Per què la confiança en els proveïdors de ciberseguretat està en crisi

La confiança en els proveïdors de ciberseguretat sha convertit en un dels punts més delicats de lestratègia digital de qualsevol empresa. No parlem només de si una solució bloqueja més o menys atacs, sinó d'una cosa molt més profunda: fins a quin punt les organitzacions creuen de debò en els que diuen protegir-les, com ho mesuren i quin impacte té aquesta percepció en el risc real que assumeixen.

L'estudi global “Cybersecurity Trust Reality 2026”, recolzat per Sophos i realitzat a 5.000 organitzacions de 17 països, posa números a aquesta situació i el resultat és força clar: la confiança és fràgil, difícil d'avaluar i ja no es pot gestionar a cop d'eslògan comercial. En un entorn amb amenaces constants, regulacions cada cop més dures i una adopció accelerada de la intel·ligència artificial, la capacitat de demostrar amb proves que un proveïdor és fiable s'ha tornat tan important com la pròpia tecnologia de defensa.

Un problema global: gairebé ningú no confia del tot en els seus proveïdors

Les dades de l'informe són contundents. A nivell mundial, el 95% de les organitzacions reconeixen que no tenen plena confiança en els seus proveïdors de ciberseguretat. No és que no confiïn en absolut, però sí que deixen clar que hi ha un marge de dubte significatiu respecte a com treballen aquests socis, quin nivell de maduresa tenen i com respondran quan hi hagi un incident seriós.

A més, un 79% dels enquestats afirma que li resulta complicat avaluar la fiabilitat de nous partners de ciberseguretat. És a dir, quan es planteja incorporar un nou proveïdor a l'ecosistema de seguretat, la majoria de les empreses troben que no disposa d'informació clara, objectiva i suficientment detallada per valorar si aquesta organització mereix o no la seva confiança.

La cosa no millora gaire amb els socis ja consolidats: més de sis de cada deu companyies (62 %) assenyalen que també els resulta difícil analitzar amb rigor els proveïdors actuals. Aquest escenari, lluny de ser només una incomoditat, té un efecte directe al nivell de risc que les empreses perceben que estan assumint.

De fet, més de la meitat de les organitzacions (51 %) declara que ha augmentat la seva preocupació davant la possibilitat de patir un incident cibernètic greu precisament per aquesta manca de confiança. No és només por genèrica als ciberatacs, sinó ansietat vinculada al dubte de si el proveïdor elegit estarà realment a l'alçada quan arribi el moment de la veritat.

Aquesta combinació d‟escepticisme i dificultat per avaluar els partners porta a una conclusió clara: la eficàcia de la ciberseguretat ja no es mesura només pel rendiment tecnològic, sinó per la credibilitat i la transparència dels qui estan darrere de les solucions. Per als CISO i els equips de seguretat, aquesta bretxa de confiança es tradueix en friccions internes, processos de decisió més lents i més rotació de proveïdors.

La confiança com a factor de risc mesurable, no com a concepte abstracte

Un dels missatges clau de linforme és que la confiança deixa de ser una mica eteri per esdevenir un element de risc perfectament quantificable. Ross McKerchar, CISO de Sophos, ho resumeix amb claredat: quan una organització no pot comprovar independentment la maduresa de seguretat, la transparència o les pràctiques de gestió d'incidents d'un proveïdor, aquesta incertesa salta directament als comitès de direcció i condiciona l'estratègia global.

A la pràctica, això significa que la percepció sobre el proveïdor influeix tant com els indicadors tècnics. Una empresa pot tenir un gran desplegament d'eines avançades, però si no entén com el seu soci treballa, quins processos té per respondre a incidents o quins controls externs validen el que afirma, la sensació d'inseguretat seguirà aquí. I aquesta sensació, en ciberseguretat, se sol traduir en més controls, més auditories i més fre a l'hora de prendre decisions.

Els resultats de l‟estudi mostren que, quan no hi ha confiança sòlida, es produeixen efectes molt concrets: cicles de venda més llargs, requisits de supervisió més estrictes, més discussions internes entre TI i direcció i una tendència creixent a canviar de proveïdor davant del mínim dubte. En algunes anàlisis específiques dirigides al canal, es posa de manifest que el 45% dels clients se senten més predisposats a substituir el seu partner i que el 42% incrementa els nivells de control.

En paral·lel, un 41% dels enquestats reconeix que té menys sensació de tranquil·litat respecte a la seva postura de seguretat quan desconfia del proveïdor, i un 38% arriba a plantejar-se si es va equivocar a l'hora d'escollir-lo. Aquest clima genera un cercle viciós: més desconfiança, més pressió sobre el canal i més dificultats per construir relacions estables a mitjà i llarg termini.

