Por fin le han concedido ese presupuesto de ciberseguridad por el que tanto ha presionado, pero ¿en qué lo gasta? Como en cualquier presupuesto, es importante elegir las áreas que le proporcionarán el mayor «beneficio por su dinero». Un análisis cuidadoso de lo que está ocurriendo en el panorama de la ciberseguridad le ayudará a tomar la decisión correcta sobre el gasto en seguridad.   

He aquí la guía de MetaCompliance sobre dónde gastar su presupuesto de ciberseguridad. 

Dónde gastar su presupuesto de ciberseguridad 

Los presupuestos han sido ajustados, según un informe de McKinsey, pero en 2021, el 70% de los CISO tienen la intención de pedir aumentos significativos en su presupuesto de ciberseguridad. Los ciberataques en empresas de todos los tamaños y en todos los sectores están impulsando la necesidad de cerrar las escotillas y endurecer nuestros sistemas informáticos contra los piratas informáticos. MetaCompliance ha analizado cinco áreas clave que merecen un presupuesto de ciberseguridad ganado a pulso: 

1. Formación sobre concienciación en materia de seguridad y formación sobre phishing 

La prevención es menos costosa que la cura cuando se trata de los daños que pueden causar los ciberataques. Tomemos como ejemplo el ransomware. El informe de Sophos «State of Ransomware 2021» descubrió que el coste de la reparación de un ataque de ransomware se ha duplicado en los últimos 12 meses hasta alcanzar, de media, 1,85 millones de dólares.   

El ransomware suele distribuirse a través de correos electrónicos de phishing. A  El informe 2021 de Egress coincide en destacar que el 95% de los responsables de TI cree que los datos corren peligro por el canal del correo electrónico. El informe también señala que el 83% de las organizaciones sufrieron una violación de datos a través del correo electrónico en los últimos 12 meses, y que el 24% de las violaciones se debieron a que un empleado compartió datos por error. El humano en la máquina es un punto de riesgo que debe abordarse con urgencia.   

Formar a los empleados de toda la organización en materia de ciberseguridad, incluidas las consideraciones de privacidad, es un paso fundamental para reducir el riesgo de ciberseguridad. La formación sobre concienciación en materia de seguridad puede adaptarse al perfil de su empresa. También se puede hacer frente a los empleados que caen en la trampa del phishing utilizando  Programas especializados de formación antiphishing que enseñen a los empleados a pensar antes de hacer clic en un archivo adjunto o enlace malicioso. 

2. Gobernanza, riesgo y cumplimiento 

Protección de datos Las normativas son estrictas y su cumplimiento exige grandes costes de tiempo y recursos. A menudo, las normativas requieren la ayuda de especialistas para garantizar que los requisitos se cumplen correctamente. El impacto del incumplimiento es costoso, no sólo en términos de multas onerosas, sino en pérdida de confianza de los clientes y daños a la reputación.   

La ayuda de empresas especializadas con capacidad para evaluar sus necesidades de cumplimiento puede facilitar este proceso. Los asesores en materia de conformidad pueden asegurarse de que su organización cumple los reglamentos y las normas y ayudarla a subsanar cualquier laguna en los requisitos de conformidad.  

3. Herramientas y medidas de seguridad 

Disponer de las herramientas de seguridad adecuadas es un área de gasto presupuestario esencial. Pero, ¿debe externalizar la gestión de la seguridad o implantar y mantener esas medidas internamente? La respuesta depende de su nivel de destreza en el uso de las medidas de seguridad modernas, algunas de las cuales son inteligentes y pueden requerir conocimientos especializados para configurarlas e interpretarlas.  

Otra consideración es a qué tipo de medida de seguridad destinar el presupuesto. Esta decisión depende de su sector industrial y de otras consideraciones como las necesidades de trabajo a distancia y las interacciones con terceros y los datos de los consumidores. Pero como regla general, debe considerarse el gasto presupuestario en ciberseguridad en las siguientes áreas:  

  • Gestión de identidades y accesos (IAM): El robo de credenciales y el «credential stuffing» (en el que los estafadores intentan entrar en las cuentas utilizando credenciales robadas) son un importante problema de ciberseguridad. Las credenciales robadas permiten a los estafadores robar grandes cantidades de datos. El compromiso de credenciales está detrás del 61% de las brechas según la  Informe de las investigaciones sobre la violación de datos de Verizon. 

