Carecer de una estrategia de Ciberseguridad, pone en riesgo el futuro de las empresas.

Un 56% de las empresas carece de una estrategia de ciberseguridad bien definida y está lejos de cumplir con el modelo de Organización Digitalmente Protegida. Y ello pone en peligro su viabilidad y su futuro en la era digital, en la que el teletrabajo multiplica el riesgo y el comercio electrónico crece exponencialmente.

Adicionalmente, un 73% de las empresas no cuenta con los mecanismos de incentivos, formación y comunicación precisos para sus profesionales, que faciliten un cambio necesario en la organización en materia de ciberseguridad. Y el 90% de las compañías no ha incorporado perfiles de profesionales especializados en ciberseguridad.

Estos son algunos datos que revela el Informe sobre Madurez Digital en 2020, centrado en Ciberseguridad y elaborado por Minsait y SIA, compañías de Indra, a partir de entrevistas personales con responsables de un centenar de las principales compañías de 15 sectores de actividad, así como de algunos de los principales expertos en ciberseguridad a nivel global. A continuación destacamos algunos hallazgos

Turismo

Sólo el 36% de las compañías es consciente y dispone de una estrategia definida con un programa claro de transformación, sin embargo, el resto de actores son claramente conscientes de sus propias deficiencias y tienen pensado tomar medidas para solventar esta situación.
El 91% de las empresas del sector Turismo tiene un enfoque reactivo en su transformación hacia una Organización Protegida Digitalmente. Este sector aún va por atrás de otros importantes de la economía en esta área: la ciberseguridad aún no se ha terminado de afianzar en los procesos de negocio de las empresas.

Administraciones Públicas:

La protección del dato es un área relevante dentro del sector público, el 70% se encuentra en niveles de madurez medio – alto en dicho ámbito, quedando un 30% que se encuentra realizando progresos para alcanzar un nivel acorde con las exigencias actuales.
El sector empieza a explorar las oportunidades de negocio que están asociadas a la ciberseguridad, como pueden ser firma digital o biometría. El 70% de las empresas entrevistadas, está estudiando los beneficios que conlleva para el negocio la implantación de estos nuevos servicios.

Banca:

El 44% de las entidades bancarias, lleva un control exhaustivo de datos, procedimientos de encriptación, clasificación y etiquetado de la información, utilizando soluciones DLP (Data Loss Prevention) para proteger la información y, asimismo, disponen de BIA (Business Impact Analysis) para estimar el impacto que podría tener la organización debido a un incidente. El restante 67%, presenta un buen nivel de madurez con planes para avanzar en la protección y seguridad del dato.
El 67% de entidades, está utilizando tecnologías más innovadoras en la detección y respuesta ante incidentes, así como en detección de patrones y comportamientos anómalos, con herramientas como Machine Learning e Inteligencia Artificial y Orquestación, mediante servicios avanzados que prestan sus proveedores. El 33% restante, contempla estas soluciones en sus planes a corto/ medio plazo.

Consumo & Retail:

Debido al aumento exponencial de las ventas a través de internet, a diferencia de otros sectores, el 35% de las empresas considera la prevención del fraude asociada a la ciberseguridad y han creado unidades propias e independientes de las áreas financieras o jurídicas. El resto de las empresas del sector, gestiona el fraude a través de las herramientas que les facilita su proveedor de la pasarela de pagos o bien, de forma tradicional mediante programas de formación a los empleados.
Sólo el 14% de las empresas está aplicando machine learning e inteligencia artificial para la detección y la respuesta automática ante incidentes. El resto de empresas, se apoya en las funcionalidades que actualmente aportan las herramientas de los proveedores subcontratados especializados en ciberseguridad, y en algunos casos, no se dispone de esta funcionalidad.

Energía:

Las empresas energéticas, en un 55% tienen muy en cuenta la prevención del fraude interno, con el ejemplo representativo de ataques al CEO de la compañía, en este sentido, lanzan campañas de concienciación a empleados para mitigar estos riesgos.
Existe un 22% de empresas que ya aplica la orquestación y el threat hunting; sin embargo, el uso de inteligencia artificial o deception, en la mayoría no se contempla, ya que estas funcionalidades son proporcionadas actualmente por las herramientas que aportan los proveedores especializados subcontratados en ciberseguridad.

Industria:

El 45% de las compañías del sector industrial, subcontrata la actividad de detección, análisis y respuesta ante incidentes con proveedores especializados, a través de servicios gestionados de SOCs (Security Operation Center), y sólo un 27% cuenta con servicios SIEM tradicionales (Security Information and Event Management).
El 82% de las empresas industriales tiene en consideración la prevención del fraude tanto interno como externo, encontrando dos grupos diferenciados: empresas que no utilizan herramientas como mecanismo de protección y a su vez, implantan programas y políticas de prevención (36%), y otras menos avanzadas (45%), que están empezando a revisar las amenazas de fraude en los análisis de riesgos.

Logística:

Para la detección de amenazas, sólo el 60% de las empresas cuenta con asesoramiento externo, y en la mayoría de los casos es necesario implantar tecnologías más avanzadas para mejorar la detección de amenazas. El 40% de las empresas entrevistadas, no cuenta con herramientas para identificar las amenazas.
El sector presenta un bajo nivel de madurez (20%) en la identificación de nuevas tecnologías relacionadas con la ciberseguridad. No es una práctica instaurada en ninguna de las empresas, y sólo esporádicamente, se han explorado algunas más innovadoras, como pueden ser la firma digital o la biometría.

Telecomunicaciones & Media:

Dos de cada cuatro empresas participan activamente en ecosistemas colaborativos de alertas para estar informados en tiempo real, y colaboran con instituciones públicas o privadas, mientras que en algunos casos, reciben información de sus partners en seguridad y el 25% de las empresas entrevistadas no recibe este tipo de alertas.
A diferencia de otros sectores, el 50% de las empresas gestiona la prevención del fraude a través de la creación de unidades específicas e independientes de las áreas financieras o jurídicas que utilizan tecnologías para gestionar el riesgo de fraude. Otro 25% está empezando a desarrollar un programa de prevención, y por último, el 25% restante, con menor nivel se encuentran revisando las amenazas e implantando procedimientos al respecto.