La investigació deixa clar que la confiança es converteix, per tant, en una peça central de la gestió de risc. Igual que es mesuren els temps de resposta davant d'incidents o el volum d'alertes, es comença a mesurar fins a quin punt es confia en el partner, quines evidències es tenen de fer i com es gestionen els dubtes que van apareixent.

Què impulsa realment la confiança: verificacions, certificacions i maduresa operativa

L'informe identifica un conjunt d'elements que actuen com “artefactes verificables” de seguretat i que són els que tenen més pes a l'hora de reforçar la confiança. Entre aquests destaquen tres pilars fonamentals: les avaluacions independents, les certificacions reconegudes i la demostració clara de maduresa operativa en ciberseguretat.

Les avaluacions de tercers -com a auditories externes, anàlisi de firmes de consultoria o informes d'analistes de mercat- proporcionen un punt de vista objectiu que moltes empreses consideren imprescindible. No es tracta només que el proveïdor digui que ho fa bé, sinó que algú aliè a la companyia ho revisi i ho validi amb criteris reconeguts.

En segon lloc, les certificacions formals en seguretat (normes internacionals, marcs de bones pràctiques, compliment d'estàndards reguladors, etc.) funcionen com una mena de drecera de confiança. No són una garantia absoluta, però sí que indiquen que el proveïdor ha passat per processos de revisió exigents i que està alineat amb els requisits esperables per operar en entorns crítics.

El tercer bloc el forma la maduresa operativa demostrable: processos de gestió d'incidents ben definits, polítiques d'actualització i pegats, programes de bug bounty, centres de confiança públics o repositoris on es documenta de manera transparent com s'actua davant de vulnerabilitats. Tots aquests elements permeten a les empreses veure, amb cert detall, què hi ha darrere del màrqueting.

L'enquesta també posa de manifest que hi ha matisos en funció del perfil que avalua el proveïdor. Els CIS i equips tècnics tendeixen a donar més pes a la transparència durant els incidents, a la qualitat del suport al dia a dia i al rendiment tècnic sostingut en el temps. Per part seva, els consells d'administració i l'alta direcció miren especialment la validació externa: certificacions, auditories i posicionament en informes d'analistes.

En qualsevol cas, el patró comú és evident: les organitzacions busquen transparència recolzada per proves concretes, no promeses generals ni missatges publicitaris. Quan la informació és escassa, poc clara o excessivament comercial, la desconfiança creix i el proveïdor ho paga en forma de més exigències i menys oportunitats.

La pressió regulatòria converteix la confiança en un requisit de compliment

El context regulatori actual afegeix una capa extra de complexitat. Segons explica Phil Harris, responsable de recerca a Governance, Risk and Compliance Solutions a IDC, la pressió normativa està disparant-se a nivell global i això obliga les organitzacions a demostrar que han actuat amb la diligència deguda en la selecció dels seus proveïdors de ciberseguretat.

Això és especialment sensible quan entra en joc la intel·ligència artificial. La IA s'està integrant de manera accelerada a eines, serveis i fluxos de treball de seguretat: detecció d'amenaces, automatització de respostes, anàlisi de comportament, etc. En aquest escenari, les empreses no es conformen a saber si les solucions són eficaces, sinó que exigeixen garanties que la IA s'empra de manera responsable, transparent i amb una governança sòlida.

La conseqüència directa és que la confiança deixa de ser un simple missatge de màrqueting per transformar-se en un criteri de compliment defensable. Les organitzacions han de poder mostrar reguladors, auditors i, arribat el cas, tribunals, que han triat proveïdors que compleixen uns estàndards raonables i que han avaluat adequadament els riscos associats.

Això obliga els socis de ciberseguretat a anar un pas més enllà: ja no n'hi ha prou de dir que es compleix una norma, cal aportar evidència documental, processos clars i traçabilitat de les decisions preses. Els que no siguin capaços d'oferir aquest nivell de transparència es trobaran amb cada cop més portes tancades en projectes regulats o en sectors especialment crítics.

Pel canal i per als fabricants, aquest canvi implica un gir de mentalitat: la gestió de la confiança passa a ser part central de la seva proposta de valor. La manera com expliquen els seus controls, com obren els seus processos a revisió i la facilitat amb què un client pot validar el que se li explica es converteixen en factors diferencials davant de la competència.

La irrupció de la IA en ciberseguretat: eficàcia, però també responsabilitat

L'informe remarca que l'adopció de intel·ligència artificial en la defensa digital no només està canviant la manera com es detecten i responen als atacs, sinó també la forma en què s'avalua la confiança en els proveïdors. La IA obre la porta a automatitzar decisions crítiques, analitzar grans volums de dades i anticipar patrons d'atac, però alhora genera dubtes sobre la seva governança.

