La filantropía en ciberseguridad asciende a solo entre 100 y 200 millones de dólares al año, una cifra minúscula en comparación con las donaciones benéficas generales o la inversión en IA.
Solo una pequeña parte de la financiación en ciberseguridad llega a las economías emergentes y a los países menos desarrollados.
Los miembros del Consejo Global de Futuro sobre Ciberseguridad del Foro Económico Mundial proponen un «mecanismo de financiación sostenible para la ciberseguridad» para cerrar esta brecha de financiación y ayudar a crear un internet más seguro para todos.
Imaginemos un mundo en el que cada pequeña empresa pueda acceder a un voluntario experto en ciberseguridad para defenderse de la ciberdelincuencia habilitada por la inteligencia artificial (IA).
En este mundo, las organizaciones no gubernamentales (ONG) reciben alertas sobre la actividad de redes de bots a tiempo para prevenir ataques de ransomware, y las organizaciones internacionales de ayuda destinan de forma habitual partidas de seguridad digital a sus beneficiarios, ya sea para proteger los sistemas de gestión sanitaria que impulsan la erradicación de enfermedades o para incorporar la seguridad de la tecnología operativa en las nuevas infraestructuras de aguas residuales.
Las normas, los marcos normativos y la tecnología necesarios para hacer realidad esta visión existen en gran medida. Lo que falta es financiación.
Calculamos que la filantropía privada y empresarial aporta conjuntamente entre 100 y 200 millones de dólares al año a causas específicas de ciberseguridad. Recientemente, los programas de subvenciones gubernamentales, en particular el State and Local Cybersecurity Grants Program de Estados Unidos, el UK Integrated Security Fund, y el Digital Europe Programme de la UE, han empezado a aportar cientos de millones al año en sus respectivas jurisdicciones, pero muy poco de esta financiación se destina a las economías emergentes y a los países menos desarrollados.
A modo de comparación, los entre 100 y 200 millones de dólares asignados a la filantropía en ciberseguridad son una cantidad insignificante frente a los estimados 885 000 millones de dólares donados a causas benéficas generales en 2023, o frente a los 580 000 millones de dólares que se volcaron en la inversión empresarial en IA en 2025.
Estamos ampliando rápidamente los motores de la IA sin financiar los frenos digitales. Una pequeña fracción de esta financiación bastaría para crear un mecanismo de financiación sostenible para la ciberseguridad (SCFM, por sus siglas en inglés) significativo, dedicado a que internet sea seguro y protegido para todos.
Sentar las bases de un mecanismo de financiación sostenible para la ciberseguridad
El SCFM no funcionaría como un fondo único, sino como un ecosistema coordinado de fuentes de financiación diversas, que incluye la filantropía individual, las donaciones empresariales, los fondos multilaterales y los mecanismos agrupados, alineados con principios y alcance compartidos.
Como tal, el SCFM proporcionaría una base de financiación estable para movilizar recursos adicionales y cubrir la falta de financiación de las funciones de internet críticas pero con escasos recursos. Sin embargo, como no puede respaldar todos los servicios o actividades beneficiosos de seguridad digital, sugerimos acotar su enfoque estratégico en torno a cinco parámetros para maximizar el impacto:
La ciberseguridad como prioridad: Aunque se reconoce la superposición entre la ciberseguridad y otros ámbitos, como la promoción de la democracia, los derechos humanos y la desinformación, los efectos positivos en otros ámbitos deben considerarse beneficios accesorios y no criterios principales de financiación.
Intersección con la desinformación: El mecanismo no financiaría la desinformación como prioridad independiente, sino que respaldaría actividades en las que la ciberseguridad y la desinformación se cruzan, como el fraude en línea por suplantación de identidad, la manipulación del mercado o las operaciones de información que utilizan infraestructuras comprometidas.
Resiliencia civil, no militar ni de defensa: Las actividades financiadas deben centrarse en la resiliencia civil, en medidas centradas en las víctimas y en el desarrollo de capacidades.
Capacidad antes que cumplimiento: En las regiones con un desarrollo digital incipiente, el SCFM dará prioridad a construir capacidades básicas antes que al cumplimiento de marcos internacionales que presuponen capacidades que aún no existen.
Equidad mundial y neutralidad: El riesgo en materia de ciberseguridad no se distribuye de manera uniforme. Las economías emergentes y los países menos desarrollados se enfrentan a la mayor exposición en relación con su capacidad de respuesta, y son los menos representados en los debates de gobernanza mundial. El SCFM se regirá por la neutralidad política, aportaciones diferenciadas y una representación geográfica diversa.
Garantizar que el SCFM esté centrado en los beneficiarios
Para garantizar resultados óptimos, el mecanismo debe ajustarse a tres principios operativos que empoderen a las organizaciones que prestan servicios esenciales de primera línea.
En primer lugar, hay que dar prioridad a la infraestructura frente a la especificidad. La financiación debe priorizar las capacidades amplias y la infraestructura básica, en lugar de limitarse a compartimentos estancos, específicos de cada programa, lo que concede a las organizaciones la flexibilidad operativa necesaria para adaptarse a las amenazas cambiantes.
En segundo lugar, el mecanismo debe garantizar la coherencia y la continuidad. Para fomentar la estabilidad organizativa, el SCFM dará prioridad a las asignaciones previsibles y a largo plazo frente a las subvenciones grandes, volátiles y puntuales, al tiempo que simplificará las estructuras de información fragmentadas.
