Por fin le han concedido ese presupuesto de ciberseguridad por el que tanto ha presionado, pero ¿en qué lo gasta? Al igual que con cualquier presupuesto, es importante elegir las áreas que le proporcionarán el mayor beneficio por su dinero. Un análisis minucioso de lo que ocurre en el panorama de la ciberseguridad le ayudará a tomar la decisión correcta sobre el gasto en seguridad.
Esta es la guía de MetaCompliance sobre dónde gastar su presupuesto de ciberseguridad.
Dónde gastar su presupuesto de ciberseguridad
Los presupuestos han sido ajustados, según un informe de McKinsey, pero en 2021, el 70% de los CISO tienen la intención de pedir aumentos significativos en su presupuesto de ciberseguridad. Los ciberataques en empresas de todos los tamaños y en todos los sectores están impulsando la necesidad de cerrar las escotillas y endurecer nuestros sistemas informáticos contra los hackers. MetaCompliance ha analizado cinco áreas clave que merecen un presupuesto de ciberseguridad que se ha ganado a pulso:
1. Formación sobre concienciación en materia de seguridad y formación sobre suplantación de identidad
La prevención es menos costosa que la cura cuando se trata de los daños que pueden causar los ciberataques. Tomemos como ejemplo el ransomware. El informe de Sophos "State of Ransomware 2021" descubrió que el coste de la reparación de un ataque de ransomware se ha duplicado en los últimos 12 meses hasta alcanzar una media de 1,85 millones de dólares.
El ransomware suele llegar a través de correos electrónicos de phishing. Un informe de 2021 de Egress coincide en destacar que el 95% de los responsables de TI creen que los datos están en peligro por el canal del correo electrónico. El informe también señala que el 83% de las organizaciones sufrieron una violación de datos a través del correo electrónico en los últimos 12 meses, y que el 24% de las violaciones fueron causadas por un empleado que compartió datos por error. El ser humano en la máquina es un punto de riesgo que debe abordarse urgentemente.
La formación de los empleados de toda la organización en materia de ciberseguridad, incluidas las consideraciones de privacidad, es un paso fundamental para reducir el riesgo de ciberseguridad. La formación de concienciación sobre la seguridad puede adaptarse al perfil de su empresa. Los empleados que caen en el cebo del phishing también pueden ser abordados mediante programas de formación especializados en antiphishing que enseñan a los empleados a pensar antes de hacer clic en un archivo adjunto o enlace malicioso.
2. Gobernanza, riesgo y cumplimiento
La normativa de protección de datos es muy estricta y su cumplimiento requiere mucho tiempo y recursos. La normativa suele requerir la ayuda de especialistas para garantizar el cumplimiento correcto de los requisitos. El impacto del incumplimiento es costoso, no sólo en términos de multas onerosas, sino en la pérdida de confianza de los clientes y el daño a la reputación.
La ayuda de empresas especializadas con capacidad para evaluar sus necesidades de cumplimiento puede facilitar este proceso. Los consultores de cumplimiento pueden asegurarse de que su organización cumple los reglamentos y las normas y ayudarla a subsanar cualquier laguna en los requisitos de cumplimiento.
3. Herramientas y medidas de seguridad
Disponer de las herramientas de seguridad adecuadas es un área de gasto presupuestario esencial. Pero, ¿debería subcontratar la gestión de la seguridad o desplegar y mantener esas medidas internamente? La respuesta depende de su nivel de habilidad en el uso de las modernas medidas de seguridad, algunas de las cuales son inteligentes y pueden requerir conocimientos especializados para su configuración e interpretación.
Otra consideración es el tipo de medida de seguridad en la que se debe gastar el presupuesto. Esta decisión depende de su sector industrial y de otras consideraciones, como las necesidades de trabajo a distancia y las interacciones con terceros y los datos de los consumidores. Pero como regla general, debería considerarse el gasto del presupuesto de ciberseguridad en las siguientes áreas:
- Gestión de identidades y accesos (IAM): El robo de credenciales y el "credential stuffing" (cuando los estafadores intentan entrar en las cuentas utilizando credenciales robadas) son un importante problema de ciberseguridad. Las credenciales robadas permiten a los estafadores robar grandes cantidades de datos. El compromiso de las credenciales está detrás del 61% de las infracciones, según el Informe de Investigaciones sobre Infracciones de Datos de Verizon.
- Seguridad de confianza cero: El principio de "nunca confíes, siempre verifica" está detrás del uso del enfoque de confianza cero para la seguridad.
- Seguridad de los puntos finales: El trabajo a distancia ha visto aumentar el número de puntos finales, como los dispositivos móviles. Cada punto final es una posible puerta de entrada a la red.
- Seguridad de las aplicaciones: el 72% de las organizaciones han sufrido una brecha debido a una vulnerabilidad de seguridad de las aplicaciones.
- Seguridad en la nube: Un informe de Gartner Inc, encontró que para 2025, el 99% de los fallos de seguridad en la nube serán culpa del cliente. Garter recomienda utilizar políticas de gobernanza y supervisión para reducir el riesgo en este ámbito.
4. Ciberseguro
Si ocurre lo peor y su organización se infecta con un ransomware, o su empleado sufre un spear-phishing y su base de datos de clientes es hackeada, etc., el seguro cibernético puede ayudar a aliviar parte del dolor. El seguro cibernético suele cubrir las pérdidas por daños en los sistemas informáticos y la pérdida de información de los sistemas y redes informáticas. Los costes del seguro cibernético varían, pero algunas aseguradoras ofrecen primas reducidas si su organización puede demostrar que cuenta con ciertas medidas de seguridad, como por ejemplo
- Formación sobre ciberseguridad
- Cumplimiento de las normas de seguridad y privacidad de datos del sector, como la ISO 27001
- Pruebas de penetración periódicas de sus sistemas informáticos y redes
5. Mediciones y KPI (indicadores clave de rendimiento)
Ser capaz de medir la eficacia de sus medidas de seguridad es una gran manera de justificar sus opciones de gasto, o de modificar futuros presupuestos de ciberseguridad. Las métricas de seguridad proporcionan información sobre la eficacia de su postura de seguridad, incluyendo si sus medidas de cumplimiento están funcionando. Estas métricas ofrecen una forma cuantitativa de mostrar a la dirección y a los miembros de la junta directiva cómo está funcionando un programa de seguridad de datos. Estas métricas también pueden desempeñar un papel en la documentación del enfoque de la empresa sobre la protección de datos en línea con los requisitos reglamentarios. El análisis de los KPI y de los indicadores clave de riesgo (KRI) proporciona una visión de su equipo y de la posición de seguridad para que pueda optimizar las medidas y los enfoques.
Hay varios KPI clave que pueden medirse, algunos ejemplos que miden las métricas de las amenazas incluyen:
- Incidentes de seguridad
- Tiempo medio de detección (MTTD)
- Tiempo medio de resolución (MTTR)
Gastar, gastar, gastar en ciberseguridad
Con la previsión de que el gasto en seguridad supere el billón de dólares en todo el mundo en 2025, optimizar su presupuesto de ciberseguridad es vital para evitar el despilfarro. Es posible que ya tenga experiencia sobre dónde corre más riesgo su organización, pero siga investigando el panorama de la seguridad a medida que cambia. Si conoce bien lo que ocurre en el sector y el tipo de ayuda disponible para mitigar los riesgos cibernéticos, podrá asegurarse de que el presupuesto acordado le proporciona una buena relación calidad-precio.