Les organitzacions ja no es pregunten només si un sistema basat en IA millora les taxes de detecció o redueix els temps de resposta, sinó si aquesta IA s'ha entrenat amb dades adequades, si respecta la privadesa, si hi ha mecanismes per auditar les seves decisions i si hi ha la possibilitat d'intervenir manualment quan alguna cosa no encaixa.

En aquest context, els proveïdors es veuen obligats a ser molt clars sobre com integren la IA als seus productes i serveis. Necessiten explicar quins processos de control apliquen, com gestionen els biaixos potencials, quins límits posen a l'automatització i com se supervisa el comportament d'aquests sistemes al llarg del temps.

Des del punt de vista del compliment, la IA hi afegeix un nivell extra de responsabilitat. Reguladors i organismes de control comencen a fixar-se no sols en si una organització té solucions avançades, sinó en si pot demostrar que ha avaluat correctament els riscos associats a la IA i que treballa amb proveïdors capaços de suportar aquesta càrrega de compliment.

En definitiva, la integració de la intel·ligència artificial fa que la confiança sigui encara menys opcional. Si abans ja era important, ara es converteix en una condició indispensable per poder desplegar tecnologies que prenen decisions semiautònomes en entorns sensibles.

La manca de transparència com a principal fre a la confiança

Una de les troballes més repetides al llarg de les diferents variants de l'estudi és que el gran obstacle per confiar en un proveïdor és la escassetat d'informació clara, accessible i profunda. Els enquestats assenyalen de manera majoritària que la informació que reben no és prou detallada o està excessivament filtrada pel departament de màrqueting.

Gairebé la meitat de les organitzacions consultades considera que la documentació tècnica i de seguretat no és prou objectiva, mentre que un percentatge molt rellevant admet que li costa d'interpretar-la per la seva complexitat o per la manera com es presenta. A això se sumen problemes habituals com ara l'existència de dades contradictòries, missatges confusos o informació dispersa en múltiples fonts.

El resultat pràctic és que molts equips de TI i seguretat es veuen forçats a dedicar més temps del desitjable a intentar desxifrar què hi ha realment darrere de cada solució, amb reunions addicionals, peticions constants d'aclariments i sol·licituds de documentació extra. Quan aquesta informació no arriba o arriba tard, la confiança se'n ressent.

El mateix McKerchar subratlla que la confiança ha de guanyar-se de manera contínua mitjançant transparència, rendició de comptes i validació independent. No val publicar un document estàtic una vegada i oblidar-se; cal mantenir al dia la informació, obrir canals per resoldre dubtes i oferir visibilitat sobre incidents rellevants i com s'han gestionat.

Per respondre a aquesta demanda, alguns proveïdors estan creant Centres de confiança, plataformes on concentren tota la informació clau de seguretat: polítiques, certificacions, detalls darquitectura, dades sobre el processament dinformació, referències a auditories externes, etc. L'objectiu és que els responsables de seguretat puguin prendre decisions més ben informades i amb menys fricció.

Diferències de percepció entre TI, CISO i alta direcció

Un altre punt interessant de l'estudi és la bretxa de percepció interna que existeix a moltes organitzacions entre els equips tècnics i els òrgans de govern a l'hora d'avaluar la fiabilitat dels proveïdors. Segons les dades, al voltant del 78% de les empreses afirmen que hi ha discrepàncies d'opinió entre TI i l'alta direcció sobre la confiança que mereix un partner de seguretat.

En gairebé un terç dels casos, aquest desacord es produeix sovint, i en un 43% apareix de forma ocasional però recurrent. Això reflecteix que no sempre hi ha un llenguatge comú per parlar de risc i de confiança, i que cada grup dóna més pes a uns o altres factors segons el seu rol i les seves responsabilitats.

Els equips tècnics solen fixar-se en el rendiment diari de les eines, la qualitat del suport, la transparència en la gestió dincidents i la capacitat del proveïdor per respondre amb rapidesa a vulnerabilitats i canvis dentorn. Per ells, l'experiència pràctica pesa tant o més que les credencials formals.

La alta direcció i els consells d'administració, en canvi, miren el quadre des de més amunt. Solen prioritzar l'estabilitat del proveïdor, la seva reputació al mercat, les certificacions oficials, les auditories de tercers i el posicionament en informes d'analistes. Busquen garanties que puguin explicar amb claredat davant d'auditors, reguladors o accionistes.