El tercer principio operativo son los modelos de financiación mixtos. El SCFM legitimaría los modelos de financiación mixtos, incluida la posibilidad de que las organizaciones beneficiarias recuperen costes de los usuarios con capacidad de pago, como las fuerzas de seguridad, al tiempo que subvencionan a los usuarios que no pueden pagar.
Arquitectura de financiación del SCFM
El capital no fluye hacia los problemas que no puede valorar. Mientras la ciberseguridad se considere un coste discrecional y no un riesgo sistémico cuantificado, la arquitectura de financiación de la ciberseguridad como bien público mundial seguirá dependiendo de los donantes, estará fragmentada y será vulnerable a los ciclos políticos. El SCFM debería introducir la legibilidad económica a través de cinco pilares fundamentales:
Modelización de pérdidas evitadas como resultado principal: El SCFM debe publicar modelos rigurosos y creíbles que demuestren las pérdidas económicas evitadas gracias a la resiliencia cibernética. Esto requiere cuantificar tanto la disrupción sistémica de las infraestructuras fuera de línea como el coste financiero y social directo del perjuicio a las víctimas. Este ejercicio no es una iniciativa de comunicación; es el trabajo fundamental necesario para que la ciberseguridad resulte más comprensible para los mercados de capitales.
Enfoque de rentabilidad ajustada al riesgo para el capital de impacto: Para atraer a inversores de impacto, fundaciones e instituciones financieras de desarrollo, el mecanismo debe ir más allá de la urgencia moral y articular una tesis económica clara basada en una lógica de rentabilidad ajustada al riesgo a precios de mercado.
Contabilidad estandarizada de la resiliencia: El SCFM promoverá marcos estandarizados para medir e informar sobre la resiliencia cibernética en términos económicos, en línea con la contabilidad ponderada por el impacto, para que la salud digital sea visible en los balances financieros.
Reclasificación de la resiliencia civil: El SCFM debería defender activamente la reclasificación de la ciberseguridad, de «militar/defensa» a «resiliencia civil», en los sistemas de clasificación de la OCDE, de la financiación del desarrollo y de los fondos de pensiones. Esta clasificación errónea impide actualmente que importantes volúmenes de capital accedan al sector.
Medición integrada: Los marcos de medición del impacto deben integrarse en la estructura del fondo desde su creación, garantizando que todos los beneficiarios de subvenciones generen sistemáticamente datos que demuestren su contribución a la estabilidad macroeconómica.
«El capital fluye hacia los problemas que demuestran una inevitabilidad económica y un impacto material. En el caso de la ciberseguridad: ¿cuál es el desbloqueo económico material? ¿Qué problema económico resuelve la resiliencia cibernética? El impacto debe vincularse al valor económico», afirma Fleur Heyns, directora ejecutiva de Proof of Impact.
La innovadora iniciativa de Brasil para mejorar la resiliencia cibernética de las pymes
Mientras los gobiernos y las instituciones financieras exploran nuevos mecanismos de financiación sostenible para la ciberseguridad, Brasil se perfila como un ejemplo de innovación en la financiación de la resiliencia cibernética de las pequeñas y medianas empresas (pymes).
A través de su Oficina de Seguridad Institucional de la Presidencia de la República (GSI/PR), en línea con la Estrategia Nacional de Ciberseguridad (E-Ciber), Brasil colabora con el Banco Interamericano de Desarrollo, el Banco Nacional de Desarrollo Económico y Social (BNDES) y otras instituciones para crear un modelo de crédito subvencionado que combina la financiación con apoyo técnico, formación, asistencia en materia de cumplimiento, evaluaciones de madurez y recuperación tras incidentes.
La iniciativa replantea la ciberseguridad como una cuestión de resiliencia económica y no como un coste de TI. Al mejorar el acceso de las pymes a recursos de ciberseguridad asequibles, Brasil pretende reducir el riesgo cibernético sistémico, reforzar las cadenas de suministro y mejorar la resiliencia de un sector que representa una parte importante del empleo y del producto interno bruto nacionales.
A través de la iniciativa Hackers do Bem (Hackers del Bien), el programa también ofrece formación y asistencia técnica gratuita, al tiempo que proporciona oportunidades de empleo para jóvenes.
El SCFM, clave para proteger la infraestructura técnica de la economía mundial
Internet conecta a más de dos tercios de la población mundial, y sirve de base fundamental para la IA y las tecnologías emergentes. Su integridad afecta profundamente a la seguridad nacional, la prosperidad económica y la salud y seguridad públicas.
Un mecanismo de financiación para la ciberseguridad sostenible, eficaz y transparente es el requisito básico para proteger la infraestructura técnica de nuestra economía mundial y para proteger a las organizaciones y personas con recursos insuficientes.
Ha llegado el momento de establecer un mecanismo de financiación sostenible para la ciberseguridad si queremos aprovechar todo el potencial de los avances tecnológicos y hacer que nuestro espacio público digital sea seguro y protegido para todos.
Los autores de este blog fueron Consejo Global de Futuro sobre Ciberseguridad miembros Anna Maria Collard, vicepresidenta sénior de Estrategia de Contenidos y asesora de CISO para África en KnowBe4; Ann Cleaveland, directora ejecutiva del Center for Long-Term Cybersecurity de UC Berkeley; Hoda Al Khzaimi, vicerrectora adjunta de Traslación de la Investigación y Emprendimiento en la Universidad de Nueva York Abu Dabi; Jamie Saunders, becario Oxford Martin de la Universidad de Oxford; Michael Daniel, presidente y consejero delegado de Cyber Threat Alliance; y Sameer Suryakant Patil, director del Centre for Security, Strategy and Technology de la Observer Research Foundation (ORF).
