El coste medio de las filtraciones de datos en India alcanza un récord mientras la seguridad de la IA se queda atrás

IBM puso una cifra concreta a la creciente brecha de seguridad de la IA en India: el coste medio de una filtración de datos para las organizaciones alcanzó los 220 millones de INR en 2025. El hallazgo, que ahora vuelve a aparecer en la cobertura de Google News, supone un aumento del 13 por ciento respecto a 2024 y un récord para India.

El momento hace que la cifra resulte más preocupante. Las empresas indias están incorporando rápidamente herramientas de IA generativa, flujos de trabajo automatizados e identidades de máquina. Sin embargo, solo el 37 por ciento de las organizaciones encuestadas contaba con controles de acceso a la IA, según los hallazgos de IBM para India.

Eso significa que aproximadamente una de cada tres disponía de los controles necesarios para regular quién o qué podía acceder a los sistemas de IA. Casi el 60 por ciento carecía de una política de gobernanza de IA o aún estaba desarrollándola.

El resultado no es una simple competencia entre las empresas y atacantes cada vez más capaces. El conflicto central está dentro de la empresa: rápida adopción de la IA frente a una gobernanza de seguridad lenta.

Investigaciones más recientes sugieren que la exposición ha seguido ampliándose. Las aplicaciones de IA ahora almacenan credenciales, consultan bases de datos sensibles, operan servicios en la nube y activan acciones empresariales. Los equipos de seguridad deben defender tanto el sistema de IA como todo aquello a lo que puede acceder.

Google News vuelve a poner el coste récord de las filtraciones en India en el foco

El récord de filtraciones en India muestra que una respuesta más rápida a los incidentes no ha detenido el aumento del daño financiero.

IBM publicó sus hallazgos para India el 7 de agosto de 2025. La compañía afirmó que el coste organizacional total medio de una filtración aumentó de 195 millones de INR en 2024 a 220 millones de INR.

El aumento se produjo incluso cuando las organizaciones redujeron el ciclo de vida medio de las filtraciones. IBM define ese ciclo como el tiempo necesario para identificar y contener un incidente, incluida la restauración de servicios.

El ciclo de vida medio en India cayó a 263 días, 15 días menos que en 2024. Esa mejora es importante, pero 263 días siguen dando a los atacantes un largo periodo para explorar sistemas, recopilar credenciales y acceder a datos valiosos.

La aparente contradicción es central en esta historia. Las empresas están detectando y conteniendo las filtraciones antes, pero el coste medio sigue aumentando.

Esto puede ocurrir cuando cada día de exposición se vuelve más caro. Las empresas ahora conectan datos entre servicios en la nube, plataformas de software, interfaces de programación de aplicaciones y herramientas de IA. Una sola identidad comprometida puede atravesar varios de esos sistemas.

Los datos de filtraciones de India de IBM también identifican los sectores que soportan el mayor impacto financiero. Las organizaciones de investigación registraron el mayor coste medio, con 289 millones de INR.

El transporte le siguió de cerca, con 288 millones de INR. Las organizaciones industriales promediaron 264 millones de INR, tras liderar las clasificaciones sectoriales del país en 2024.

Estos sectores combinan información valiosa con operaciones que no pueden permanecer desconectadas durante mucho tiempo. Las organizaciones de investigación poseen propiedad intelectual y conjuntos de datos sensibles. Las empresas de transporte dependen de sistemas de reservas, logística y operaciones disponibles de forma continua.

Los entornos industriales añaden otra complicación. Su tecnología suele conectar redes empresariales con equipos operativos, donde las decisiones de contención pueden interrumpir procesos físicos.

Los métodos de entrada más comunes siguen siendo conocidos. El phishing representó el 18 por ciento de las filtraciones estudiadas en India. La vulneración de terceros y de la cadena de suministro representó el 17 por ciento, mientras que la explotación de vulnerabilidades supuso el 13 por ciento.

Ese desglose cuestiona la idea de que los costes récord requieren un ataque de IA altamente especializado. Los atacantes aún pueden entrar a través de un correo electrónico, un proveedor o una aplicación sin parchear.

