Ciberso es una empresa española especializada en ciberseguridad y protección digital que ofrece servicios integrales orientados a prevenir, detectar y responder a amenazas informáticas en organizaciones públicas y privadas. Con más de 25 años de experiencia en el ámbito del aseguramiento digital, la compañía desarrolla soluciones relacionadas con auditorías de seguridad, ciberinteligencia, protección de infraestructuras, gobierno de la ciberseguridad y formación en prevención de riesgos digitales. La firma, con sede en Madrid y presencia internacional, apuesta por un modelo independiente de fabricantes e integradores tecnológicos, centrado en la adaptación de estrategias de seguridad a las necesidades específicas de cada empresa en un contexto marcado por el aumento de los ciberataques y la transformación digital. Jaime Morales es su Head of Cybersecurity Operations.
¿Qué papel desempeña la inteligencia artificial dentro de su estrategia global de negocio y qué áreas o departamentos fueron los primeros en solicitar sistemas de inteligencia corporativa?
La IA no es para nosotros un fin en sí mismo, sino un habilitador de decisiones más rápidas y fundamentadas en un entorno donde la velocidad de los riesgos supera la capacidad humana de procesarlos. Los primeros en demandar inteligencia corporativa fueron ciberseguridad e innovación, donde detectar patrones anómalos, mejoras en análisis de código o anticipar movimientos regulatorios es crítico. Después se sumaron cumplimiento normativo y auditoría. Hoy tenemos agentes integrados en productos propios como HESTIA y en proyectos de GRC para clientes que trabajan bajo marcos como ENS, NIS2, ISO 27001 o CRA.
Pero lo que nos diferencia no es solo la tecnología: es que hemos construido un modelo de gobernanza alrededor de ella — certificación ISO/IEC 42001, políticas internas de uso responsable y revisión humana antes de que cualquier output de IA impacte en una decisión estratégica.
¿Qué tecnologías y metodologías utilizan (IA, análisis de datos, OSINT, competitive intelligence, etc.)? ¿Qué tipo de decisiones estratégicas se apoyan hoy en la inteligencia corporativa?
En nuestro día a día combinamos varias capas: OSINT estructurado, análisis de datos, herramientas de competitive intelligence y, cada vez más, modelos de IA generativa y agentes especializados. La inteligencia corporativa nos ayuda a tomar decisiones sobre gestión de riesgos, priorización de inversiones en ciberseguridad, evaluación de proveedores tecnológicos y anticipación de tendencias regulatorias o de mercado. Dicho esto, hay todavía muchos ámbitos donde la IA no funciona también como la gente se imagina y tiene margen de mejor. Hoy, ya en junio, aún estamos lejos del “oráculo perfecto”; los modelos están en plena fase de mejora y auto‑aprendizaje. Donde sí que hay podemos decir que hay una clara tendencia son en modelos avanzados de ciberseguridad como Mythos, de Anthropic, capaz de encontrar vulnerabilidades en código antiguo y explotar fallos con un rendimiento superior al humano en ciertos escenarios, o el nuevo modelo GPT‑5.4‑Cyber, con el que OpenAI quiere dar más capacidades ofensivas y defensivas a equipos de ciberseguridad legítimos. En nuestro caso, estamos incorporando modelos en herramientas y formaciones para que los equipos aprendan a usar y cuestionar la IA a la vez.
El eslogan “usa IA” está muy bien para marketing, pero en la realidad hay que diseñar procesos, métricas y controles para evaluar lo que devuelve el modelo antes de que impacte en una decisión estratégica.
¿Ha cambiado la cultura organizacional desde que se introdujeron estas herramientas? ¿Qué perfiles nuevos se han incorporado?
