22 por ciento).
Según SANS, el aumento no se debe a que la IA sea inherentemente insegura, sino a que las organizaciones tienen dificultades para establecer políticas y controles adecuados, mientras los empleados avanzan cada vez más allá de la IA generativa hacia el vibe coding y los sistemas de IA agéntica, a menudo sin conocimiento del equipo de seguridad.
La madurez del programa depende del tamaño del equipo y su antigüedad
Uno de los hallazgos centrales del informe se refiere a las condiciones estructurales detrás de los programas exitosos. Según los autores, la madurez de un programa de concienciación en seguridad se correlaciona sobre todo con dos factores: el tamaño del equipo y la antigüedad del programa. Para lograr un cambio de comportamiento significativo en la plantilla, las organizaciones necesitarían al menos tres empleados a tiempo completo (FTE) que dediquen el 75 por ciento o más de su tiempo al programa. Consolidar un verdadero cambio de cultura requiere, de media, 4,3 FTE y un plazo de cinco a diez años. Los programas más maduros contaban habitualmente con más de seis FTE dedicados y llevaban funcionando más de una década.
Los encuestados señalaron de forma constante la falta de tiempo (30 por ciento) como el mayor obstáculo para el éxito del programa, seguida del presupuesto (26 por ciento) y la falta de personal (25 por ciento). Cabe destacar que este fue el primer año en que los altos directivos aparecieron tanto entre los principales bloqueadores como entre los principales apoyos de los programas.
El refuerzo positivo supera a las campañas basadas en el miedo
Entre las más de 4.500 respuestas abiertas recogidas, se observa un patrón claro: los programas basados en el refuerzo positivo, el reconocimiento y la colaboración con la plantilla obtienen resultados notablemente mejores que los que recurren al castigo o la vergüenza. Un encuestado señaló que abandonar una campaña de phishing basada en el miedo, con comparación pública de las tasas de fallos, en favor de un enfoque más transparente mejoró significativamente el comportamiento de notificación.
Los salarios suben, la satisfacción se mantiene alta
El informe también recoge tendencias salariales: el salario medio anual de los profesionales de concienciación en seguridad alcanzó los 123.624 dólares en 2026, un incremento de 7.000 dólares respecto al año anterior. Norteamérica registró el salario medio más alto, con 131.783 dólares, mientras que África presentó las cifras más bajas. Según el estudio, la formación profesional y el sector de la industria fueron los principales factores que influyeron en la retribución, no así si el puesto era a tiempo completo o parcial.
El estado de ánimo del sector también destaca: el 56 por ciento de los encuestados afirmó estar satisfecho con su empleador actual, mientras que otro 32 por ciento dijo querer permanecer en el campo pero cambiar de empresa. Menos del 12 por ciento manifestó su intención de abandonar la profesión por completo.
El informe concluye recomendando que las organizaciones dejen de tratar la concienciación en seguridad como un mero ejercicio de cumplimiento normativo y la posicionen, en cambio, como parte central de la gestión del riesgo empresarial, respaldada por recursos sostenidos en lugar de acciones formativas puntuales.
El Dr. Jakob Jung es redactor jefe de Security Storage y Channel Germany. Lleva más de 20 años trabajando en el periodismo especializado en TI. A lo largo de su carrera ha colaborado con Computer Reseller News, Heise Resale, Informationweek, Techtarget (almacenamiento y centros de datos) y ChannelBiz. Además, colabora como freelance con numerosas publicaciones del sector de las TI, entre las que se incluyen Computerwoche, Channelpartner, IT-Business, Storage-Insider y ZDnet. Sus temas principales son el canal, el almacenamiento, la seguridad, los centros de datos, los sistemas ERP y CRM.
Contacto – Contacto por correo electrónico: jakob.jung@security-storage-und-channel-germany.de