La IA cambia lo que sucede en torno a esos métodos establecidos. Puede mejorar los mensajes de phishing, automatizar el reconocimiento, procesar información robada y ayudar a los atacantes a repetir técnicas en más objetivos.

Google News es el canal de descubrimiento del último titular, no la fuente original de las cifras. IBM y el Ponemon Institute elaboraron la investigación subyacente.

Esa distinción importa porque la agregación puede condensar varios hallazgos en una afirmación dramática. La evidencia respalda un coste medio récord y una grave brecha de preparación. No demuestra que todas las filtraciones de la muestra fueran causadas por IA.

La adopción de IA se expande más rápido que el control de acceso

El riesgo más inmediato procede de conceder a los sistemas de IA acceso antes de que las organizaciones puedan inventariar, restringir y supervisar dicho acceso.

La IA empresarial ya no se limita a una ventana de chat aislada. Las empresas conectan modelos a repositorios de documentos, registros de clientes, entornos de desarrollo, plataformas de mensajería y herramientas de administración en la nube.

Cada conexión crea una nueva vía hacia los datos. También crea otra identidad, token, cuenta de servicio, plugin o permiso que alguien debe gobernar.

IBM descubrió que solo el 37 por ciento de las organizaciones en India declaró contar con controles de acceso a la IA. Los controles de acceso determinan qué usuarios y sistemas pueden acceder a una aplicación, qué acciones pueden realizar y qué datos pueden recuperar.

La ausencia de esos controles no provoca automáticamente una filtración. Sí aumenta el daño posible después de que una cuenta, token o integración de IA se vea comprometida.

La gobernanza también está incompleta. Casi el 60 por ciento de las organizaciones afectadas por filtraciones en India carecía de una política de gobernanza de IA o aún estaba desarrollándola.

Entre las organizaciones con políticas, solo el 34 por ciento utilizaba tecnología de gobernanza de IA. Una política escrita puede definir el comportamiento permitido, pero la aplicación técnica determina si los sistemas la cumplen.

Esta brecha cobra mayor importancia a medida que las empresas implementan agentes. Un agente de IA es un software que puede seleccionar y ejecutar acciones mediante herramientas conectadas, a menudo con una intervención humana limitada.

El software tradicional suele seguir una secuencia definida. Un agente puede decidir qué herramienta llamar, qué información recuperar y cómo proceder en función de datos de entrada cambiantes.

Esa flexibilidad crea valor, pero también complica los permisos. Un agente puede necesitar acceso a una base de datos, un token de nube, una cuenta de correo electrónico y una integración de gestión de tickets para completar un flujo de trabajo.

Dar al agente acceso permanente a todos los sistemas conectados resulta conveniente. También crea un objetivo concentrado.

La Cloud Security Alliance informó en abril de 2026 de que el 82 por ciento de las empresas encuestadas había descubierto agentes de IA previamente desconocidos en sus entornos. Su encuesta sobre agentes de IA abarcó a 418 profesionales de TI y seguridad.

El sesenta y cinco por ciento informó de al menos un incidente relacionado con agentes de IA durante el año anterior. Entre esos incidentes, el 61 por ciento implicó exposición de datos, el 43 por ciento provocó interrupciones operativas y el 35 por ciento generó pérdidas financieras.

La encuesta fue encargada y financiada por Token Security, que codiseñó su cuestionario. Esa participación comercial merece ser divulgada, y los resultados no deben tratarse como una medición exacta de todas las empresas.

Aun así, los hallazgos describen un problema de gobernanza reconocible. Los responsables de seguridad pueden creer que tienen visibilidad de sus implementaciones de IA mientras agentes desconocidos siguen activos en scripts, herramientas de desarrollo, plataformas SaaS o automatizaciones internas.

El mismo estudio descubrió que solo el 21 por ciento tenía procesos formales para retirar agentes. Un agente abandonado puede conservar credenciales después de que finalice su proyecto original.