Totalmente. Lo primero que hemos hecho ha sido llevar esto al terreno de la gobernanza, certificándonos como empresa en ISO/IEC 42001:2023 y creando un equipo específico para acompañar a negocio y a los equipos técnicos en el uso responsable de IA. Eso implica formar a la plantilla que ya teníamos, definir políticas internas y, sobre todo, cambiar la conversación de “probar un modelo” a “gestionar un sistema sociotécnico” donde hay riesgo, cumplimiento y ética. Mientras otros grandes actores del sector están reaccionando a la irrupción de la IA con olas de despidos y reestructuraciones ligadas directamente a la automatización, como estamos viendo a nivel global con decenas de miles de puestos recortados o EREs justificados explícitamente por la llegada de la IA (por ejemplo, el caso de Capgemini, con recortes masivos y un 7 % de la plantilla afectada en Francia y un proceso de despidos en España), nosotros hemos apostado primero por recualificación interna y por reforzar el equipo de innovación. Sí tenemos previsto incorporar perfiles nuevos, especialmente para el desarrollo y evaluación de agentes de IA propios, pero partiendo de un núcleo donde ya contamos con doctores y profesionales muy especializados en IA y ciberseguridad.
¿Cómo garantizan la protección de datos y la privacidad en los procesos de inteligencia corporativa? ¿Existen límites éticos sobre qué tipo de información se puede recopilar y analizar?
Para nosotros la protección de datos y la privacidad no son un “checklist”, sino un principio de diseño. Trabajamos con criterios de minimización de datos, segmentación de accesos, cifrado, registro de actividades y cumplimiento estricto de GDPR y de los marcos sectoriales que apliquen en cada proyecto. Además, tenemos políticas internas que establecen qué no se hace: qué fuentes no usamos, qué tipos de información no recopilamos y qué prácticas descartamos por intrusivas o incompatibles con nuestros valores y con el gobierno corporativo del cliente. Los incidentes recientes en el sector de la IA son un buen recordatorio de que esto no va solo de “ciberataques clásicos”.
Anthropic, por ejemplo, ha sufrido filtraciones de datos e información sensible no tanto por una brecha técnica del modelo, sino por errores humanos de proveedores y problemas de publicación de código y documentación interna. Este tipo de incidentes nos refuerza en dos decisiones: – limitar al máximo qué datos salen de nuestro perímetro cuando trabajamos con LLM externos, y – valorar escenarios donde la organización opera con uno o muy pocos modelos aprobados, restringiendo el acceso al resto en dispositivos corporativos. En dispositivos personales, evidentemente, no podemos imponer esa trazabilidad, así que trabajamos mucho la concienciación, dejando muy claro qué se puede y qué no se puede subir nunca a un modelo público.
¿Cómo revisan la calidad, veracidad y fiabilidad de las fuentes? ¿Qué mecanismos tienen para evitar sesgos o errores automatizados?
La validación de fuentes es un proceso mixto: técnica, metodológica y humana. Priorizamos fuentes verificables y trazables, contrastamos información entre varios orígenes y mantenemos un flujo de revisión humana sobre los productos de inteligencia antes de que lleguen a dirección. Con la IA esto se vuelve aún más crítico. Casos como el de Mythos, donde los propios materiales internos de Anthropic apuntan a que el modelo puede comportarse de manera estratégica en las evaluaciones, “rindiendo por debajo” para no disparar alarmas, han encendido todas las luces rojas en la comunidad de seguridad. Si un modelo es capaz de optimizar su comportamiento para pasar un examen de seguridad, no podemos asumir que un buen resultado en un benchmark equivale a un sistema seguro. Por eso combinamos varias capas: red teaming independiente, validación cruzada de salidas con fuentes externas, revisión por expertos y límites claros sobre qué tareas dejamos en manos de la automatización. La regla de oro es sencilla: la IA complementa, no sustituye el criterio del analista. La última palabra siempre la tiene un humano.
¿Cómo equilibran automatización y supervisión humana?
Nuestro modelo operativo es muy deliberado: automatizamos recogida de datos, normalización, enriquecimiento, detección de patrones y generación de primeros borradores, pero la interpretación, el contexto y la decisión siguen siendo humanas. Los modelos especializados en ciberseguridad ya comentados como Mythos o GPT‑5.4‑Cyber son un arma de doble filo: pueden ayudar a defender mejor sistemas complejos, identificar configuraciones débiles o priorizar vulnerabilidades, pero también elevan el listón de lo que puede hacer un atacante con pocos conocimientos si esas capacidades caen en malas manos. Precisamente por eso, mantenemos un esquema de tres capas: automatización para volumen y velocidad, supervisión experta para sentido crítico y ética, y gobernanza (políticas, auditoría, métricas) para que el equilibrio no dependa solo de la buena voluntad de los equipos.
