Las organizaciones del sector salud tardan en promedio más de seis días en corregir vulnerabilidades de ciberseguridad que ya fueron identificadas, un rezago que las mantiene expuestas a posibles ataques durante más tiempo que otras industrias, de acuerdo con el 2026 Exposure Gap Report de Check Point Software.
El estudio reveló que las empresas del sector salud requieren alrededor de 158 horas para remediar una exposición validada, mientras que las compañías de servicios públicos (utilities) lo hacen en apenas 12.6 horas. En tanto, el sector financiero destacó por aplicar 91.7% de las correcciones recomendadas.
De acuerdo con la firma de ciberseguridad, el desafío no está únicamente en detectar las vulnerabilidades, sino en convertir ese hallazgo en una acción correctiva. Cada hora que una falla permanece abierta representa una oportunidad para que un atacante pueda explotarla.
En México, el rezago es especialmente visible en el sector salud debido a la rápida digitalización de hospitales, aseguradoras y proveedores de servicios médicos, que convive con presupuestos limitados, escasez de especialistas en ciberseguridad, sistemas heredados y equipos médicos conectados que difícilmente pueden detener su operación para recibir actualizaciones.
El resultado es una acumulación de riesgos en un sector que maneja información sensible y cuya infraestructura resulta crítica. A diferencia del sector salud, la banca y los servicios financieros han desarrollado procesos más ordenados, impulsados en parte por una mayor presión regulatoria y madurez operativa.
Sector financiero responde más rápido a las amenazas digitales
El sector financiero destaca por su capacidad para convertir la detección de vulnerabilidades en acciones de remediación. Aunque se encuentra entre las industrias que gestionan un mayor volumen de hallazgos, las organizaciones financieras aplicaron 91.7% de las correcciones recomendadas.
Esto muestra que la cantidad de alertas no necesariamente determina la capacidad de respuesta. Para Check Point, el desempeño depende de cómo están estructurados los flujos de trabajo y de qué tan rápido una organización puede llevar una vulnerabilidad detectada hasta su corrección.
Parte del retraso ocurre incluso antes de intervenir el sistema afectado. Los equipos de seguridad deben confirmar quién es responsable del activo, verificar si la falla es realmente explotable y determinar qué riesgo debe atenderse primero.
Cuando estos procesos no están definidos, las decisiones se prolongan, aumenta el volumen de pendientes y el riesgo se mantiene abierto.
“El problema en México no es que las empresas no vean el riesgo. Lo ven, lo documentan y muchas veces hasta saben quién debería atenderlo. Lo que se rompe es el tramo siguiente: la corrección se queda esperando una autorización, una ventana de mantenimiento o la respuesta de un tercero, y ahí es donde el atacante gana tiempo”, afirmó Miguel Hernández y López, Country Manager de Check Point México.
El directivo señaló que cuando una organización valida qué vulnerabilidades son realmente explotables y conecta esa información con el equipo encargado de aplicar los cambios, puede reducir los tiempos de respuesta de días a horas.
Para reducir esta brecha, Check Point recomendó mantener una validación continua de las vulnerabilidades, establecer con claridad quién es responsable de cada activo y conectar los flujos de trabajo entre los equipos de seguridad y operaciones.
La firma también destacó el papel de la Validación Agéntica de Exposición (AEV), una herramienta que permite filtrar las alertas y concentrar los recursos en aquellos riesgos que pueden ser explotados en el entorno real de una organización.
Con ello, el objetivo es reducir el tiempo entre la identificación de una vulnerabilidad y su cierre efectivo, especialmente en sectores como salud, donde detener sistemas o equipos para realizar actualizaciones puede afectar directamente la continuidad de las operaciones.