Esto genera lo que el informe denomina deuda de retirada. La empresa deja de utilizar el flujo de trabajo, pero sus permisos siguen disponibles para un atacante o un empleado no autorizado.

Las cuentas humanas ya crean problemas similares cuando el acceso sobrevive a un cambio de puesto. La IA añade muchas más identidades no humanas, que a menudo se crean más rápido y se documentan con menos cuidado.

Para las empresas indias, esto amplía el problema de las filtraciones más allá de bloquear prompts maliciosos. Los equipos de seguridad deben saber qué agentes existen, quién es su propietario, qué credenciales poseen y cuándo deben expirar esas credenciales.

La IA en la sombra convierte la comodidad en un multiplicador de costes

La disyuntiva central es velocidad frente a control: los empleados obtienen productividad inmediata mientras la empresa pierde visibilidad sobre el recorrido de su información.

La IA en la sombra se refiere a aplicaciones de IA utilizadas sin aprobación ni supervisión del departamento tecnológico de una organización. Puede incluir chatbots públicos, extensiones de navegador, asistentes de reuniones, herramientas de programación y agentes internos no autorizados.

Los empleados rara vez adoptan estas herramientas con la intención de provocar una filtración. Normalmente quieren resumir un documento, analizar una hoja de cálculo, preparar una presentación o acelerar una tarea repetitiva.

El problema de seguridad comienza cuando material confidencial entra en un servicio que la empresa no ha revisado. Los equipos pueden no saber cómo el servicio almacena prompts, gestiona archivos cargados o separa los datos de los clientes.

IBM identificó la IA en la sombra como uno de los tres mayores impulsores del coste de las filtraciones en India. Su presencia añadió 17,9 millones de INR al coste medio de una filtración.

Sin embargo, solo el 42 por ciento de las organizaciones encuestadas tenía políticas para gestionar la IA o detectar la IA en la sombra. Esto deja a muchas empresas incapaces de medir la actividad asociada a uno de sus mayores factores de coste reportados.

Bloquear todos los servicios de IA difícilmente resolverá el problema. Los empleados pueden trasladarse a cuentas personales, navegadores no gestionados o dispositivos móviles, lo que dificulta observar la actividad.

Una respuesta viable necesita alternativas aprobadas y límites aplicables. Los empleados deben saber qué herramientas pueden usar, qué información sigue estando prohibida y cómo solicitar una integración revisada.

La organización también necesita visibilidad técnica. Esto incluye descubrir aplicaciones no autorizadas, supervisar transferencias de datos e identificar accesos inusuales de cuentas humanas y de máquina.

La clasificación de datos se vuelve esencial en este punto. La clasificación asigna a la información un nivel de sensibilidad para que los sistemas puedan aplicar reglas distintas a los datos públicos, internos, confidenciales y regulados.

Sin clasificación, una empresa no puede distinguir de forma fiable una descripción de producto inocua de los registros de identidad de clientes. Puede aplicar el mismo control débil a ambos.

El informe de amenazas de 2026 de Thales muestra hasta qué punto se ha extendido ese problema de visibilidad. Solo el 34 por ciento de las organizaciones encuestadas sabía dónde residían todos sus datos.

Solo el 39 por ciento podía clasificarlos completamente. El informe también descubrió que el 47 por ciento de los datos sensibles en la nube permanecía sin cifrar.

Se trata de hallazgos globales, no de mediciones exclusivas de India. Aun así, explican por qué la adopción de IA aumenta la presión sobre los controles de datos.

Un modelo o agente solo puede recuperar información mediante el acceso que recibe. Sin embargo, los permisos excesivos permiten que un sistema comprometido acceda a material que debería haber quedado fuera de su tarea.

Thales informó de que el 61 por ciento de las organizaciones afirmó que los atacantes estaban dirigiéndose a sus aplicaciones de IA. Los datos sensibles fueron el principal objetivo.

La misma investigación descubrió que el 67 por ciento de las organizaciones que experimentaron ataques en la nube citó el robo de credenciales como la principal técnica de ataque contra la infraestructura de gestión en la nube.

