Más de un tercio (36%) de las compañías españolas ha sido víctima de un ciberataque durante los siete primeros meses de 2019, según se desprende del estudio Hacked Off! que publica la compañía de ciberseguridad Bitdefender. Es un dato preocupante para el tejido empresarial español, ya que a nivel global ese porcentaje se queda en el 24%.
También un 36% de los responsables de seguridad y TI que han sido encuestados piensa que su empresa puede estar siendo víctima de un ciberataque en estos momentos sin saberlo. Aquí los españoles se muestran más confiados, ya que solo el 27% ve factible esa posibilidad.
A pesar de esos resultados, el 57% de los profesionales consultados (66% en España) está convencido de que la ciberseguridad de su organización es muy buena o excelente, y otro 24% (19% en España) la califica como buena. De igual forma, mientras que un 54% de los encuestados a nivel global consideran que sus conocimientos sobre ciberseguridad son muy buenos o excelentes, en el caso de los profesionales españoles el porcentaje sube al 64%.
Esas son algunas de las conclusiones que se recogen en el informe Hacked Off! de Bitdefender, que se basa en las opiniones de más de 6.000 profesionales de seguridad y TI de Reino Unido, Estados Unidos, Australia, Nueva Zelanda, Alemania, Francia, Italia y España (500 encuestados), que trabajan en compañías de todos los tamaños, desde micropymes a empresas cotizadas con más de 10.000 empleados, pertenecientes a un amplio abanico de sectores de actividad, como banca, energía o administración pública.
Además de la situación general de las empresas con respecto a su ciberseguridad, el informe explora también las distintas presiones a las que tienen que enfrentarse los profesionales de seguridad y TI en su trabajo y el impacto de las mismas en la eficacia de las medidas de seguridad de sus empresas, así como las mejores estrategias para mantener a las organizaciones seguras.
Un panorama en constante evolución
Dentro de las posibles amenazas para una organización, el 36% de los profesionales de TI y seguridad (33% en España) piensa que los ataques de phishing o los de tipo whaling (suplantación de identidad de altos ejecutivos) representan la mayor amenaza, algo comprensible si se tiene en cuenta que el phishing es a menudo la técnica más empleada para introducirse en una red corporativa y preparar el camino a otro tipo de ataques más dañinos como, por ejemplo, Carbanak. Los troyanos, con el 29% (34% en España) suponen la segunda amenaza más mencionada a nivel global.
El informe de Bitdefender señala, sin embargo, que el panorama de amenazas está en constante evolución. Así que, a nivel global, en 2018 la amenaza que más se mencionaba era el ransomware (20,4%) y el phishing/whaling solo resultaba preocupante para un 10,8%.
De igual forma, si en 2017 las brechas de datos que sufrieron las empresas se produjeron, sobre todo, por la acción negligente de los empleados, dos años después esta causa ha logrado bajar a la segunda posición, siendo superada por la acción de terceros, que incluye la implementación de malware. Por otra parte, los fallos de software siguen apareciendo invariablemente como una de las causas más importantes de las brechas de datos.
Las amenazas quitan el sueño a los responsables de seguridad
Con un panorama de amenazas cada vez más complejo y que evoluciona muy rápidamente, los responsables de ciberseguridad de las organizaciones sufren, cada vez más, los efectos de la presión que esta realidad les produce. Así, un 58% (73% en España) tiene dudas sobre la capacidad de sus empresas para afrontar un ciberataque global similar a WannaCry, y esta situación impide, literalmente, dormir con tranquilidad a un 43% (58% de los españoles).
Para estos profesionales, el reto no es simplemente ser capaces de afrontar las ciberamenazas, sino también tener que lidiar tanto con el desconocimiento que demuestran los empleados sobre estos temas, como con la falta de apoyo en los niveles más altos de la dirección. Nada menos que el 57% de los encuestados a nivel global (40% de los españoles) piensa que los directores son los menos proclives a cumplir con las políticas de ciberseguridad de la organización, a veces no apoyando las reglas y otras ignorándolas por completo.
Además, los profesionales de ciberseguridad tienen que aguantar el estrés añadido que les producen los falsos positivos. Más de la mitad (52%) de las alertas que se producen en España acaban siendo falsas alarmas, algo que incrementa la fatiga y el nivel de estrés de los miembros del equipo, según el 49% por ciento de los encuestados españoles.
“La falta de presupuesto, la escasez de personal especializado y la falta de apoyo y entendimiento del nivel directivo, son los tres factores fundamentales que llevan a más de la mitad de los profesionales españoles a plantearse en algún momento abandonar su trabajo. Si la ciberseguridad es un elemento clave a la hora de garantizar el correcto desarrollo del negocio, está claro que sigue siendo necesario un mayor compromiso de las organizaciones en este ámbito”, comenta Juan Grau, Regional Sales Manager de Bitdefender en España.
La necesidad de actuar con rapidez
Aunque el 78% de los encuestados (91% en España) consideran que el tiempo de reacción es un factor fundamental a la hora de mitigar un ataque, la realidad es que el 29% de los encuestados a nivel global y el 27% de los españoles afirman que les lleva más de una semana detectar un ataque avanzado. La carencia de las herramientas de seguridad apropiadas y la falta de conocimientos son, en ambos casos para un 36% de los encuestados, los dos elementos principales que les impiden identificar y dar respuesta a los incidentes con rapidez.
Las consecuencias de no actuar rápidamente durante un ataque cibernético pueden resultar muy graves para las organizaciones. Un 43% de los encuestados a nivel global (41% en España) dice que es muy posible que se produzca una interrupción en las operaciones del negocio; un 38% (39% en España) señala también la pérdida de reputación; para un 37% la consecuencia se traduciría en una pérdida de ingresos (32% en España) y a otro 37% (también para el 32% de los españoles) le preocupa mucho la pérdida de confianza de los clientes.
Curiosamente, solo el 28% de los preguntados españoles (27% a nivel global) parece estar preocupado por las multas que se han impuesto con la entrada en vigor de normativas como GDPR, lo que sugiere que estas multas no son la razón principal que lleva a las empresas a mejorar su estado de ciberseguridad.
La realidad es que los profesionales de seguridad se muestran bastante escépticos con respecto a sus probabilidades de éxito en su lucha diaria. Así, solo un 3% piensa que es posible detectar y aislar de manera eficiente el cien por cien de los ataques avanzados (2% en España). Un 31% (34% en España) piensa que podría conseguirlo en menos del 50% de los casos.
