La ciberseguridad es una de las pocas industrias que han experimentado un crecimiento ininterrumpido en los últimos 20 años. De manera similar a cómo los volúmenes de datos nunca disminuyen, y las amenazas en la seguridad cibernética nunca desaparecen.
A medida que las compañías se comprometen con los procesos digitales, se construyen más centros de datos en todo el mundo y se retienen más activos de información de manera electrónica, se aumenta el riesgo de ciberdelito, divulgación involuntaria y otras formas de uso indebido.
Falta de personal cualificado
Por lo tanto, no sorprende la demanda significativa de personal cualificado y que no haya suficiente oferta para satisfacer esa demanda. Recientes investigación confirman que la brecha en la fuerza laboral de seguridad cibernética ha aumentado a más de 2,9 millones en todo el mundo, y alrededor de 150.000 solo en EMEA.
Además, casi dos tercios de los profesionales de la ciberseguridad afirman que la creciente brecha en la fuerza laboral está poniendo en riesgo sus organizaciones, ya que los puestos y funciones clave de ciberseguridad se quedan sin personal y la respuesta a incidentes se retrasa debido a la falta de trabajadores cualificados para trabajar en la tarea.
La brecha de habilidades en seguridad cibernética también es ilustrativa de la brecha de diversidad en el sector. Por ejemplo, solo una cuarta parte de la fuerza laboral de ciberseguridad es femenina, lo que significa que hay una gran cantidad de potencial sin explotar que aún no ha ingresado al sector.
La calificación de más profesionales femeninas en ciberseguridad es una oportunidad para lograr avances aún mayores en el desafío de la diversidad, al tiempo que se aborda una gran parte de la escasez general de mano de obra calificada.
La diferenciación
La falta de personal es un grave problema el cual se ve acrecentado por que aproximadamente un tercio de las organizaciones aún no están preparadas para responder a incidentes de seguridad cibernética, ya que el 31% no cuenta con un plan de respuesta a incidentes de ciberseguridad.
Si bien las empresas que pueden responder rápida y eficientemente para contener un ataque cibernético en un plazo de treinta días ahorran más de 1 millón de dólares en el coste total de una brecha de datos en promedio, las deficiencias en la planificación adecuada de la respuesta a incidentes se han mantenido consistentes durante los últimos cuatro años.
Por ejemplo, la compañía Secdo ofrece una plataforma preventiva de respuesta a incidentes diseñada para ayudar a los equipos de seguridad a reducir el tiempo de respuesta en minutos, gestionar los ataques de forma inmediata sin afectar a la continuidad del negocio y reforzar las defensas de la empresa frente a futuros ataques.
De las organizaciones que tienen un plan implementado, casi la mitad (49%) no prueba sus planes regularmente, dejándolos menos preparados para administrar de manera efectiva los procesos complejos y la coordinación que debe tener lugar después de un ataque.
Esta falta de preparación proviene de la falta de inversión que las empresas hacen en materia de ciberseguridad. Más de la mitad de las compañías afirma que de su presupuesto empresarial solo destina un 10% en materia de ciberseguridad, sobre todo a la infraestructura de TI y la gestión de activos.
Este número se traduce en un rango de aproximadamente 0,2% a 0,9% de los ingresos de la compañía y, desglosándolo aún más, entre 1.300 y 3.000 dólares en ciberseguridad por empleado de tiempo completo o equivalente.
Las empresas más grandes asignaron casi una quinta parte de su presupuesto de seguridad cibernética a la gestión de identidad y acceso, casi el doble del porcentaje de empresas medianas y pequeñas, que tienden a gastar más en seguridad de puntos finales y redes. No obstante, los programas más exitosos exhiben varios rasgos principales en común:
- Definir la estrategia de seguridad empezando por la parte superior de la organización.
La falta de apoyo de la administración o la financiación inadecuada es el mayor desafío en la gestión cibernética por parte de compañías con un nivel más bajo de madurez en la gestión de riesgos. Aquellos consejos y comités de administración considerados como los más exitosos están más interesados en casi todas las áreas de la ciberseguridad.
- Elevar el perfil de la ciberseguridad más allá del departamento de TI para brindar atención de alto nivel a la función de seguridad y una mayor influencia.
Las instituciones más maduras tienen más probabilidades de elevar la función de ciberseguridad al separar completamente la ciberseguridad de la TI. Para impulsar la ejecución efectiva de un programa de «control de riesgo cibernético», la administración ejecutiva debe estructurar su equipo de liderazgo para impulsar la comunicación y la implementación de la seguridad en toda la empresa, y contar con la autoridad y la experiencia para hacerlo.
- Alinear los esfuerzos de ciberseguridad con la estrategia comercial de la empresa.
No se debe subestimar el impacto prolífico de tener un ciberespacio en la estrategia organizativa, la planificación y la ejecución de los esfuerzos operativos o de desempeño. La incorporación de profesionales cibernéticos en las empresas puede permitir que la organización cibernética y sus líderes sean más estratégicos y gestionen mejor el riesgo cibernético en toda la empresa.