Las credenciales incluyen contraseñas, claves de API, tokens de sesión y otros secretos que demuestran que una identidad puede acceder a un sistema. Los flujos de trabajo de IA dependen en gran medida de estos secretos legibles por máquinas.

Un token de nube robado puede ser más útil que un ataque sofisticado contra el propio modelo. Puede proporcionar acceso directo al almacenamiento, las bases de datos, los recursos informáticos o las funciones administrativas.

Por eso, la IA en la sombra no es simplemente una cuestión de políticas para empleados. Es parte de un problema más amplio de gestión de identidades y datos.

Las empresas necesitan un registro fiable de las herramientas aprobadas, las fuentes de información conectadas, los responsables de los sistemas y las decisiones de acceso. Una base de conocimientos con capacidad de búsqueda puede ayudar a los equipos técnicos a conservar ese contexto operativo.

La documentación por sí sola no puede imponer la seguridad, pero una documentación deficiente ralentiza la contención. Los equipos de respuesta pierden tiempo cuando no pueden identificar al responsable de un agente, sus fuentes de datos o sus credenciales.

Por tanto, el escenario costoso es fácil de entender. Un empleado conecta una herramienta no revisada, la herramienta recibe un acceso amplio y la integración persiste sin supervisión.

Un atacante no necesita derrotar una defensa de IA cuidadosamente diseñada. Solo necesita encontrar la credencial olvidada que la rodea.

La paradoja de la seguridad de la IA es cada vez más difícil de ignorar

La IA está ampliando la superficie de ataque y, al mismo tiempo, se está convirtiendo en una de las herramientas más sólidas disponibles para reducir los costes de las brechas.

Los hallazgos de IBM no respaldan una conclusión simple contra la IA. Las organizaciones que utilizaban ampliamente IA y automatización en seguridad registraron ahorros importantes en comparación con las que no lo hacían.

A nivel global, IBM asoció el uso extensivo de IA y automatización de seguridad con ahorros medios de USD 1,9 millones. En India, la empresa afirmó que estas herramientas redujeron los costes de las brechas en más de la mitad.

A pesar de esa ventaja, el 73 por ciento de los encuestados en India informó de un uso limitado o inexistente de IA y automatización de seguridad.

Por tanto, la misma familia tecnológica aparece en ambos lados de la ecuación de las brechas. La IA empresarial mal gobernada aumenta la exposición, mientras que la IA de seguridad bien gobernada ayuda a los defensores a identificar y contener ataques.

La IA de seguridad puede correlacionar alertas, detectar comportamientos inusuales de identidad, encontrar datos expuestos y priorizar incidentes. Puede reducir el tiempo que los analistas dedican a clasificar señales repetitivas.

La automatización también puede aislar un dispositivo, revocar un token o bloquear una conexión sospechosa más rápido de lo que un equipo humano puede coordinar esas acciones manualmente.

Sin embargo, la automatización defensiva necesita límites. Un sistema de detección capaz de deshabilitar cuentas o modificar políticas de red implica riesgo operativo si su decisión es errónea.

Las empresas deben distinguir entre acciones automatizadas de bajo riesgo y cambios de alto impacto que requieren revisión. La recopilación de evidencia puede ser automática, mientras que la interrupción de un servicio de producción puede requerir aprobación humana.

La Cloud Security Alliance descubrió que el 53 por ciento de las organizaciones encuestadas permitía que los agentes operaran de forma autónoma en tareas de bajo riesgo, con revisión humana para acciones de mayor riesgo. Otro 24 por ciento utilizaba revisión humana para la mayoría de las tareas.

Solo el 13 por ciento informó de modelos totalmente autónomos. Esos resultados sugieren que la mayoría de los equipos de seguridad ya reconoce que la autonomía debe depender de las consecuencias de una acción.

El reto consiste en aplicar ese principio de forma coherente. Distintos departamentos pueden crear agentes sin aplicar las mismas categorías de riesgo, reglas de registro o requisitos de aprobación.

