Frente a un escenario signado por el aumento y la complejización constantes de los ataques cibernéticos, la ciberresiliencia se torna un aspecto clave para las organizaciones. Sin embargo, para optimizar los resultados de esta estrategia, es necesario que las empresas logren equilibrar sus objetivos de negocio con los mecanismos de preparación, respuesta y recuperación ante los ataques.
En este artículo, retomamos los hallazgos de una encuesta reciente de Accenture para poner de manifiesto la importancia de alinear la seguridad con las metas empresariales.
Los ciberataques, siempre en alza
La necesidad de agilizar la digitalización experimentada en los últimos años aumentó la vulnerabilidad y la incertidumbre y, en cierta manera, funcionó como un caldo de cultivo para el incremento de las amenazas.
De acuerdo a datos que proporciona la consultora, durante 2021 hubo una media de 270 ataques (accesos no autorizados a datos, aplicaciones, servicios, redes o dispositivos) por empresa, lo que representa un incremento del 31% en comparación a 2020.
Asimismo, el riesgo de terceros sigue predominando. Los ataques indirectos —es decir, las violaciones efectivas a través de la cadena de valor— aumentaron de un 44% a un 61%.
También aumentaron los presupuestos de seguridad IT, de acuerdo a lo que indicó el 82% de los encuestados. De hecho, los presupuestos de seguridad informática representan hasta un 15% del gasto total en tecnología, 5 puntos porcentuales adicionales de los declarados en 2020.
A su vez, los participantes de la pesquisa afirmaron que han migrado sus operaciones a entornos cloud para aprovechar los beneficios que ofrece: costos más bajos, operaciones más resilientes y acceso a tecnología más avanzada. Además, la mayoría de los encuestados sostuvo que las aplicaciones y operaciones en la nube son más seguras que las ejecutadas on-premise.
Sin embargo, casi un tercio (32%) afirmó que la nube todavía mantiene una relación compleja con la seguridad, ya que consideran que las prácticas de cumplimiento son deficientes, que la seguridad cloud es demasiado compleja y que carecen de las habilidades internas para estructurar la protección IT en la nube.
Alineación entre seguridad y negocio, el camino hacia la ciberresiliencia de las organizaciones
De acuerdo a lo que se desprende de la investigación de Accenture, existen 4 niveles diferentes de ciberresiliencia.
Los vulnerables
Aquellos que se encuentran peor posicionados en términos de protección IT son denominados como “los vulnerables”. Se trata de quienes que no alinean la seguridad con la estrategia del negocio y cuentan con operaciones de ciberseguridad poco maduras que ofrecen muy poco resguardo.
Los que asumen ciberriesgos
En otro de los niveles de resiliencia cibernética se encuentran “los que asumen ciberriesgos”, que son quienes anteponen la estrategia empresarial a la alineación con la ciberseguridad y priorizan el crecimiento y la velocidad de la comercialización.
En este sentido, poseen una mayor probabilidad de cumplir o superar sus objetivos empresariales —por ejemplo, reducción de costos, crecimiento, mayor velocidad de comercialización, obtención de cuota de mercado, desarrollo de nuevos productos y servicios, y penetración en nuevos mercados, entre otros—, pero su enfoque empresarial va en detrimento de su éxito en términos de ciberseguridad.
Paradójicamente, de acuerdo a lo que indica el estudio, “los que asumen ciberriesgos” asignan un presupuesto alto a acciones de ciberseguridad, pero esta decisión no se traduce en obtener una estrategia de ciberresiliencia sólida.
Los obstaculizadores del negocio
Otro de los estadios está ocupado por “los obstaculizadores del negocio”, que priorizan la ciberresiliencia sobre la alineación con la estrategia de negocio, percibida en ocasiones como un impedimento para la concreción de los objetivos de seguridad.
Este grupo sufre menos violaciones que los niveles anteriores, ya que, aunque los ataques se produzcan, son capaces de detectarlos y remediarlos más rápido. No obstante, si añadieran la alineación a su ya sólida base de ciberseguridad, tendrían una ciberresiliencia más robusta sin poner en jaque los resultados empresariales.
Los ciberdefensores
Por último, se encuentra el grupo de los “ciberdefensores”, que son organizaciones que han encontrado el equilibrio. De esta manera, no solo se destacan en ciberresiliencia, sino también en alineación con la estrategia de negocio para obtener mejores resultados empresariales y proteger los activos clave.
