La ciberseguridad juega un papel cada vez más importante en la planificación empresarial. Atrás quedaron los tiempos en los que este apartado era considerado secundario. Pero, a pesar de que las empresas lo consideran un elemento muy importante de su estrategia, casi todas ellas creen que su política de ciberseguridad no es efectiva.
Veamos algunos de los datos que se desprenden del último Informe de Ciberseguridad de Cisco -‘The Security Bottom Line’-, que analiza a qué procesos y soluciones dedican su presupuesto de seguridad las organizaciones. Por ejemplo, más de la mitad de las organizaciones (el 56%) han sufrido una intrusión o infección de malware significativa el pasado año. El 94% son conscientes de que deben mejorar para implementar una seguridad verdaderamente efectiva.
Y el 43% admiten que a veces tienen que tomar medidas no ideales para lidiar con incidentes de seguridad, como ‘limpiar por completo’ un terminal infectado en lugar de eliminar únicamente el malware que afecta al dispositivo.
Spam malicioso, principal incidente en 2018
El 54% de las compañías españolas consultadas sitúan el spam malicioso como el incidente más significativo en 2018 (frente al 42% de media global), seguido de malware (49% de organizaciones españolas), spyware (39%) y phising (37%).
Según Talos (la división de ciberinteligencia de Cisco), el 85% de todos los correos electrónicos a escala global son spam. Y según el Informe Data Breach Investigations Report 2018 de Verizon (en el que ha colaborado Cisco), el e-mail es el principal vector tanto para la distribución de malware (92,4%) como para el phishing (96%).
Según Talos (la división de ciberseguridad de Cisco), el 85% de todos los correos electrónicos a escala global son spam
De hecho, el 55% de los CISOs españoles consideran las amenazas del e-mail como el mayor riesgo de ciber-seguridad para sus organizaciones. Por otro lado, España registró menos incidentes de pérdida de datos (22%) comparado con la media mundial (33%).
Principales procesos
¿A qué procesos de seguridad se destina la inversión? Cuatro de cada diez organizaciones españolas destinan el 20% de su presupuesto de ciber-seguridad a Identificar: comprender cómo deben gestionar el riesgo de ciber-seguidad que afecta a sistemas, activos, datos y capacidades.
El siguiente proceso por el que más apuestan es Detectar amenazas (32%), seguido de Proteger su entorno (28%). Y a lo que menos destinan es a Responder y Recuperar.
Más que presupuesto
Ocho de cada diez organizaciones consultadas no pueden permitirse adquirir todo lo que consideran necesario para proteger su infraestructura. Sin embargo, la gran mayoría -el 94%- opinan que aún les queda camino por recorrer para implementar una seguridad verdaderamente efectiva, con independencia de su presupuesto.
Es decir, el presupuesto importa, pero no lo es todo. Hay otras acciones que las organizaciones pueden mejorar -además de invertir- para reforzar su protección, incluyendo:
– Experiencia. Sólo el 37% de las organizaciones consultadas se apoyan más en su personal interno para blindar sus entornos, mientras el 28% confían más en redes profesionales externas. Aunque es bueno que las organizaciones se apoyen en el outsourcing, los profesionales internos conocen mejor el negocio y la red y sus procesos, por lo que lo ideal es una combinación de los dos modelos.
– Capacidad. Incluso cuando una organización tiene la experiencia necesaria para poder definir su estrategia de seguridad, no significa que tenga la capacidad para ejecutarla correctamente. Por ejemplo, una red a la que también se conectan proveedores y partners externos dificulta la capacidad de ejecución. De hecho, la seguridad de la cadena de suministro de terceros es una gran preocupación para los CISOs en la actualidad.
– Influencia. ¿Pueden las organizaciones influir de forma efectiva en proveedores de soluciones, partners y otros para obtener la seguridad que necesitan? El 86% de las grandes empresas se enteran de vulnerabilidades e incidentes que les afectan a través de sus proveedores o partners de ciber-seguridad antes de que estas vulnerabilidades se hagan públicas, frente al 60% de las empresas con menor tamaño.
Soluciones y recomendaciones
El Informe también analiza las soluciones de seguridad más utilizadas, siendo los firewalls y las soluciones para el e-mail y de protección de red. También es significativo que la segmentación de red (37%) y la micro-segmentación (11%) se utilicen menos, cuando es algo esencial para evitar infecciones a través de la red.
Como destaca Eutimio Fernández, Director de Ciber-seguridad en Cisco España, “la seguridad no es una ‘commodity’ ni un ‘prêt-à–porter’, sino que cada compañía tiene sus propias necesidades. Factores como el presupuesto, la experiencia o la capacidad de ejecución deben ser analizados y mejorados para lograr una seguridad verdaderamente efectiva. El Informe ofrece importantes recomendaciones para lograrlo, siendo la integración entre soluciones y la automatización factores fundamentales”.
