Escasa madurez de la empresa española para hacer frente a unos ciberataques que ya se consideran inevitables

El psicólogo suizo Carl Jung, uno de los padres del psicoanálisis, decía que "todo depende de cómo miramos las cosas y no de cómo son en sí mismas". Es obvio que la percepción del mundo que nos rodea es eminentemente subjetiva y ello redunda en que, en más ocasiones de las que nos gustaría, la realidad no se asemeje a lo que nuestra mente quisiera.

Un ejemplo palpable de ello lo encontramos en la aproximación de las empresas españolas a la ciberseguridad. Este apartado, antaño denostado y luego encumbrado a una de las grandes prioridades estratégicas por el Foro Económico Mundial, demuestra como ninguno la disonancia entre la confianza que se tienen los responsables de seguridad y la amenaza real que se cierne sobre ellos.

Un reciente estudio de Cisco así lo atestigua: apenas dos de cada cien empresas españolas serían capaces ahora mismo de protegerse y responder por completo a los riesgos de ciberseguridad. Y, sin embargo, un 77% de las mismas consideran probable sufrir un incidente grave en los próximos dos años. 

['Zero Trust': buscando la ciberseguridad en un mundo sin barreras]

El informe 'Cibersecurity Readiness Index 2024' refleja no sólo que existe esta diferencia sustancial entre percepción y realidad, sino que ésta se incrementa respecto a la anterior edición, cuando un 7% de las empresas se consideraban maduras en este campo. También la cifra actual en España está un 1% por debajo de la media global. Según Ángel Ortiz, director de Seguridad en Cisco España, la razón la encontramos más en la proliferación de nuevas y complejas amenazas que en una reducción del esfuerzo de las compañías por securizarse.

"La complejidad aumenta conforme lo hace la digitalización, con el malware y el phishing como grandes vectores de ataques", destaca el experto. De nuevo recurrimos al informe para constatar que, en el pasado curso, un 19% de los ciberataques estuvo ligado al robo de credenciales, por el 17% de la clásica ingeniería social, un 14% de ataques a través de la cadena de suministro y un 13% al cryptojacking. Y lo que es más relevante: un 12% de las ciberamenazas ya están relacionadas con la inteligencia artificial, colándose así en uno de los tres principales riesgos para este 2024.

Ángel Ortiz, Director de Seguridad en Cisco España

No hablamos de un tema baladí: el 41% de las empresas españolas reconoce haber sufrido un incidente de ciberseguridad en el último año, con un impacto financiero que ronda los 280.000 euros en casi un tercio de los casos. Y lo más preocupante: un 4% de las organizaciones ni tan siquiera sabe si han sido atacadas. Si hablábamos de percepción y realidad, no hay más ciego que el que no quiere ver.

El trabajo híbrido y la ciberseguridad

La repentina adopción del teletrabajo en la época de la pandemia y la progresiva acogida del modelo híbrido también está haciendo de las suyas en cuanto a la ciberseguridad se refiere. Y es que, según reza el documento de Cisco, el 15% de los empleados cambian de lugar de trabajo (y, por ende, de redes) al menos seis veces por semana. Se dice pronto, pero implica que muchos de estos profesionales se encuentran en ubicaciones desconocidas para la empresa, haciendo uso de redes no securizadas y de manera excesivamente frecuente.

Si a ello le unimos que el 83% de las empresas saben que sus empleados acceden a las plataformas de la empresa desde dispositivos no administrados por ésta. Hablamos de ordenadores y móviles personales donde se hacen otros usos que, en ocasiones, pueden entrañar riesgos claros en materia de ciberseguridad. 

Con ello, no es de extrañar que un 86% de las empresas a las que hace referencia el estudio en nuestro país citen los inicios de sesión remotos como una gran amenaza. ¿Las razones? Redes WiFi no seguras, la incapacidad para monitorizar amenazas a través de múltiples redes o el uso de los ya mentados dispositivos no gestionados.

Y todo pese a que la inversión aumenta

La situación adquiere tintes aún más alarmantes si añadimos a la ecuación que la inversión en ciberseguridad no deja de incrementarse. Un 97% de las organizaciones españolas esperan aumentar su presupuesto en ciberseguridad este año, en ocho de cada diez casos por encima del 10% de incremento. En la mayoría de los casos (64%), estas nuevas partidas irán destinadas a la actualización de las soluciones ya existentes, por encima de las nuevas implementaciones (57%) o de la apuesta por la inteligencia artificial para mejorar su protección (56%).

Sin embargo, este monto no ha dejado de crecer en los últimos tiempos y, como vemos, la disonancia entre realidad y percepción hace lo propio. Para buscar la razón de este particular fenómeno, hemos de detenernos en la complejidad inherente a los propios despliegues de seguridad, con una sobrecarga de soluciones puntuales que no dan respuesta al conjunto de vectores de ataque de la actualidad.

Desde Cisco son incluso más contundentes al aseverar que "el enfoque tradicional de adoptar múltiples soluciones puntuales de ciberseguridad no ha proporcionado resultados efectivos". Para esta afirmación se basan en que el 86% de las organizaciones españolas admiten que ralentiza la capacidad de su equipo para detectar, responder y recuperarse frente a los incidentes. Y es que una de cada dos empresas consultadas (el 51%) han implementado diez o más soluciones puntuales, mientras el 9% tienen 30 o más.

Por ello, y aunque no existe una receta mágica que garantice salir airoso de un ciberincidente, sí que hay algunas líneas maestras para abordar esta clase de situaciones. Ángel Ortiz apela a acelerar las inversiones , con cambios de plataforma para buscar esa simplicidad, además de cerrar las brechas de vulnerabilidad creadas por dispositivos no gestionados y redes WiFi no seguras. El experto también cree que debemos aprovechar la inteligencia artificial en el campo de la ciberseguridad, aumentar el número de profesionales especializados en el ramo y "ser conscientes de la preparación ante un incidente, supervisarla y actuar cuando sea necesario".