Hay una creencia instalada en las juntas directivas de México: que gastar más en seguridad reduce el riesgo. Es una creencia cómoda. Y es falsa.
Una empresa mexicana, en un entorno de alta presión criminal, hizo lo que cualquier consultor tradicional le habría recomendado: más guardias, más cámaras, más blindaje, más protocolos. La operación quedó protegida. Los accesos, sellados. Las rutas, monitoreadas.
Y sin embargo, el adversario encontró la puerta.
No entró por el perímetro. Entró por las personas.
Primero, los guardias. Empezaron a ser asesinados. La compañía de seguridad que brindaba el servicio local colapsó. Nadie quería trabajar ahí. Se recurrió a personal foráneo, pensando que la distancia reduciría la vulnerabilidad. Pero los guardias seguían siendo intimidados, seguían siendo buscados, lejos de sus turnos, lejos de la empresa.
Después, los directivos. Presión en sus domicilios. Mensajes, seguimiento, amenazas. El adversario ya no estaba interesado en robar la mercancía. Le interesaba recuperar el control que la empresa le había arrebatado con su seguridad interna.
Finalmente, la cooptación. Reinstalar al personal que se había retirado, o comprar al nuevo. Que las funciones volvieran a estar bajo su control. Que la operación siguiera, sí, pero bajo sus reglas.
Cuando me buscaron, descubrí algo que no esperaban oír.
La estrategia de seguridad interna era correcta. Y era avanzada.
El problema era que no existía nada hacia afuera. No había acción real contra el adversario. No había inteligencia sobre su estructura. No había presión sobre sus mercados. Y la autoridad no tenía ningún incentivo para mirar lo que pasaba fuera.
La empresa había construido una fortaleza. Pero una fortaleza no gana la guerra. Solo la pospone.
1. La trampa del presupuesto reactivo
La seguridad tradicional se diseña para responder al evento: si roban mercancía, se refuerzan las rutas; si hay una agresión, se contratan más custodias; si falla el monitoreo, se compran más cámaras.
Eso es útil, pero no ataca la causa. El adversario no se detiene porque hay más vigilancia. Simplemente se desplaza hacia el punto más vulnerable.
Aquí está la paradoja más concreta.
Uso ineficiente del presupuesto:
Una bodega de distribución contrata 12 guardias con salario mínimo para cubrir tres turnos. Rotación constante, capacitación nula, supervisión inexistente. El gerente de seguridad presume cobertura total: 12 elementos, tres turnos, cero huecos. Lo que no ve es que 12 guardias mal pagados y sin criterio son 12 puertas abiertas para el adversario. Un guardia de turno nocturno recibe 1,000 pesos para no revisar una salida de personal. La bodega pierde 50,000 pesos en mercancía esa noche.
Uso eficiente del presupuesto:
La misma bodega reduce a 8 guardias. Mejora el sueldo, impone un proceso de selección con evaluación de vulnerabilidades, implementa controles cruzados y asigna a los mejor evaluados la supervisión de turnos. Los guardias entienden lo que protegen, por qué lo protegen y qué se espera de ellos. Si alguien intenta comprar a un guardia, se encuentra con una persona que valora su empleo y sabe que su decisión queda registrada.
La diferencia no es cuántos pares de ojos miran. Es qué tan preparados están esos ojos para leer.
Un guardia mejor pagado no es un gasto: es una inversión estructural. Porque reduce la vulnerabilidad más grande de cualquier sistema: la persona que tiene las llaves.
Pero hay que decirlo con honestidad: el sueldo solo no basta. Un guardia mejor pagado pero sin criterio, sin supervisión, sin trazabilidad, sigue siendo vulnerable. Lo que cambia el escenario es la combinación: mejor pago, mejor formación, mejor cultura de seguridad.
2. El adversario no es estático. Razona. Y muta.
La seguridad corporativa va un paso atrás de sus adversarios.
La tecnología funciona. El problema es que tratamos al riesgo y al adversario como si fueran estáticos. Como si el que roba, el que extorsiona, el que se infiltra, no razonara. Como si el guardia coludido ignorara los puntos ciegos. Como si el empleado que filtra rutas no supiera exactamente qué cámara lo graba y cuál no.
La extracción no es mecánica. Es razonada.
Y mientras la industria nos vende la última cámara, el último dron, el último sistema de monitoreo, el adversario ya está aprendiendo a vivir dentro de él.
El delincuente no puede permitirse un mal trimestre. No tiene junta de accionistas, no tiene indicadores anuales, no tiene presupuesto aprobado. Tiene el día a día. Y el día a día lo obliga a mutar, no como estrategia, sino como instinto de supervivencia.
Cuando su método fue detectado, lo abandona de inmediato. No por inteligencia superior. Porque repetir el patrón lo expone. Y la exposición, para él, es una sentencia.
