La ciberinseguridad es un riesgo previsible para muchas organizaciones, por lo que las empresas deben mejorar su ciberresiliencia.
La combinación de nuevas amenazas con el nexo entre el avance tecnológico y las tensiones políticas, así como los desafíos que supone proteger los sistemas heredados, plantea una trayectoria de riesgo compleja para las organizaciones.
La ciberresiliencia puede mejorarse mediante cuatro pasos clave: aprovechar lo que funciona, inculcar una gobernanza cibernética y una cultura de ciberresiliencia, y garantizar que el diseño respalde la ciberseguridad.
Durante 2023, la economía de la ciberseguridad creció cuatro veces más rápido que su homóloga mundial y superó el crecimiento del sector tecnológico. Este crecimiento indica un rápido aumento de la innovación y las oportunidades en el sector. Pero con las oportunidades llegan los riesgos. Como era de esperar, la ciberinseguridad sigue figurando entre los principales riesgos en la edición 2024 del Informe sobre Riesgos Globales del Foro Económico Mundial Informe sobre Riesgos Globales 2024, tanto en el horizonte temporal de dos años como en el de diez años.
A medida que aumentan la escala y la diversidad de las amenazas, la resiliencia es primordial. Como revela el nuevo Panorama de la Ciberseguridad Global 2024 del Foro, pocas organizaciones son lo bastante sólidas como para considerarse ciberresilientes con confianza. Además, a medida que aumentan los riesgos y la tecnología que generan y combaten las ciberamenazas, se amplía una brecha abismal entre las grandes organizaciones, con amplios recursos y personal cualificado, y sus homólogas pequeñas y medianas empresas.
Afortunadamente, existen varias formas en que las empresas pueden mejorar su ciberresiliencia, y si se abordan de manera sistémica, estas darán lugar a un ecosistema cibernético mucho más robusto.
Trayectoria compleja de la ciberresiliencia
El estado de la salud del sector presenta un panorama mixto, con amenazas de larga data, como el malware, que siguen evolucionando junto con riesgos nuevos y cada vez más diversos, según pone de relieve el informe. En los últimos cinco años, el número de familias de malware y sus variantes que han infiltrado al menos al 10 % de las organizaciones mundiales se ha duplicado. Esto, junto con la creciente desigualdad en materia de ciberresiliencia, impulsada por el elevado coste de las herramientas y el talento necesarios y por la rápida adopción de tecnología de vanguardia por parte de las mayores organizaciones del sector, plantea desafíos sin precedentes.
Se trata de problemas complejos que requieren atención en todo el sector. Por desgracia, al mismo tiempo, surgen o se transforman otros riesgos. La tecnología emergente es un ejemplo, en particular el uso y el desarrollo crecientes de la inteligencia artificial (IA) generativa. Este avance aumenta la complejidad de los ataques y de las capacidades adversarias para hacer cosas que los defensores ya combaten, como el phishing.
Iniciamos 2024 con una perspectiva de riesgo difícil, que las tensiones geopolíticas amenazan con agravar. Nuestra investigación revela que el 70 % de los líderes en materia cibernética citan las preocupaciones geopolíticas como un factor que influye al menos moderadamente en la estrategia de ciberseguridad de sus organizaciones. Es un año en el que 45 países están previstos para celebrar elecciones generales, entre ellos India, el Reino Unido y Estados Unidos, que en conjunto representan el 50 % del producto interior bruto mundial. Esto aumentará el perfil de riesgo, ya que la IA generativa agravará los problemas existentes de desinformación, información errónea y manipulación de las plataformas de redes sociales.
Escasez de talento
Pero no son solo los nuevos riesgos los que preocupan a los expertos en ciberseguridad. Nuestra investigación reveló los problemas que enfrentan para proteger los sistemas antiguos y la tecnología heredada, que, para el 44 % de los encuestados, fue el mayor obstáculo para alcanzar la ciberresiliencia.
Un problema de larga data para el sector es, y sigue siendo, la escasez de competencias y talento, y en lugar de reducirse la brecha, nuestro informe sugiere que se amplía a un ritmo alarmante. Casi el 80 % de los encuestados reveló que sus organizaciones carecen de equipos cibernéticos con competencias suficientes para alcanzar sus objetivos de ciberseguridad.
