Kaseya ha publicado su estudio “Informe sobre ciberseguridad: Cómo crear un sistema de seguridad capaz de hacer frente a los errores humanos”, un análisis exhaustivo sobre cómo se aplica realmente la ciberseguridad en la práctica.
Basado en las respuestas de 1.132 proveedores de servicios gestionados de TI y profesionales de TI de más de 60 países, el estudio va más allá de la teoría para examinar qué obstáculos impiden una buena seguridad. El informe concluye con una “Guía de ciberresiliencia” que ofrece orientación práctica para crear programas de seguridad que puedan funcionar en el mundo real.
El error humano sigue siendo el mayor riesgo de seguridad
El error humano, incluida la ingeniería social y la distracción, se sitúa como el principal vector de amenaza que más preocupa al 68 % de los encuestados de cara a los próximos 12 meses, seguido del correo electrónico, con un 55 %. Entre las organizaciones que han sufrido un incidente en los últimos tres años, cuatro de los cinco principales factores que contribuyeron a ello estaban relacionados con las personas, encabezados por las malas prácticas de los usuarios o su inocencia (41 %) y la falta de formación en ciberseguridad de los usuarios finales (40 %).
Los resultados sugieren que, a pesar de los avances en tecnología de seguridad, las personas siguen siendo una de las vulnerabilidades más difíciles de abordar para las organizaciones.
“Las personas no son perfectas, y todo el mundo lo sabe. Sin embargo, gran parte de la ciberseguridad sigue dependiendo de que las personas tomen la decisión correcta en todo momento. El camino hacia la verdadera ciberresiliencia no consiste en eliminar los errores, sino en crear una organización capaz de soportarlos. Hay que prever los errores, tener en cuenta las limitaciones y diseñar soluciones que las superen”, afirmó David Baggett, SVP and GM, Security Suite, de Kaseya.
Estar listo para una auditoría no hace que el cumplimiento normativo sea fácil
Casi el 65 % de los encuestados afirma que podría superar hoy mismo una auditoría de cumplimiento sin necesidad de prepararse; sin embargo, esa confianza podría ser excesivamente optimista. Cuando se les preguntó qué podría plantear problemas durante una auditoría, el 49 % señaló la documentación o las políticas incompletas, seguido de los controles de seguridad que no se aplican plenamente (34 %) y la falta de concienciación o formación de los empleados en materia de seguridad (33 %).
La inversión en ciberseguridad no está a la par del riesgo
Solo el 20 % de los departamentos de TI afirma que su presupuesto de ciberseguridad está creciendo al mismo ritmo que el riesgo real. Al mismo tiempo, el 77 % de los encuestados se considera, de alguna manera, con recursos insuficientes: presupuestos que se mantienen estables mientras las amenazas crecen (23 %) lentamente para seguir el ritmo (30 %), o con recursos insuficientes y conscientes de ello (24 %). Los proveedores de servicios de TI señalan una tendencia similar entre su cartera de clientes, y el 65 % afirma que sus clientes invierten menos de lo necesario en ciberseguridad en relación con el riesgo al que se enfrentan.
Características clave de proveedores de servicios de TI de alto rendimiento
Junto a estos hallazgos, Kaseya presenta una evaluación de la resiliencia de los proveedores de servicios de TI, que ofrece a estos últimos una visión de lo que las empresas de alto rendimiento hacen de forma diferente. Se definió a las empresas de alto y bajo rendimiento en función de si habían cumplido tanto los objetivos de ingresos como los de crecimiento durante los dos últimos trimestres.
La evaluación muestra que los proveedores de servicios de TI de alto rendimiento han convertido el cumplimiento normativo, los seguros cibernéticos y la adopción de la inteligencia artificial en ventajas competitivas, mientras que los proveedores de servicios de TI de bajo rendimiento —a menudo limitados por el presupuesto o el tamaño— restan prioridad a esas mismas áreas.
El informe concluye con una guía práctica de cinco puntos para integrar la resiliencia en las operaciones diarias: prepararse para los errores que los equipos ya prevén, defender la necesidad de invertir antes de que un incidente lo haga imprescindible, eliminar las barreras para que actuar de forma segura sea la opción más sencilla, utilizar la inteligencia artificial para reforzar a los equipos sobrecargados y considerar el cumplimiento normativo como una labor continua, en lugar de una carrera de última hora que se realiza una vez al año.