La organización, en cambio, piensa en ciclos. El adversario piensa en el siguiente golpe.
Esa asimetría de tiempo es la razón por la que la seguridad corporativa va siempre un paso atrás.
3. La fortaleza no protege. Solo resiste.
Y resistir, en un entorno criminal, no es ganar. Es esperar.
El adversario no dejó de operar porque la empresa se blindó. Simplemente cambió de vector. Dejó de atacar la mercancía. Atacó a los guardias. Dejó de atacar la planta. Atacó los domicilios. Dejó de amenazar al director. Amenazó a su familia.
La fortaleza seguía en pie. Pero la gente que la sostenía estaba afuera, sola, sin protección.
Blindar a todo el personal es inviable. No puedes convertir a cada empleado en un activo protegido. Pero sí puedes cambiar las reglas del juego para que el adversario deje de ver a tus personas como objetivos rentables.
Eso ya no es defensa. Es una postura ofensiva, dentro del marco legal y de cumplimiento, que desplaza la iniciativa.
4. La ofensiva estratégica
Cuando contactan conmigo, no es porque la seguridad interna haya fallado. Es porque ya tienen instalada una operación de extracción en el interior de la empresa.
Entonces la estrategia cambia.
Primero: identificar la estructura que opera y sostiene la extracción desde afuera.
¿Quiénes la integran? ¿Quiénes la facilitan desde adentro? ¿Quiénes la protegen desde afuera? ¿Dónde convierten el valor extraído? ¿Qué mercados la financian? Sin esa identificación, cualquier medida de seguridad será parcial. Y el adversario, al verse descubierto en un punto, simplemente mutará hacia otro.
Segundo: exponer la estructura.
Una vez identificada, se puede presionar. No desde la confrontación directa. Desde la legalidad y desde la visibilidad. Se documenta su operación. Se traza su cadena de conversión. Se hace visible aquello que dependía de la opacidad para operar. La exposición legal encarece la operación del adversario. Lo obliga a mover piezas, a proteger a sus operadores, a cambiar canales, a invertir en silencio. Y cada movimiento genera una nueva huella. La exposición social también tiene un costo. Un actor criminal expuesto pierde protección, pierde inercia, pierde la pasividad de quienes preferían no mirar.
Tercero: anticipar la reacción.
Una estructura criminal expuesta reacciona. Y su reacción más probable no es la retirada: es la presión sobre las personas. Por eso, antes de exponer, hay que blindar las posiciones clave. Protección ejecutiva para quienes toman decisiones. Cultura de seguridad personal para los empleados. Protocolos de reacción ante amenazas. Trazabilidad de cada presión, de cada mensaje, de cada intento de cooptación. La protección no es un lujo. Es la condición para sostener la ofensiva.
Cuarto: presionar hasta volver inviable la operación criminal.
El objetivo no es una victoria inmediata. Es que la operación de extracción deje de ser rentable. Que mover la mercancía cueste más de lo que produce. Que pagar a los operadores internos deje de ser sostenible. Que el silencio de los cómplices ya no alcance. Que cada intento de retomar el control implique un costo mayor que el beneficio. Cuando la operación criminal deja de ser rentable, el adversario se repliega. No por ética. No por derrota militar. Por cálculo. Y ese es el único lenguaje que entiende.
5. De amenaza a escenario: la evolución que la función de seguridad no está leyendo
En MMX Risk definimos la seguridad basada en escenarios como:
"Una arquitectura de decisión y protección que parte del supuesto de que el adversario es un actor adaptativo. No se diseña contra un riesgo estático, sino contra una secuencia probable de comportamientos hostiles que evolucionan en respuesta a las medidas de defensa. Su función no es únicamente reducir la exposición o responder al evento, sino construir escenarios de mutación adversaria, identificar las capacidades que cada escenario exige y reorganizar la función de seguridad para anticipar, presionar y degradar la viabilidad de la operación criminal, siempre en el marco de la legalidad y con trazabilidad defendible."
Esta definición no es un ejercicio académico. Es la conclusión operativa de lo que hemos venido describiendo.
Una amenaza responde a una pregunta: "¿Quién puede atacarnos?"
Un escenario obliga a otra: "¿Qué puede ocurrir si este actor cambia su comportamiento después de nuestra primera intervención?"
Esa diferencia es la que separa a la seguridad tradicional de la seguridad basada en escenarios.
La seguridad tradicional espera el ataque. La seguridad basada en escenarios anticipa la secuencia: escenario → reacción probable → escenario siguiente → capacidad requerida.
Si el adversario razona, no se puede diseñar seguridad como una estructura estática. Si el adversario observa el control, identifica la vulnerabilidad, detecta la oportunidad y se adapta, la organización necesita hacer algo equivalente: observación → interpretación → anticipación → reconfiguración.
Esa es la definición operativa de la seguridad basada en escenarios.