La IA también da escala a los atacantes. Los sistemas generativos pueden producir variaciones de mensajes, traducir estafas, adaptar la ingeniería social y procesar documentos robados con mayor rapidez.

Thales descubrió que casi el 60 por ciento de las empresas encuestadas había sufrido ataques impulsados por deepfakes. El cuarenta y ocho por ciento informó de daños reputacionales vinculados a desinformación o suplantación generadas por IA.

Los deepfakes son audios, vídeos o imágenes sintéticos diseñados para imitar a una persona real. Su valor comercial para los atacantes suele provenir del engaño de identidad más que de la novedad técnica.

Un mensaje de voz convincente puede presionar a un empleado para transferir información, restablecer credenciales o eludir un proceso de aprobación habitual. El ataque sigue dependiendo de una verificación débil.

Los bots impulsados por IA añaden otro problema de escala. Thales informó en abril de 2026 que el tráfico automatizado representaba más de la mitad de la actividad de Internet, y que el 40 por ciento se clasificaba como malicioso.

Sus hallazgos sobre bots maliciosos describen las API y los sistemas de identidad como objetivos principales. Los bots pueden probar repetidamente credenciales o abusar de flujos de trabajo empresariales sin utilizar una carga útil de malware convencional.

Estos hallazgos ayudan a explicar por qué un único producto defensivo no cerrará la brecha. El atacante puede combinar la automatización con debilidades conocidas en identidades, proveedores, configuraciones de nube y comportamiento de los empleados.

La comparación adecuada es IA gobernada frente a IA no gobernada, no IA frente a ausencia de IA.

Los sistemas defensivos gobernados reciben permisos definidos, acceso a datos supervisado, procedimientos de respuesta probados y responsables identificables. Los sistemas no gobernados crecen por conveniencia y siguen siendo difíciles de inventariar.

Los equipos de seguridad también deben comprobar si la IA mejora realmente la detección en lugar de añadir otro panel de control. Una herramienta que genera más alertas sin mejorar las decisiones puede aumentar la carga de trabajo de los analistas.

Los informes patrocinados por proveedores introducen otro motivo de cautela. IBM vende productos de seguridad y gobernanza, mientras que Thales vende tecnología de identidad y protección de datos.

Sus datos pueden revelar patrones útiles, pero no demuestran de forma independiente que comprar una plataforma concreta vaya a generar los ahorros comunicados.

Las organizaciones deben validar las afirmaciones frente a su propio historial de incidentes. Las métricas útiles incluyen el tiempo de detección, el tiempo de contención, los tipos de incidentes recurrentes, la antigüedad de las credenciales y el porcentaje de datos sensibles cubiertos por cifrado.

La paradoja tiene una respuesta práctica. Las empresas deben usar IA donde mejore resultados de seguridad medibles, al tiempo que niegan a cada sistema de IA acceso innecesario y permanente.

Lo que el coste récord no demuestra

La evidencia muestra una grave brecha de gobernanza, pero no establece a la IA como la causa directa del coste medio récord de las brechas en India.

La limitación más importante es la atribución. IBM afirmó que las brechas relacionadas con IA representaban una pequeña proporción de las organizaciones globales de su población investigada.

El informe de 2025 estudió por primera vez la gobernanza de la IA, los incidentes de seguridad relacionados con IA y la IA en la sombra. Esto aporta una referencia inicial, no una tendencia histórica consolidada.

Por tanto, el titular puede exagerar la conexión entre los ataques de IA y el récord de costes en India. El phishing, el compromiso de la cadena de suministro y la explotación de vulnerabilidades siguieron siendo los principales vectores iniciales.

La IA puede reforzar esos ataques, pero los datos publicados sobre India no cuantifican cuántos incidentes de phishing utilizaron IA generativa. Tampoco muestran que la IA causara todo el aumento del 13 por ciento.

El coste medio introduce otra limitación. Un pequeño número de incidentes muy costosos puede elevar una media, especialmente en sectores de alto impacto.

