La pandemia de la Covid-19, además de impactar notablemente en el ámbito sanitario, económico y social, ha supuesto un desafío para la ciberseguridad. Las restricciones de movilidad y las medidas adoptadas de confinamiento domiciliario han forzado a muchas organizaciones a implantar la digitalización con gran rapidez y a adoptar el trabajo en remoto como principal vía para la continuidad de negocio de la compañía.
En este escenario, el 62% de las empresas afirma que su infraestructura tecnológica ha sufrido más ataques desde el comienzo de la pandemia. Este y otros datos se desprenden del informe “El estado de la ciberseguridad en España”, de Deloitte, en el que se ofrece una panorámica de la ciberseguridad en las organizaciones de nuestro país a través de las respuestas de los responsables de seguridad de la información de más de 60 empresas nacionales.
A pesar de ello, la pandemia ha generado la disminución de los presupuestos de ciberseguridad en el 57% de las empresas, con los consiguientes riesgos derivados de la reducción de esta partida. En este sentido, los ciber ataques se han incrementado en sectores tan vulnerables, en estos momentos, como el de la sanidad, donde varias organizaciones han sufrido robos de información y ransomware.
El estudio de Deloitte, además, pone de manifiesto la relación que existe entre el presupuesto designado para ciberseguridad y los incidentes significativos que la organización experimenta. En este sentido, las empresas que destinan menos de un 3% de su presupuesto de IT/OT a ciberseguridad -la media es del 9,3%- sufren una mayor cantidad de incidentes, pudiendo llegar a dos al año de media.
Para Gianluca D’Antonio, socio de Risk Advisory especializado en Ciberseguridad de Deloitte, “la ciberseguridad ha pasado de ser percibida como un lujo a ser una necesidad de las organizaciones. Estas precisan, no obstante, destinar mayor porcentaje de su presupuesto IT/OT si quieren mejorar su seguridad y minimizar los ciber incidentes, un riesgo que puede comprometer la continuidad de negocio y afectar seriamente a la sostenibilidad de la compañía”.
Ciberataques
El 76% de las organizaciones ha sufrido entre 1 y 2 incidentes significativos al año, según se extrae del estudio de Deloitte. Por sectores, Administración, Salud y Seguros son los que reportan mayor número de incidentes en el último año.
Por otro lado, el 77% de las empresas que forman parte del grupo con un promedio más alto de ciber incidentes anuales no posee ningún tipo de certificación. Este dato pone de manifiesto la importancia de definir una adecuada gestión de la ciberseguridad, lo que beneficia la mitigación de los riesgos, la mejora de la formación y concienciación de los empleados, así como el análisis de las causas de los ciber incidentes, para evitar que vuelvan a repetirse en el futuro.
Con respecto a las amenazas, las que tienen mayor relevancia según las empresas españolas son: malware, phishing, web application attacks, web based attacks y data breaches.
Concienciación
La preocupación y sensibilización sobre la importancia de la ciberseguridad en las empresas se constata en que el 91% de las organizaciones cuenta con un Comité de Seguridad. De este porcentaje, es destacable que solo el 69% de los responsables de la seguridad de la información (CISOs) tiene presencia en este comité.
Los sectores enfocados en el ámbito del transporte -como aviación y automoción- y en consumo y distribución son los que actualmente presentan una menor formalización en la gestión ejecutiva de la seguridad, ya que el 32% de las empresas de estos sectores no dispone de ningún comité específico relacionado con la seguridad.
En lo que respecta a las certificaciones en el ámbito de la ciberseguridad, el 60% de las organizaciones carece de alguna específica. Este dato revela que las organizaciones todavía no atribuyen gran valor a las certificaciones, a pesar de que permiten mejorar la gestión y la madurez de la ciberseguridad, además de aumentar el valor de los servicios y productos de las compañías.
Por último, la gran mayoría de empresas -3 de cada 4- realiza algún tipo de actividad de formación para sus empleados.
Para Miguel Olías de Lima, manager de Risk Advisory especializado en Ciberseguridad de Deloitte, “las compañías toman cada vez mayor conciencia de la importancia que tiene la ciberseguridad para su negocio. Todavía tienen un amplio camino que recorrer, pero han aprendido que los empleados y su gestión del email son uno de los vectores de entrada de malware más utilizados, por lo que es muy relevante su formación para evitar, en el medio y largo plazo, que los ciber incidentes impacten de manera destacada en la cuenta de resultados”.
La percepción de los CISOs
El 52% de las empresas considera que su organización está preparada para hacer frente a un ciber incidente. Por sectores, hay que destacar que, en el ámbito de la Banca, el 80% de las organizaciones considera que está preparada para afrontar un ciber incidente.
Cuando se compara la preparación de las empresas con su número de empleados dedicados a la ciberseguridad, se observa que aquellas que tienen menos de 25 empleados de ciberseguridad son las que consideran que su organización no está suficientemente preparada para afrontar un ciber incidente.
Respecto a los riesgos que les generan mayor inquietud a los responsables de la seguridad de la información de las organizaciones son, en este orden: interrupción de las operaciones, riesgo reputacional y fuga de información confidencial.
Tecnologías
La capacidad tecnológica de las organizaciones es cada vez mayor, lo que se pone de manifiesto en que un 87% dispone de dispositivos IoT. Esta mayor dependencia requiere contemplar las necesidades específicas de estos dispositivos, las amenazas y sus vulnerabilidades, lo que casi la mitad -el 46%- no integra en su estrategia de ciberseguridad.
De la misma manera, de las empresas que poseen una estrategia para cloud, solo en el 77% de los casos se ha traducido esta estrategia en un marco de control.
Por último, en lo que respecta a las revisiones de aplicaciones, un 59% de las organizaciones las realiza únicamente sobre la mitad de las consideradas como críticas para su negocio. Únicamente el 20% de las organizaciones afirma realizar revisiones de seguridad en la totalidad de sus aplicaciones críticas.
Fuente: Deloitte