  • Seguridad de Confianza Cero: El principio de «nunca confíes, siempre verifica» está detrás del uso del enfoque de Seguridad de Confianza Cero.  

  • Seguridad de los puntos finales: El trabajo a distancia ha visto dispararse el número de puntos finales, como los dispositivos móviles. Cada punto final es una puerta de entrada potencial a una red.   

  • Seguridad de las aplicaciones: el 72% de las organizaciones han sufrido una brecha debido a una vulnerabilidad de seguridad de las aplicaciones.  

  • Seguridad en la nube: A Según un informe de Gartner Inc., en 2025 el 99% de los fallos de seguridad en la nube serán culpa del cliente. Garter recomienda utilizar políticas de gobernanza y supervisión para reducir el riesgo en este ámbito.   

4. Ciberseguro

Si ocurre lo peor y su organización se infecta con un ransomware, o su empleado sufre un spear-phishing y su base de datos de clientes es pirateada, etc., el seguro cibernético puede ayudar a aliviar parte del dolor. El seguro cibernético suele cubrir las pérdidas por daños en los sistemas informáticos y la pérdida de información de los sistemas y redes informáticos. Los costes del seguro cibernético varían, pero algunas aseguradoras ofrecen primas reducidas si su organización puede demostrar que cuenta con ciertas medidas de seguridad, como:  

  • Formación sobre ciberseguridad  

  • Cumplimiento de las normas de seguridad y privacidad de datos del sector, como la ISO 27001 

  • Pruebas de penetración periódicas de sus sistemas y redes informáticos 

5. Mediciones e indicadores clave de rendimiento (KPI) 

Ser capaz de medir la eficacia de sus medidas de seguridad es una excelente manera de justificar sus decisiones de gasto o de modificar futuros presupuestos de ciberseguridad. Las métricas de seguridad proporcionan información sobre la eficacia de su postura de seguridad, incluyendo si sus medidas de cumplimiento están funcionando. Estas métricas ofrecen una forma cuantitativa de mostrar a la dirección y a los miembros del consejo de administración cómo está funcionando un programa de seguridad de datos. Estas métricas también pueden desempeñar un papel a la hora de documentar el enfoque de la empresa respecto a la protección de datos de acuerdo con los requisitos normativos. El análisis de los KPI y de los indicadores clave de riesgo (KRI) ofrece una visión de su equipo y de la posición de seguridad para que pueda optimizar las medidas y los enfoques.  

Hay varios KPI clave que pueden medirse, algunos ejemplos que miden las métricas de amenazas incluyen: 

  • Incidentes de seguridad 

  • Tiempo medio de detección (MTTD) 

  • Tiempo medio de resolución (MTTR) 

Gastar, gastar, gastar en ciberseguridad

Con Se espera que el gasto en seguridad supere el billón de dólares en todo el mundo en 2025, por lo que optimizar su presupuesto de ciberseguridad es vital para evitar el despilfarro. Puede que ya tenga experiencia de dónde corre más riesgos su organización, pero siga investigando el panorama de la seguridad a medida que cambia. Si conoce bien lo que ocurre en el sector y qué tipo de ayuda hay disponible para mitigar el riesgo cibernético, podrá asegurarse de que el presupuesto acordado le ofrece una buena relación calidad-precio.

¿Listo para tomar medidas proactivas? Descubra MetaPhish, un software líder de simulación de phishing diseñado para mejorar las ciberdefensas de su organización, y explore nuestra biblioteca de contenidos de seguridad eLearning para fomentar una sólida cultura de concienciación en materia de seguridad dentro de su plantilla.

Concienciación sobre ciberseguridad para dummies