Qualys, Inc., proveedor pionero y líder en soluciones de TI, seguridad y cumplimiento basadas en la nube, ha hecho pública una serie de claves que, a juicio de sus analistas, marcarán el futuro próximo de la gestión de riesgos de seguridad en los entornos cloud modernos. Dichas claves se recogen en detalles en el informe Cloud Security Forecast 2026.

Elaborado por la Unidad de Investigación de Amenazas (TRU) de la compañía, en colaboración con más de 250 compañías multinacionales, el estudio revela una brecha cada vez más evidente entre la velocidad a la que las empresas adoptan tecnologías cloud y la madurez de los mecanismos utilizados para gobernar el riesgo.

“Los riesgos en la nube ya no son consecuencia de incidentes aislados, sino de la forma en que están diseñados y conectados los entornos digitales modernos”, explica Sergio Pedroche, Country Manager de Qualys Iberia. “Las identidades, las integraciones SaaS y los sistemas impulsados por IA generan nuevas superficies de exposición que evolucionan más rápido de lo que muchas organizaciones pueden gobernar”.

A la luz de los datos del estudio, Qualys identifica tres señales clave que redefinen la forma en que las organizaciones deben interpretar y gestionar el riesgo en la nube.

1. La arquitectura de identidad está decidiendo quién gana la carrera contra las brechas de seguridad

En los entornos cloud modernos, la autoridad ya no reside en la infraestructura, sino en las identidades, los permisos y las relaciones de confianza. Sin embargo, la madurez de las organizaciones en este ámbito sigue siendo limitada. Solo el 17,3% ha implementado capacidades de gestión de derechos de infraestructura en la nube (CIEM), mientras que únicamente el 26,1% incorpora el contexto de identidad en la priorización de riesgos y apenas el 11,2% evalúa combinaciones potencialmente peligrosas de permisos.

Como consecuencia, gran parte de las rutas de acceso que pueden utilizar los atacantes permanecen ocultas para los mecanismos tradicionales de revisión y auditoría. En muchos casos, estas relaciones de confianza solo se descubren cuando ya han sido explotadas.

2. La IA de agentes está ampliando la superficie de ataque más rápido que la capacidad de control

La adopción de la tecnología de agentes de IA avanza con rapidez: el 35,7% de las organizaciones ya utiliza cargas de trabajo de IA o grandes modelos de lenguaje (LLM). Sin embargo, solo el 19,1% afirma disponer de visibilidad y controles adecuados para proteger estos entornos, mientras que la adopción de capacidades específicas de protección para IA apenas alcanza el 4,8%.

Según el informe, esta situación crea un escenario en el que los atacantes pueden combinar múltiples condiciones de bajo riesgo aparente —permisos excesivos, integraciones obsoletas o credenciales expuestas— para construir rutas de escalada de privilegios difíciles de detectar mediante enfoques convencionales.

3. Los entornos cloud evolucionan a velocidad de máquina, pero la respuesta sigue siendo humana

La infraestructura como código, las canalizaciones CI/CD y las cargas de trabajo efímeras alteran continuamente la superficie de riesgo. Sin embargo, los procesos de respuesta continúan dependiendo en gran medida de la intervención manual. El 49,4% de las organizaciones sigue basándose en modelos de monitorización con respuesta manual, mientras que el 47,8% sigue dependiendo de gestiones mediante tickets. En contraste, solo el 16,1% de ellas dispone de capacidades de remediación automatizada.

A juicio de los analistas de Qualys, esta diferencia entre la velocidad a la que se generan nuevas exposiciones y la velocidad a la que se corrigen constituye uno de los principales desafíos de seguridad para los próximos años.