Según el Panorama Global de Ciberseguridad 2024, el número de organizaciones con una resiliencia cibernética adecuada se reduce a nivel mundial.
La desigualdad cibernética suele significar que quienes forman las cadenas de suministro y los socios de las organizaciones mejor equipadas son los más vulnerables, lo que genera inseguridad en todo el ecosistema.
La desigualdad cibernética suele estar impulsada por la falta de priorización, experiencia, regulación y conectividad, así como por los costos de la ciberseguridad.
Según el Foro Económico Mundial, la distancia entre las organizaciones que son lo bastante ciberresilientes como para prosperar y aquellas que luchan por sobrevivir se amplía a un ritmo alarmante.
El Panorama Global de Ciberseguridad 2024, publicado este mes en colaboración con Accenture, reveló que el número de organizaciones que mantienen una base sólida de capacidad cibernética acorde con sus requisitos de resiliencia operativa se redujo un 31 % en los últimos dos años. Un 11 % más de estas organizaciones informó de una resiliencia cibernética insuficiente que hace dos años.
Desigualdad cibernética desproporcionada
La resiliencia cibernética insuficiente es especialmente pronunciada y empeora entre las pequeñas organizaciones y las de regiones menos desarrolladas.
Las organizaciones más pequeñas por ingresos anuales (iguales o inferiores a 250 millones de dólares al año) y las más pequeñas por número de empleados (iguales o inferiores a 250 empleados) tienen más del doble de probabilidades que las organizaciones más grandes (con ingresos de al menos 5100 millones de dólares al año y 100 000 empleados o más) de afirmar que su resiliencia cibernética no cumple sus requisitos críticos de resiliencia operativa. La resiliencia cibernética insuficiente también aumentó un preocupante 32 % desde 2022 en las organizaciones con ingresos más bajos, mientras que se mantuvo estable en las organizaciones más grandes durante el mismo período de dos años.
Quizá no sorprenda que la disparidad cibernética también refleje un desarrollo económico desigual entre regiones. Por ejemplo, según el informe de 2024, Sudamérica y África tenían el mayor número de organizaciones que informaron de una capacidad cibernética insuficiente, mientras que América del Norte y Europa registraban el menor.
La desigualdad cibernética crea riesgo sistémico
Aunque es alentador que algunas organizaciones estén avanzando en la curva de capacidades, las menos capaces (muchas de las cuales son socios de su ecosistema y de sus cadenas de suministro) se quedan cada vez más atrás y se vuelven incapaces de seguir el ritmo de las organizaciones líderes de forma permanente. Como resultado, el riesgo a la baja para todos supera el beneficio para unos pocos.
De hecho, el Panorama Global de Ciberseguridad 2024 reveló que el 41 % de las organizaciones que sufrieron un impacto material por un incidente cibernético en los últimos 12 meses afirmaron que un tercero lo causó. Además, el 54 % de las organizaciones no comprende suficientemente la vulnerabilidad cibernética de su cadena de suministro. Incluso el 64 % de los directivos que creen que su organización es resiliente en términos cibernéticos básicos consideran que todavía tienen una comprensión inadecuada de las vulnerabilidades cibernéticas de su cadena de suministro.
Es probable que la disparidad se acelere en los próximos años, ya que las pequeñas diferencias entre las capacidades de las organizaciones seguirán creando una brecha cada vez mayor con el tiempo, y las nuevas tecnologías redefinen rápidamente el panorama de amenazas y defensas. Los directivos empresariales y cibernéticos coinciden. Por ejemplo, el 56 % de los líderes encuestados para el Panorama de 2024 afirmó que la IA generativa dará ventaja a los atacantes sobre los defensores en los próximos dos años.
5 factores impulsan la brecha
¿Cómo hemos llegado hasta aquí? Cinco grandes factores, entre otros, siguen separando a las organizaciones líderes de las rezagadas.
1. Prioridad
En las organizaciones que no convierten la capacidad cibernética en una prioridad empresarial, se convierte en una cuestión fundamental que permea la toma de decisiones en la mayoría de los aspectos del programa cibernético de la organización y que limita en gran medida sus operaciones y estrategia.