Estas empresas son exitosas en al menos 3 de los 4 criterios de rendimiento en resiliencia cibernética: son mejores a la hora de detener ataques, detectar y remediar brechas de seguridad más rápidamente, y reducir su impacto.
Tal como explica la pesquisa, alinear los intereses del negocio con la seguridad les permite a las organizaciones reducir la cantidad de violaciones efectivas y los ataques significativos.
Los “ciberdefensores” son más capaces de protegerse frente a la pérdida de datos. Alrededor de un 4% de ellos pierden más de 500.000 registros, es decir, 6,5 veces menos que “los que asumen ciberriesgos”, que alcanzan un 27% de pérdidas.
Parte del éxito de este grupo se debe a que, dado que alinean la seguridad IT con el negocio, cuentan con una mayor proporción de unidades empresariales a cargo de la ciberseguridad, casi el doble (1,9 veces) que “los que asumen ciberriesgos”.
Asimismo, en términos de presupuesto, construir una estrategia de ciberresilicnecia basada en la alineación de la seguridad con el negocio también es beneficioso. Según el reporte, si aumentaran su rendimiento a los niveles de '”los ciberdefensores”, “los obstaculizadores del negocio” reducirían sus costos de violaciones de seguridad en un 48% y “los que asumen ciberriesgos” y los “vulnerables”, en un 65% y un 71%, respectivamente.
¿Cómo convertirse en un "ciberdefensor"?
Para que una empresa pueda posicionarse dentro del nivel de los ciberdefensores, es necesario que lleve adelante algunas acciones puntuales.
Incluir a los CISO en el consejo directivo
Los CISO necesitan dejar atrás la visión tradicional en la cual solo deben dedicarse a cuestiones relacionadas con el mundo IT y comenzar a colaborar con los ejecutivos de la organización para comprender los riesgos y las prioridades empresariales.
Sirviéndose de la experiencia y los conocimientos del equipo ejecutivo, los CISO pueden obtener una perspectiva más amplia que funcione bien para toda la empresa. De hecho, la encuesta reveló que los “ciberdefensores” poseen estructuras jerárquicas diferentes al resto de los niveles.
En las organizaciones de este estadio, los CISO consultan principalmente al CEO (51%) y al CFO (49%) para desarrollar la estrategia de ciberseguridad de su empresa y tienen más autonomía en lo que respecta a las finanzas, dependiendo menos del CEO y el Consejo Directivo para obtener autorizaciones.
Centrarse en las amenazas y estar alineado con el negocio
El aumento del número de ciberataques indica que, a la hora de potenciar la seguridad IT, es mejor prevenir que curar.
Para mantener a los atacantes fuera del entorno, los líderes de seguridad IT deben estar estrechamente alineados con el negocio, integrando la protección con las necesidades empresariales y midiendo y supervisando su estado con frecuencia para gestionar más efectivamente el riesgo.
Al medir y supervisar los perfiles de riesgo y poner los datos a disposición de la dirección, los CISO pueden alinearse mejor con el negocio.
Sacarle el máximo partido a una nube segura
Frente al aumento vertiginoso del uso de entornos cloud, para las empresas es fundamental aprovechar al máximo los beneficios que ofrecen en términos de rapidez, escalabilidad, rentabilidad, proactividad y ausencia de fricciones.
Al migrar a entornos cloud, las organizaciones deben sacar el máximo provecho de esta oportunidad para reajustar su postura en materia de seguridad, de manera más temprana y efectiva, trabajando estrechamente alineados con el negocio para realizar la migración de manera segura.
ÄRTON, nuestra solución de Plan de Continuidad de Negocio como Servicio, potencia la estrategia de ciberseguridad, alineándola con el negocio y creando una infraestructura resiliente que les permite a las organizaciones estar preparadas ante cualquier tipo de ataque cibernético.
Gracias a ella, las empresas pueden garantizar la disponibilidad de sus procesos críticos de negocio, anticipándose a desviaciones producidas por una posible disrupción y evitando, de esa manera, situaciones de riesgo que puedan afectar su línea productiva.
Con ÄRTON, en tan solo semanas, las compañías pueden contar con un plan de contingencia detallado, para saber exactamente qué hacer ante posibles eventos disruptivos. Nos ocupamos de gestionar el servicio de implementación garantizando alta disponibilidad, operaciones continuas y recuperación ante desastres dentro de los plazos aceptables para cada modelo de negocio.
Si querés saber más sobre esta solución para impulsar la ciberresiliencia en tu empresa, no dudes en mandarnos un mensaje.