Estos desafíos socavan fundamentalmente todo el ecosistema cibernético, lo que refleja la naturaleza interconectada del sector. Pero hay esperanza. El cambio decisivo que debe producirse es una mejora de la ciberresiliencia, y nuestra investigación ha demostrado que existen cinco medidas tangibles que las empresas pueden adoptar para mejorarla.
La resiliencia se desarrolla paso a paso. Existen muchas partes compuestas y no hay soluciones rápidas para garantizar una línea de defensa robusta. El primer paso es priorizar el riesgo cibernético. Puede parecer obvio, pero, dado el espectro de amenazas a las que se enfrentan las empresas, el riesgo cibernético puede perder protagonismo en la agenda. Sin embargo, es fundamental que las organizaciones evalúen y prioricen periódicamente el riesgo cibernético. Nuestra investigación identificó una tendencia positiva a este respecto: la práctica, cada vez más habitual, de incorporar la ciberresiliencia a la gestión de riesgos organizativos.
Cultura de la resiliencia
En el sector hay muchos expertos cibernéticos con experiencia y el mejor consejo que descubrimos en nuestra investigación fue que, incluso ante los riesgos tecnológicos emergentes, es necesario mantener el enfoque en prácticas de ciberresiliencia probadas. Al hacerlo, los profesionales del sector constatan que las amenazas pueden detectarse y mitigarse de forma temprana.
Como complemento, el segundo paso es desarrollar la gobernanza cibernética. Sin duda, la experiencia se acumula, y muchas organizaciones tienen prácticas prudentes de ciberresiliencia que están dando frutos. Las mejores prácticas deben compartirse y debe desarrollarse el conocimiento institucional. En este sentido, la ciberresiliencia y la confianza en el director ejecutivo son simbióticas. Nuestra encuesta reveló que el 93 % considera que sus organizaciones son líderes en el sector y confía en que sus directores ejecutivos hablen externamente sobre su riesgo cibernético. Este hallazgo subraya la importancia del respaldo a la estrategia y los planes cibernéticos a nivel de la alta dirección.
El tercer paso es la necesidad de cultivar una cultura de resiliencia. La formación periódica y la concienciación son fundamentales para mejorar la cultura organizativa, al igual que la adhesión. Todas las personas de una organización deben comprender los riesgos derivados de nuestra economía digital interconectada. Internamente, las empresas deben buscar un acceso equitativo a las prioridades, el talento, la tecnología, las herramientas de seguridad y la cultura organizativa adecuados. Externamente, las empresas deben trabajar con socios para evaluar y abordar de forma sólida el riesgo en la cadena de suministro.
Esto nos lleva a nuestro cuarto elemento: fomentar la resiliencia sistémica y la colaboración. Los indicadores de ciberresiliencia incluyen la calidad y la cantidad de las colaboraciones. Este elemento se refiere no solo a la medida en que las organizaciones comprenden el riesgo cibernético de su cadena de suministro, sino también a la claridad y la eficacia de la normativa, así como a la accesibilidad y madurez de herramientas como las calificaciones cibernéticas o los seguros cibernéticos. Los resultados positivos en todas estas áreas generan resiliencia, lo contrario de la fragilidad.
Ciberseguridad desde el diseño
Por último, las organizaciones deben garantizar que el diseño respalde la ciberresiliencia. Por lo general, una combinación de comodidad, la oportunidad de utilizar nuevas tecnologías para acelerar las perspectivas de una empresa y el rasgo muy humano de temer quedarse atrás las lleva a introducir nuevas tecnologías más rápido y con menos seguridad de la que sería prudente. Una forma de abordar esto es modificar la estructura de incentivos económicos para los innovadores.
Cada vez más, los gobiernos instan a los fabricantes de tecnología y a los proveedores de servicios a crear productos que incorporen la seguridad desde el inicio y que puedan mantenerse seguros durante todo su ciclo de vida. Este enfoque de seguridad desde el diseño se está incorporando a programas y normativas como la propuesta de la Unión Europea denominada Ley de Ciberresiliencia, y se espera más actividad en este ámbito.
Todo indica que 2024 será otro año difícil, pero es posible avanzar cambiando las prácticas y fomentando la cooperación y el intercambio de mejores prácticas. Cabe destacar que los desafíos son sistémicos, lo que apunta a la necesidad de asegurar el compromiso y la participación de todas las partes interesadas. La ventaja de ello es que, a medida que se desarrolla el impulso para abordar colectivamente los desafíos y riesgos del sector, un ecosistema de ciberseguridad cada vez más resiliente beneficia a todos.
