El error humano, incluida la ingeniería social y la distracción, se sitúa como el principal vector de amenaza que más preocupa al 68% de los encuestados de cara a los próximos 12 meses, seguido del correo electrónico, con un 55%. Entre las organizaciones que han sufrido un incidente en los últimos tres años, cuatro de los cinco principales factores que contribuyeron a ello estaban relacionados con las personas, encabezados por las malas prácticas de los usuarios o su inocencia (41%) y la falta de formación en ciberseguridad de los usuarios finales (40%).
Lo anterior es parte del informe sobre ciberseguridad: Cómo crear un sistema de seguridad capaz de hacer frente a los errores humanos de Kaseya, el cual está basado en las respuestas de 1.132 proveedores de servicios gestionados de TI (MSP) y profesionales de TI de más de 60 países.
Los resultados sugieren que, a pesar de los avances en tecnología de seguridad, las personas siguen siendo una de las vulnerabilidades más difíciles de abordar para las organizaciones.
“Las personas no son perfectas, y todo el mundo lo sabe. Sin embargo, gran parte de la ciberseguridad sigue dependiendo de que las personas tomen la decisión correcta en todo momento”, afirmó David Baggett, SVP and GM, Security Suite, de Kaseya. “El camino hacia la verdadera ciberresiliencia no consiste en eliminar los errores, sino en crear una organización capaz de soportarlos. Hay que prever los errores, tener en cuenta las limitaciones y diseñar soluciones que las superen”.
Estar listo para una auditoría no hace que el cumplimiento normativo sea fácil
Casi el 65% de los encuestados afirma que podría superar hoy mismo una auditoría de cumplimiento sin necesidad de prepararse; sin embargo, esa confianza podría ser excesivamente optimista. Cuando se les preguntó qué podría plantear problemas durante una auditoría, el 49% señaló la documentación o las políticas incompletas, seguido de los controles de seguridad que no se aplican plenamente (34%) y la falta de concienciación o formación de los empleados en materia de seguridad (33%).
La inversión en ciberseguridad no está a la par del riesgo
Solo el 20% de los departamentos de TI afirma que su presupuesto de ciberseguridad está creciendo al mismo ritmo que el riesgo real. Al mismo tiempo, el 77% de los encuestados se considera, de alguna manera, con recursos insuficientes: presupuestos que se mantienen estables mientras las amenazas crecen (23%), que aumentan pero demasiado lentamente para seguir el ritmo (30%), o con recursos insuficientes y conscientes de ello (24%). Los proveedores de servicios gestionados (MSP) señalan una tendencia similar entre su cartera de clientes, y el 65% afirma que sus clientes invierten menos de lo necesario en ciberseguridad en relación con el riesgo al que se enfrentan.
Características clave de proveedores de servicios de TI de alto rendimiento
Junto a estos hallazgos, Kaseya presenta una evaluación de la resiliencia de los proveedores de servicios de TI, que ofrece a estos últimos una visión de lo que las empresas de alto rendimiento hacen de forma diferente. Se definió a las empresas de alto y bajo rendimiento en función de si habían cumplido tanto los objetivos de ingresos como los de crecimiento durante los dos últimos trimestres.
La evaluación muestra que los proveedores de servicios de TI de alto rendimiento han convertido el cumplimiento normativo, los seguros cibernéticos y la adopción de la inteligencia artificial en ventajas competitivas, mientras que los proveedores de servicios de TI de bajo rendimiento —a menudo limitados por el presupuesto o el tamaño— restan prioridad a esas mismas áreas.
● Respuesta ante incidentes y pruebas de copias de seguridad: Casi el 30% de los Proveedores de Servicios de TI de alto rendimiento comprueban trimestralmente los planes de respuesta ante incidentes de sus clientes, frente al 18% de los proveedores de servicios de TI de bajo rendimiento. Solo el 11% de los proveedores de alto rendimiento afirman no disponer de un plan de respuesta ante incidentes, frente al 25% de los de bajo rendimiento. En el conjunto de los proveedores, el 15% no cuenta con un plan de respuesta ante incidentes.
● El cumplimiento normativo como factor diferenciador: Los proveedores de servicios de TI de alto rendimiento están convirtiendo el cumplimiento normativo en una parte más significativa de su negocio. Una cuarta parte genera entre el 11% y el 25% de sus ingresos a partir de servicios de cumplimiento normativo, frente al 15% de los de bajo rendimiento, lo que sugiere que el cumplimiento normativo puede ser un fuerte factor diferenciador y una oportunidad de ingresos
● Profundidad de la pila tecnológica: aunque las herramientas básicas como EDR, MFA, BCDR y la seguridad del correo electrónico son casi universales entre todos los Proveedores de Servicios de TI de alto rendimiento destacan en capas avanzadas y proactivas, incluida la adopción de SIEM (48% de alto rendimiento frente al 42% del total y al 31% de bajo rendimiento), NDR (52% de los de alto rendimiento frente al 44% del total y al 27% de los de bajo rendimiento) y la seguridad en la nube/CNAPP (32% de los de alto rendimiento frente al 22% del total y al 13% de los de bajo rendimiento).
El informe concluye con una guía práctica de cinco puntos para integrar la resiliencia en las operaciones diarias: prepararse para los errores que los equipos ya prevén, defender la necesidad de invertir antes de que un incidente lo haga imprescindible, eliminar las barreras para que actuar de forma segura sea la opción más sencilla, utilizar la inteligencia artificial para reforzar a los equipos sobrecargados y considerar el cumplimiento normativo como una labor continua, en lugar de una carrera de última hora que se realiza una vez al año.