La cifra no debe interpretarse como una predicción de que todas las empresas indias perderán INR 220 millones. Es una media entre las organizaciones estudiadas por IBM y Ponemon.

Las comparaciones entre informes también requieren cautela. IBM, Thales y la Cloud Security Alliance utilizaron muestras, fechas, preguntas y definiciones diferentes.

Un incidente relacionado con IA en una encuesta puede incluir un agente no autorizado. Otro informe puede centrarse en pérdida de datos, acceso a modelos o un ataque reforzado por IA.

Combinar sus porcentajes en una única puntuación unificada de preparación sería engañoso. Los informes son más útiles como evidencia de problemas de control recurrentes.

Esos problemas recurrentes incluyen inventarios incompletos, una gobernanza de acceso débil, datos sin clasificar, credenciales persistentes y una supervisión limitada.

El encuadre de “una de cada tres” también necesita precisión. IBM descubrió que el 37 por ciento de las organizaciones en India tenía controles de acceso a IA. Esto se acerca a una de cada tres, pero los controles de acceso no son una medida completa de preparación cibernética.

Una empresa puede tener un producto de control de acceso y aun así configurarlo mal. Otra organización puede carecer de una plataforma dedicada de control de IA, pero aplicar restricciones eficaces mediante sus sistemas de identidad existentes.

La preparación incluye prevención, detección, contención, recuperación, comunicación y respuesta regulatoria. Ningún porcentaje de una sola encuesta captura las seis dimensiones.

La cadena de fuentes también merece escrutinio. Google News agrega y clasifica enlaces de editores, pero no valida de forma independiente cada estadística de un titular.

Los lectores deben rastrear las principales afirmaciones hasta el estudio subyacente. En este caso, el comunicado principal de IBM respalda la cifra récord de INR 220 millones, la cifra del 37 por ciento de controles de acceso y el hallazgo sobre el coste de la IA en la sombra.

La metodología de la empresa también proporciona contexto. IBM afirma que su investigación Cost of a Data Breach ha examinado casi 6.500 brechas durante 20 años.

Esa larga trayectoria aporta valor al estudio, pero las muestras anuales no son un censo de todos los incidentes conocidos públicamente. Las organizaciones dispuestas a participar pueden diferir de las que no lo están.

La investigación de proveedores también puede enfatizar problemas alineados con los productos del proveedor. Eso no hace que los hallazgos sean falsos, pero hace importante la medición independiente.

Los datos regulatorios, las reclamaciones de seguros, las divulgaciones corporativas y los registros de respuesta a incidentes podrían aportar comprobaciones adicionales. La información pública en India sigue siendo desigual, lo que limita la comparación.

El cambiante marco de privacidad de India acabará mejorando la cantidad de información estructurada sobre brechas. Las Digital Personal Data Protection Rules se notificaron en noviembre de 2025 con un calendario de aplicación escalonado.

Las reglas DPDP incluyen requisitos relativos a salvaguardas de seguridad y notificación de brechas. Muchas disposiciones sustantivas tienen fechas de entrada en vigor aplazadas.

Las organizaciones no deben confundir la publicación con la aplicación inmediata de todas las obligaciones. Deben asignar cada requisito a su fecha de inicio aplicable.

El escepticismo no elimina la advertencia central. La matiza.

El coste medio récord de las brechas en India es real dentro del estudio de IBM. La brecha de gobernanza de la IA también está documentada. Lo que sigue siendo incierto es la proporción exacta del daño financiero causada directamente por ataques habilitados por IA.

Tres señales mostrarán si India está cerrando la brecha

La próxima prueba es si las empresas convierten la preocupación en un control medible sobre las identidades, los datos y la respuesta a incidentes.

La primera señal es la cobertura de controles de acceso para aplicaciones y agentes de IA. La cifra del 37 por ciento de IBM proporciona una referencia clara para las organizaciones indias.

La cifra debería aumentar a medida que las empresas inventarían sus sistemas de IA y los conectan a controles de identidad centralizados. El progreso debe incluir usuarios humanos, cuentas de servicio, plugins, modelos y agentes autónomos.