Quan aquestes dues visions no s'alineen, l'empresa corre el risc de prendre decisions de seguretat a mitges: o bé se subestima la importància de l'experiència tècnica real, o bé es resten importància als requisits de compliment i governança. Per això és important traduir els riscos tècnics a llenguatge de negoci i, alhora, baixar a terra els requisits de l'alta direcció perquè els equips de TI sàpiguen com actuar.

El cas de Colòmbia: desconfiança més acusada i capacitats limitades

Encara que l'informe té un abast global, alguns resultats específics, com els recollits a Colòmbia, mostren, d'acord amb un mapa d'activitat de codi maliciós a Amèrica Llatina, fins a quin punt el problema pot ser encara més intens en determinats mercats. En aquest país, cap de les organitzacions consultades afirma confiar plenament en els proveïdors de ciberseguretat, i un 85% assegura tenir dificultats serioses per avaluar-ne la fiabilitat.

Bona part d'aquesta dificultat s'explica per la manca d'informació clara i verificable. Més de la meitat de les empreses colombianes enquestades (54%) considera que les dades disponibles sobre els proveïdors no tenen el nivell de detall necessari o no permeten comprovar amb facilitat les afirmacions que es fan. A això s'uneix que un 53% reconeix no comptar amb capacitats internes suficients per fer avaluacions profundes de seguretat.

L'impacte a la percepció de risc és molt evident: un 55% de les organitzacions a Colòmbia declara una ansietat més gran davant la possibilitat de patir un incident cibernètic greu vinculat a la manca de confiança en els seus socis, mentre que un 54 % es planteja canviar de proveïdor com a resposta a aquesta incertesa.

A més, un 51% reconeix que té dubtes sobre les decisions que ha pres en matèria de ciberseguretat i un 43% afirma haver incrementat els nivells de supervisió interna sobre els seus partners. Aquesta intensificació del control se sol traduir en més revisions, més burocràcia i més càrrega per als equips de TI i seguretat.

L'informe també en detecta una bretxa interna rellevant al país: un 76% de les empreses reporten diferències entre els equips tècnics i l'alta direcció en l'avaluació de proveïdors i la gestió del risc, amb un 33% on aquest conflicte és freqüent i un 43% on apareix de forma ocasional. Tot això en un teixit empresarial on predominen companyies de mida mitjana i gran, amb un pes important d'organitzacions entre 251 i 500 empleats i entre 3.001 i 5.000 treballadors.

La ciberseguretat com a esforç integral: tecnologia, processos i persones

Més enllà de les xifres i percepcions, l'informe recorda que la ciberseguretat a l'empresa és una combinació de tecnologies, processos i polítiques orientades a protegir sistemes, xarxes i dades davant d'amenaces internes i externes. Firewalls, antivirus, sistemes de detecció d'intrusions, xifrat al núvol o controls d'accés són només una part de l'equació.

Tot aquest entramat tècnic es recolza en protocols d'actualització contínua i monitorització en temps real per identificar activitats sospitoses i respondre amb rapidesa a possibles incidents. Sense una operació sòlida i ben coordinada, fins i tot les millors eines perden bona part de la seva eficàcia.

A més a més, el factor humà juga un paper crític. Les organitzacions depenen de la formació i conscienciació dels seus empleats per evitar que errors bàsics —com contrasenyes febles, clics a correus maliciosos o un ús descuidat de dispositius mòbils— obrin la porta a atacs que podrien haver-se evitat.

Per això, les polítiques de seguretat solen incloure normes clares sobre el ús de contrasenyes, l'accés remot, el maneig d'informació sensible i la protecció dequips. També es realitzen simulacres de resposta a incidents, revisions periòdiques de vulnerabilitats i exercicis de phishing intern per comprovar fins a quin punt la plantilla està preparada.

Des d'aquesta perspectiva, la confiança en els proveïdors no és un element aïllat, sinó una extensió natural de la pròpia estratègia de ciberseguretat. Com es demana rigor als equips interns, s'exigeix ​​el mateix nivell de transparència, responsabilitat i millora contínua als socis externs que participen en la protecció del negoci.

En conjunt, les dades de Cybersecurity Trust Reality 2026 pinten un panorama en què les empreses s'enfronten a una doble batalla: per una banda, contra una nova onada de ciberamenaces i atacants cada cop més sofisticats i persistents, i de l'altra, contra la incertesa que genera no saber amb exactitud fins on poden refiar-se dels qui els proporcionen les defenses. La confiança, entesa com un risc mesurable i gestionable, se situa així al centre mateix de la ciberseguretat moderna, obligant proveïdors, canal i organitzacions a elevar el llistó de la transparència, la verificació independent i la responsabilitat compartida.