En 2025, ante un panorama en materia de seguridad de la información cada vez más dinámico, complejo y variable, más que nunca será crucial identificar claves para que cualquier organización pueda fortalecer sus defensas, mitigar sus riesgos y consolidar su resiliencia operativa digital.
Bajo nuestro punto de vista estas serán algunas de las principales tendencias en materia de seguridad de la información en el año 2025:
1. Amenazas para los dispositivos móviles:
En 2025 deberemos seguir poniendo el foco en los dispositivos móviles y es que según el Informe “CCN-CERT IA-04/24: Ciberamenazas y Tendencias” del Centro Criptológico Nacional (CCN-CERT)[1] publicada en diciembre de 2024:
“Los dispositivos móviles se han convertido en una parte indispensable de nuestra vida cotidiana, dispositivos en los que almacenamos grandes cantidades de información sensible y personal.
Por este motivo, se han convertido en un objetivo de valor para los actores hostiles.”
2. Amenazas ligadas a la Inteligencia Artificial (IA):
El crecimiento exponencial de la Inteligencia Artificial será otra de las claves:
Según el propio CCN-CERT en su referido Informe de diciembre de 2024 sostiene que la IA:
“ha captado la atención de múltiples grupos cibercriminales, que están integrando esta tecnología en sus ciberataques para aumentar sus probabilidades de éxito y hacer más rentable su modelo de negocio. (...) Las imágenes y videos generados son utilizados para la extorsión, abuso y acoso de las víctimas y, así, obtener un beneficio económico. El uso de la IA por cibercriminales no se limita a la integración de esta tecnología en sus ataques. Se ha observado una nueva tendencia en forma de campañas de malvertising.
3. Sistemas industriales automatización y complejidad de las amenazas:
El mismo CCN-CERT deja claro también que los sistemas industriales serán objetivos de gran valor para los ciberataques.
“Debido a la creciente integración de tecnología de la información (TI) y tecnología operativa (OT) con sistemas como SCADA (Supervisory Control and Data Acquisition), PLC (Programmable Logic Controllers) o DCS (Distributed Control Systems), los sistemas de control industrial (ICS, Industrial Control Systems) están cada vez más expuestos a amenazas cibernéticas. Este tipo de sistemas monitorizan procesos industriales en sectores estratégicos como la energía, la manufactura, el transporte o el tratamiento de aguas, donde el malfuncionamiento de estos podría tener un impacto nefasto para la población civil. Por este motivo, los sistemas industriales son un objetivo de gran valor para actores cibernéticos hostiles”.
4. Compromiso de la cadena de suministro
Por último destacamos que los ataques a la cadena de suministro mediante la inserción de código dañino continuarán aumentando.
El CCN-CERT en su ya mencionado Informe también advierte que:
“El compromiso de la cadena de suministro ha resultado ser un método de acceso inicial a las redes y sistemas de las víctimas cada vez más recurrido por los actores del ciberespacio. De este modo, los ataques a la cadena de suministro mediante la inserción de código dañino en software legítimo continuarán aumentando.”
En definitiva y a modo de conclusión:
Podemos aseverar que, para una mejor defensa ante amenazas cada vez más complejas, la resiliencia operativa digital y la colaboración entre los diferentes actores, han de ser los ejes fundamentales para defenderse más y sobre manera para defenderse mejor.
Para ello combinar tecnología avanzada, proactividad, respecto a las normas regulatorias y fomento de la cooperación se antojan factores más críticos que nunca.

Aplicación plena del Reglamento DORA a partir del 17 de enero de 2025
El Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022 sobre la resiliencia operativa digital del sector financiero y por el que se modifican los Reglamentos (CE) nº 1060/2009, (UE) nº 648/2012, (UE) nº 600/2014, (UE) nº 909/2014 y (UE) 2016/1011 (en adelante el “Reglamento DORA”) entró en vigor el 16 de enero de 2023, ahora bien, será de plena aplicación a partir del 17 de enero de 2025.
El Reglamento DORA armoniza una serie de normas relacionadas con la resiliencia operativa digital del sector financiero y es aplicable a veinte tipos diferentes de entidades financieras y proveedores terceros de servicios de TIC.
Esta norma, de vital importancia tiene por principal objetivo reforzar la seguridad informática de entidades financieras tales como bancos, compañías de seguros y empresas de inversión.
A modo de cierre no podemos dejar de recordar que el Reglamento DORA obliga también a los proveedores de servicios TIC (externos e internos) que suministran a las empresas financieras sistemas y servicios TIC, a modo de ejemplo enunciativo sin carácter exhaustivo:
- Proveedores de centros de datos.
- Proveedores de servicios en la nube: IaaS, SaaS y PaaS.
- Proveedores de TIC, instalaciones y servicios de alojamiento (excluidos los servicios en la nube)
- Proveedores de servicio de asistencia en materia de TIC y soporte de primer nivel.
- Proveedores de Servicios de gestión de la seguridad de las TIC.
- Proveedores de gestión del funcionamiento de las TIC (incluido el mantenimiento)
- Proveedores de consultoría en el ámbito de las TIC.
- Proveedores de gestión del riesgo relacionado con las TIC.
- Proveedores de infraestructura de red.
- Etc.
Y es que estos prestadores de servicios TIC están obligados por el Reglamento DORA el cual define hasta 19 tipos de servicios de TIC distintos dentro de su ámbito de aplicación.
[1]https://www.ccn-cert.cni.es/es/informes/informes-ccn-cert-publicos/7274-ccn-cert-ia-04-24-ciberamenazas-y-tendencias-edicion-2024/file.html