No se necesita adivinar cuál será el siguiente movimiento del adversario. Se necesita construir escenarios suficientemente legibles para reconocer qué movimiento está ocurriendo y tener preparada una respuesta proporcional.
Así se ve en la práctica:
- Escenario 1: El adversario ataca activos.
La organización responde con blindaje, cámaras, monitoreo. La operación se protege. El ataque directo deja de ser rentable. - Escenario 2: El adversario desplaza presión hacia personas.
Guardias amenazados. Directivos presionados en sus domicilios. Familias seguidas. La protección del activo ya no es suficiente porque el vector cambió.
Aquí aparece un punto de quiebre. Hasta ahora, la organización y el adversario se movían en un terreno comparable. La amenaza era simétrica: activo contra activo, recurso contra recurso. Pero cuando el adversario deja de atacar la operación y empieza a atacar a las personas, el conflicto cambia de naturaleza. Se vuelve asimétrico. El adversario ya no busca enfrentarse a la organización en sus propios términos. Busca desplazar la presión hacia donde la organización no puede responder: el domicilio de un directivo, la familia de un guardia, la reputación de un proveedor. En el escenario simétrico, la seguridad corporativa tradicional todavía funciona. En el asimétrico, la reacción simétrica se vuelve irrelevante. - Escenario 3: La protección personal aumenta y aparece la cooptación.
El adversario deja de intimidar. Compra. Busca reinstalar personal retirado. Infiltra nuevos operadores. La extracción deja de ser visible y se vuelve estructural. - Escenario 4: La cooptación es detectada y el adversario busca nuevos intermediarios.
Proveedores impuestos. Transportistas obligatorios. Restricciones para operar. La presión se desplaza hacia la cadena de suministro y los mercados que la organización no controla. - Escenario 5: La estructura pierde capacidad de extracción y comienza a presionar sobre mercados, proveedores o autoridades locales.
Ya no es una guerra contra la empresa. Es una disputa por el control del ecosistema.
Cuando la función de seguridad deja de preguntar "¿qué hacemos cuando ocurra X?" y empieza a preguntar "¿qué hacemos cuando X provoque Y?", cambia la naturaleza de la protección.
La seguridad deja de ser una respuesta. Se convierte en una arquitectura de anticipación.
5.1 El aislamiento: la capa que el adversario explota primero
En el escenario asimétrico, el adversario no ataca a la organización completa. Ataca al eslabón aislado.
El guardia sin supervisión. El directivo sin protocolo personal. El proveedor sin relación formal. La esposa del supervisor sin ninguna conexión con la empresa.
La seguridad tradicional se diseña para proteger sistemas. El adversario asimétrico se diseña para explotar el aislamiento. Porque sabe que la organización no puede extender su blindaje a todos los puntos donde sus personas están solas.
La seguridad basada en escenarios lo asume desde el diseño. No promete blindar a todos. Promete reducir el aislamiento de los puntos críticos mediante:
- Trazabilidad de cada presión,
- Protocolos de escalación,
- Cultura de seguridad personal,
- Y visibilidad de la mutación del adversario.
No se trata de poner escoltas en todas partes. Se trata de asegurar que nadie enfrente una amenaza sin que la organización lo sepa, lo documente y actúe.
6. El marco de legalidad es innegociable
Esta postura se sostiene sobre un principio claro: toda acción se realiza dentro del marco legal y bajo estricto cumplimiento normativo. La autoridad es la única facultada para ejecutar medidas coercitivas. La organización colabora, documenta, integra evidencia y denuncia. Nada de esto implica confrontación directa ni sustitución de funciones de seguridad pública.
La presión estructural es una estrategia de inteligencia. Su propósito es desgastar la viabilidad económica y operativa del adversario, no enfrentarlo físicamente. La organización expone, no ejecuta. La autoridad actúa, no la empresa.
Cuando una organización cruza esa frontera, pierde credibilidad, se expone legalmente y entrega al adversario la oportunidad de presentarse como víctima.
La legalidad no es una limitación: es la única forma de que la intervención sea sostenible y defendible frente a cualquier evaluación posterior.
7. Cierre
La seguridad corporativa en entornos criminales no puede seguir pidiendo más de lo mismo. Cada peso invertido en reacción que no produce resultados es un peso que no está financiando la capacidad de leer, anticipar y presionar con inteligencia.
Reorganizar no es un recorte. Es una decisión de criterio.
La seguridad basada en escenarios no empieza comprando cámaras. Empieza leyendo al adversario, sus incentivos y su capacidad de mutación. Y desde ahí, reorganiza la función de seguridad para que deje de reaccionar y empiece a anticipar.
La defensa sin ofensiva es solo una espera organizada.
Y esperar, en este entorno, es la estrategia más cara de todas.
El presupuesto no es el problema. La arquitectura sí. Y la arquitectura se decide en la sala de juntas, no en la caseta de vigilancia.