Teniendo en cuenta las respuestas de la encuesta, parece evidente que es recomendable consolidar la tecnología en una única plataforma y reducir el número de productos de proveedores para facilitar la integración, permitir que los datos fluyan más fácilmente y ayudar a los equipos de seguridad a detectar incidentes con mayor eficacia.
Los responsables de ciberseguridad necesitan asegurarse de que cuentan con una estrategia tecnológica que proporcione seguridad a través de la simplificación. Para ello, deberían:
- Unificar y optimizar las tecnologías de ciberseguridad existentes para reducir el coste total y establecer las condiciones para lograr operaciones rápidas y sencillas.
- Integrar tecnologías emergentes de manera más rápida y sin introducir nuevos riesgos ni complicar el entorno tecnológico general.
- Considerar enfoques basados en la automatización, como DevSecOps y SOAR.
- Buscar la combinación de servicios y un enfoque de servicios gestionados que simplifique la infraestructura y aumente la visibilidad a la vez que genera rentabilidad.
Los CISO necesitan replantearse la manera de aplicar los procesos de ciberseguridad en toda la empresa, desarrollando una estrategia integral que simplifique las infraestructuras existentes y responda a las necesidades de ciberseguridad de las nuevas realidades de la organización, como la tecnología cloud y los ecosistemas de colaboración. Las ‘Empresas seguras’ ya siguen este enfoque.
2. Las ‘Empresas seguras’ consiguen proteger toda su superficie de ataque
Dentro de las organizaciones, la transición a la computación en la nube a gran escala, el Internet de las cosas (IoT) o el uso de proveedores en la cadena de suministro, entre otras novedades, ha aumentado las brechas de seguridad al incrementar las posibilidades de sufrir un ataque. Por ello, el 53% de los responsables de ciberseguridad están de acuerdo en que no existe un perímetro seguro en la evolución que está sufriendo el ecosistema digital actual y que esta evolución complica la aplicación de medidas del ámbito de la ciberseguridad.
Las cadenas de suministro, responsables del 62% de los incidentes de intrusión en sistemas en 2021, se revelan como uno de los frentes más vulnerables para las empresas. “La complejidad de la cadena de suministro hace que cualquier incidente de ciberseguridad en la misma pueda poner en riesgo a múltiples organizaciones y, por ello, la gestión de la ciberseguridad debe ser una responsabilidad compartida”, afirma Elena Maestre, responsable de ciberseguridad en EY España.
3. Hablar el mismo idioma que el resto de la empresa
Tanto los comités de dirección como los consejos de administración se preocupan cada vez más por los riesgos digitales y de ciberseguridad. Los responsables de la ciberseguridad deben mantener un diálogo abierto con sus stakeholders y utilizar un lenguaje adecuado que permita explicar el riesgo cibernético en términos económicos y de impacto, algo que resulta mucho más útil y permite una mejor toma de decisiones que las explicaciones exclusivamente técnicas.
Mientras que antes el papel del CISO era principalmente operativo y técnico, en las organizaciones más maduras la ciberseguridad opera como una función en sí misma, además de contar con presencia den el comité de dirección. Nuestra encuesta concluye que, gracias a su papel cada vez más prominente dentro de las organizaciones, los CISO están teniendo un gran éxito a la hora de garantizar los recursos necesarios en el entorno actual de alto riesgo. En la encuesta de este año, el presupuesto, que en ediciones anteriores era uno de los principales obstáculos internos para implementar la ciberseguridad, deja de ser un problema tan destacado y ya es uno de los hándicaps menos relevantes (cae al sexto lugar de un total de ocho). La ciberseguridad se reconoce cada vez más como una cuestión fundamental de resiliencia, reputación y cumplimiento de la normativa, por lo que cada vez cuenta con mayor apoyo en el seno de las compañías.
Aunque los presupuestos son un componente esencial, la ciberseguridad debe integrarse en toda la organización desde una óptica más completa. Para ello, es necesario contar con la participación de los altos directivos, dar respuesta a la falta de conocimientos y mantener una estrecha comunicación entre los CISO y la dirección ejecutiva. Sin embargo, nuestra encuesta revela que estos grupos no siempre están de acuerdo. En comparación con la dirección ejecutiva, los CISO se muestran menos satisfechos con la eficacia de la estrategia general de su organización respecto a la ciberseguridad (36% frente al 48% de la dirección ejecutiva) y con su capacidad para hacer frente a las amenazas a las que se enfrentan (38% frente al 25% de la dirección ejecutiva).