¿Cómo deben prevenirse las organizaciones?
Hasta ahora se ha hablado de la falta de presupuesto y de una línea estratégica definida previamente como los principales escollos que deben superar las empresas en materia de ciberseguridad, sin embargo, ¿Cuál es el principal enemigo de las seguridad cibernética de una compañía?
Los ejecutivos corporativos consideran que el error humano es uno de los mayores riesgos para la seguridad de la información, por ello la respuesta más común es invertir más en la fuerza laboral a través de capacitación y contratación que en tecnología en el próximo dos años, aunque es evidente que esta acción no se lleva a cabo con la frecuencia que debería.
Menos común es invertir en nuevos tipos de software con seguridad mejorada, actualizar la infraestructura o comprar inteligencia artificial y machine learning para usar en seguridad, todo lo cual podría contribuir a minimizar el error humano. No obstante, existen otros factores de riesgo a los que están sometidas las compañías.
Frente a estos problemas, más del 80% las compañías consideran que las tecnologías autónomas mejoran la seguridad y aumentan la confianza en la forma en que las compañías manejan la información confidencial.
Y es que, la tecnología autónoma une la automatización con la inteligencia artificial y el machine learning para ofrecer capacidades de auto conducción, auto aseguramiento y auto reparación que pueden integrarse en la infraestructura de TI principal de una empresa.
Sin embargo, solo el 23% de las compañías dicen ser usuarias de esta tecnología, mientras que el 77% afirma que sus organizaciones solo usan la automatización de manera moderada.
La falta de herramientas de automatización es una oportunidad perdida para fortalecer la resistencia cibernética, ya que las organizaciones que han implementado la automatización de seguridad totalmente llegan a ahorrar hasta 1,5 millones de dólares en el coste total de una violación de datos, en contraste con las organizaciones que no aprovechan la automatización.
Si bien una mejor capacitación puede ser la herramienta más común para los problemas de ciberseguridad, nunca será suficiente. «La gente comete errores. Es la naturaleza humana”, por ello los expertos aconsejan incorporar algunos robots, en forma de tecnologías autónomas, con inteligencia artificial y machine learning, para ayudar a esas personas.
La compañía Hunters.AI, destaca como pionera en la búsqueda autónoma de amenazas. Su principal misión es acelerar la respuesta a amenazas cibernéticas y combatir el ciberdelito al ayudar a las organizaciones a detectar, identificar y remediar ataques cibernéticos sofisticados dirigidos a sus entornos de nube, híbridos y empresariales, a través de la inteligencia artificial.
La privacidad, un punto que no se puede obviar
Por otro lado, las organizaciones finalmente reconocen que la colaboración entre los equipos de privacidad y seguridad cibernética puede mejorar la resistencia cibernética, el 62% indica que alinear a estos equipos es esencial para lograr la capacidad de recuperación.
La mayoría de las empresas cree que la función de privacidad es cada vez más importante, especialmente con la aparición de nuevas regulaciones como GDPR y la Ley de Privacidad del Consumidor de California (en Estados Unidos), y están priorizando la protección de datos al tomar decisiones de compra de TI.
Cuando se pregunta a las empresas cual es el factor principal para justificar el gasto en seguridad cibernética, el 56% dice que la pérdida o el robo de información. Esto tiene especial relevancia ya que los consumidores exigen que las empresas hagan más para proteger activamente sus datos.
Según una encuesta reciente, el 78% de las organizaciones dice que la capacidad de una empresa para mantener sus datos privados es extremadamente importante, y solo el 20% de los consumidores confía completamente en las organizaciones con las que interactúan para mantener la privacidad de sus datos.
Conclusiones
La ciberseguridad ha sido durante mucho tiempo un campo que ha abrazado a personas con antecedentes no tradicionales. Casi ningún profesional de la ciberseguridad de más de 30 años tiene un título en ciberseguridad.
No obstante, pedir demasiado a los posibles profesionales no es la única razón detrás de la grave escasez de mano de obra cibernética. En general, las corporaciones hacen muy poco para ayudar a sus empleados cibernéticos a mantenerse técnicamente actualizados y mucho menos cuando se trata de ayudar a sus empleados de TI a colaborar.
Sin embargo, incluso si las empresas vivieran un aumento masivo en los candidatos no tradicionales, la escasez de habilidades en la ciberseguridad no terminará a corto plazo. Por esa razón, las empresas deberán buscar soluciones alternativas. Actualmente, muchas buscan la promesa del big data, la inteligencia artificial (IA) y el machine learning como una forma de cerrar la brecha.
No hay un final a la vista para la crisis de la brecha en la ciberseguridad, por lo que las organizaciones deberán plantearse el problema de manera distinta. Resolver este problema requiere una forma diferente de pensar y es que las organizaciones no pueden confiar solo en la tecnología o en sus empleados, como entes separados, sino deberán buscar la manera de juntar ambas vertientes y unirlas en una estrategia de ciberseguridad, solida y previamente definida.