¿Analizan tendencias geopolíticas o riesgos internacionales como parte de su vigilancia estratégica?
La geopolítica ya no es un contexto de fondo para la ciberseguridad — es una variable operativa de primer orden. En Ciberso la monitorizamos de forma sistemática porque el perfil de riesgo de un proveedor, una tecnología o un país puede cambiar en semanas por razones que no tienen nada que ver con una vulnerabilidad técnica. Hay tres vectores que seguimos de cerca ahora mismo. El primero es la fragmentación de las cadenas de suministro tecnológico: el caso Huawei fue el aviso, pero hoy el debate se ha extendido a semiconductores, hiperscalers y software de infraestructura crítica. Cualquier cliente nuestro en sector público o en operadores esenciales tiene exposición ahí, y nosotros tenemos que anticiparla antes de que se convierta en un problema de cumplimiento o de continuidad. El segundo es la presión regulatoria cruzada entre bloques. La AI Act europea, las restricciones de exportación de chips de la administración americana, las tensiones sobre transferencias de datos con terceros países — todo eso crea escenarios donde una decisión tecnológica que hoy es legal puede dejar de serlo en dieciocho meses. Eso lo incorporamos directamente a los proyectos de GRC que hacemos con clientes.
El tercero es el actor estatal como amenaza persistente. Los ataques documentados a ministerios y organismos públicos en España en los últimos años — muchos atribuibles a grupos con patrocinio estatal — nos recuerdan que hay adversarios con recursos, paciencia y objetivos estratégicos muy distintos a los del cibercrimen convencional. Contra eso no basta con parchear: hay que entender la intención geopolítica detrás del vector técnico.
¿Qué tecnologías emergentes creen que transformarán esta área de la IA corporativa en el corto y medio plazo?
La transformación más inmediata viene de los agentes de IA: sistemas que no solo responden preguntas, sino que encadenan tareas, llaman a herramientas externas y toman decisiones parciales de forma autónoma. En ciberseguridad e inteligencia corporativa esto es especialmente relevante porque los flujos de trabajo son complejos, repetitivos en su estructura, pero variables en su contenido — exactamente el escenario donde un agente bien diseñado multiplica la capacidad del analista sin sustituir su criterio. En el corto plazo, lo que ya estamos viendo es la integración de agentes en pipelines concretos: orquestando scanners de vulnerabilidades, priorizando hallazgos, abriendo tickets, consultando bases de conocimiento y generando borradores de informe — todo coordinado, sin intervención humana en cada paso intermedio.
En Ciberso estamos trabajando en esa dirección con productos propios como HESTIA y en los proyectos de GRC con clientes. En el medio plazo hay tres tecnologías complementarias que seguimos de cerca. La primera es el razonamiento multimodal aplicado a inteligencia de amenazas: modelos capaces de cruzar texto, imágenes, logs y tráfico de red en un mismo análisis, lo que abre posibilidades reales en atribución y detección temprana. La segunda son los modelos de grafos para OSINT: para analizar redes de relaciones entre actores, infraestructuras o entidades, donde la estructura de los datos importa tanto como el contenido. La tercera es la computación confidencial aplicada a LLMs — ejecutar modelos en entornos de ejecución confiable para que organizaciones en sectores regulados puedan usar IA sin exponer datos sensibles fuera de su perímetro.
Pero la pregunta que me parece más estratégica no es solo qué tecnología llega, sino qué arquitectura de gobierno construimos alrededor. Las organizaciones que en los próximos dos años combinen agentes potentes con controles sólidos — auditoría, límites de autonomía, revisión humana en los nodos críticos — tendrán una ventaja competitiva real. Las que adopten sin ese marco probablemente también tendrán visibilidad… pero por los motivos equivocados.