Entre estas organizaciones se incluyen las que no integran la ciberseguridad en el trabajo cotidiano de la empresa, no la incorporan a la cultura corporativa ni invierten de forma constante en ella. El Panorama Global de Ciberseguridad 2024 indica que el 78 % de las organizaciones que confían en su resiliencia cibernética integra la ciberseguridad en su gestión de riesgos empresariales, y el 93 % confía en que su director ejecutivo hable públicamente sobre su riesgo cibernético.
2. Experiencia
Muchas organizaciones que dan prioridad a la ciberseguridad en su negocio aprendieron a hacerlo por las malas, tras ser objeto de ataques intensos o sufrir públicamente un incidente significativo.
El sector aeroespacial, el de defensa, la banca y la alta tecnología fueron algunos de los primeros y más afectados, y siguen siendo objetivos muy frecuentes. Sin embargo, las tendencias de ataque se han extendido desde entonces a todas las industrias y, según el Panorama de 2024, el 29 % de las organizaciones se vio afectado de forma material por un incidente cibernético en los últimos 12 meses.
Independientemente de la geografía, muchas organizaciones no pueden permitirse el creciente costo de acceder a una capacidad de ciberseguridad adecuada.
Tal Goldstein, Director de Estrategia, Foro Económico Mundial
3. Regulación
La regulación sectorial en materia de requisitos de ciberseguridad y privacidad de datos suele elevar la capacidad básica general de sus organizaciones miembros. Ya sea por preocupación por la seguridad humana, como en la atención sanitaria, por la seguridad nacional, como en la alta tecnología y la defensa, o para proteger un sistema global crítico, como los servicios financieros, la regulación avanza lenta pero firmemente para elevar el nivel de las prácticas.
El sesenta por ciento de los directivos que participaron en el Panorama Global de Ciberseguridad 2024 coincide en que las normativas de ciberseguridad y privacidad reducen eficazmente el riesgo en el ecosistema de su organización, lo que supone un aumento del 21 % desde 2022.
4. Geografía
Aunque se espera cierto grado de estratificación geoeconómica, que genera una tensión sana, el rumbo actual de la economía mundial es más perjudicial que sano. En primer lugar, considere que, aunque el gasto mundial en tecnologías de la información creció aproximadamente un 5,5 %, el gasto mundial en ciberseguridad y gestión de riesgos superó con creces esa cifra, con un crecimiento aproximado del 14 %.
Ahora considere que, aunque el 63 % de la población mundial está conectada a internet, esa cifra es del 27 % en los países menos desarrollados. Esta disparidad indica solo en parte que la brecha geográfica tiene que ver con algo más que las fuerzas del mercado y que empeorará de forma exponencial en los próximos años.
5. Costo
Independientemente de la geografía, muchas organizaciones no pueden permitirse el creciente costo de acceder a una capacidad de ciberseguridad adecuada. Ello incluye el costo de adquirir y mantener herramientas y servicios, y de competir por el talento adecuado.
Si bien ya se reconoce que las pequeñas organizaciones y las de los países menos desarrollados se ven afectadas de forma desproporcionada por la desigualdad cibernética, también es relevante que, a nivel mundial, solo el 22 % de las organizaciones afirme tener el talento y las habilidades necesarios para alcanzar sus objetivos cibernéticos. Esta demanda genera una competencia de alta intensidad que dominarán las organizaciones más grandes y prósperas. Esta escasez de capacidad se denomina a veces «línea de pobreza cibernética».
Acción colectiva
La buena noticia es que los directivos empiezan a reconocer la disparidad cibernética y su impacto colectivo, y comienzan a colaborar para abordarla. El noventa por ciento de los 120 directivos de los sectores público y privado encuestados en la Reunión Anual del Foro sobre Ciberseguridad afirmó que es necesario actuar con urgencia para abordar esta creciente desigualdad cibernética.
No se trata solo de palabras. Existe una cooperación creciente entre los sectores público y privado para impulsar a las organizaciones que no tienen los recursos necesarios para alcanzar la resiliencia cibernética requerida. La Ley de Ciberresiliencia de la Unión Europea Ley de Ciberresiliencia y la campaña «Secure by Design, Secure by Default» de la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) Secure by Design, Secure by Default son ejemplos destacados de esfuerzos colectivos.
Al final, sin embargo, corresponde a los directivos y a sus organizaciones tomar medidas, trabajar con los sectores privado y público para reforzar la resiliencia cibernética y proteger su ecosistema de vulnerabilidades, sin lo cual una organización nunca podrá estar realmente segura.