Una cifra más alta respaldaría la idea de que las organizaciones están cerrando la brecha entre adopción y gobernanza. Una cifra estancada sugeriría que las nuevas implementaciones de IA siguen superando al trabajo de seguridad.

Las empresas deben medir más que la mera existencia de un control. Deben hacer seguimiento de cuántas identidades de IA tienen responsables designados, permisos limitados, caducidad de credenciales y supervisión continua.

También deben revisar si se eliminan los agentes inactivos. Los agentes desconocidos o abandonados pueden conservar acceso mucho después de que desaparezca su propósito empresarial.

La segunda señal es la relación entre el ciclo de vida de las brechas y el impacto financiero. India redujo su ciclo de vida medio a 263 días, pero el coste medio siguió aumentando.

Otra reducción sería alentadora solo si los costes y la interrupción operativa también empiezan a bajar. Una detección más rápida que llega después de que los atacantes alcancen sistemas críticos puede generar ahorros limitados.

Las organizaciones deben separar el tiempo de detección del tiempo de contención. También deben hacer seguimiento de la restauración, la notificación a clientes, el trabajo legal y los negocios perdidos.

Estas medidas revelan dónde sigue acumulándose el coste. Una empresa puede detectar un incidente rápidamente, pero dedicar meses a reconstruir sistemas o validar la integridad de los datos.

Las simulaciones periódicas pueden exponer esos retrasos antes de una brecha real. El ejercicio debe incluir a ejecutivos, equipos de respuesta técnica, equipos legales, personal de comunicación y unidades de negocio afectadas.

Un plan de respuesta almacenado pero nunca ensayado ofrece poca evidencia de preparación. Los equipos deben saber quién puede revocar credenciales, aislar sistemas, contactar a los reguladores y comunicarse con los clientes.

La tercera señal es la implementación de los requisitos de protección de datos de India. El marco DPDP desplaza la gestión de brechas de una preocupación técnica hacia una obligación más amplia de rendición de cuentas.

Las organizaciones deben seguir cuidadosamente el calendario de entrada en vigor notificado. Durante la transición, deben desarrollar las salvaguardas, los registros y los procesos de notificación necesarios para una aplicación posterior.

El indicador más sólido será la evidencia operativa. Las empresas deben poder identificar los datos afectados, determinar quién los recibió, documentar la contención y notificar a las partes obligadas.

Eso depende del descubrimiento y la clasificación de datos antes de que comience un incidente. Una empresa no puede proporcionar una evaluación fiable de una brecha si nunca cartografió su información.

Estos preparativos regulatorios también deben extenderse a los proveedores. El compromiso de la cadena de suministro representó el 17 por ciento de los vectores iniciales en los hallazgos de IBM en India.

Una empresa puede proteger sus propios sistemas mientras un proveedor de servicios mantiene un acceso excesivo o procedimientos de incidentes deficientes. Los contratos deben definir las responsabilidades de seguridad, las obligaciones de notificación y los requisitos de evidencia.

La previsión general sigue siendo mixta. Los atacantes cuentan ahora con automatización más barata, herramientas de suplantación más convincentes y un número creciente de identidades de máquina a las que atacar.

Los defensores también cuentan con una mejor detección, análisis más rápidos y una contención más automatizada. El factor decisivo es si las organizaciones despliegan estas capacidades con una gobernanza exigible.

El promedio récord de INR 220 millones importará menos si se convierte en un pico, en lugar del inicio de una tendencia. Ese resultado exige que las empresas reduzcan tanto la frecuencia de las brechas como el daño posible una vez que se obtiene acceso.

Para los líderes empresariales, la pregunta inmediata es concreta: ¿puede la organización enumerar hoy todos los sistemas de IA que pueden acceder a datos sensibles?

Si la respuesta exige una larga investigación, la brecha de preparación sigue abierta. Si el inventario está actualizado, los permisos son limitados y los planes de respuesta se prueban, la empresa habrá superado una advertencia de Google News para avanzar hacia un control defendible.