Por fin le han concedido ese presupuesto para ciberseguridad por el que tanto ha luchado, pero ¿en qué lo gasta? Al igual que con cualquier presupuesto, es importante elegir las áreas que ofrezcan la mayor rentabilidad. Un análisis cuidadoso de lo que está ocurriendo en el panorama de la ciberseguridad le ayudará a tomar la decisión de gasto correcta.
Esta es la guía de MetaCompliance sobre dónde gastar su presupuesto de ciberseguridad.
Áreas principales en las que gastar su presupuesto de ciberseguridad
Los presupuestos han sido ajustados, según un informe de McKinsey, pero en 2021, el 70% de los CISO tienen la intención de pedir aumentos significativos en su presupuesto de ciberseguridad. Los ciberataques en empresas de todos los tamaños y en todos los sectores están impulsando la necesidad de cerrar las escotillas y endurecer nuestros sistemas informáticos contra los hackers. MetaCompliance ha analizado cinco áreas clave que merecen un presupuesto de ciberseguridad que se ha ganado a pulso:
Formación sobre concienciación en materia de seguridad y formación sobre phishing
La prevención es menos costosa que la cura cuando se trata de los daños que pueden causar los ciberataques. Tomemos como ejemplo el ransomware. El informe de Sophos "State of Ransomware 2021" descubrió que el coste de la reparación de un ataque de ransomware se ha duplicado en los últimos 12 meses hasta alcanzar una media de 1,85 millones de dólares.
El ransomware suele llegar a través de correos electrónicos de phishing. Un informe de 2021 de Egress coincide en destacar que el 95% de los responsables de TI creen que los datos están en peligro por el canal del correo electrónico. El informe también señala que el 83% de las organizaciones sufrieron una violación de datos a través del correo electrónico en los últimos 12 meses, y que el 24% de las violaciones fueron causadas por un empleado que compartió datos por error. El ser humano en la máquina es un punto de riesgo que debe abordarse urgentemente.
Formar a los empleados de toda la organización en cuestiones de ciberseguridad, incluidas las consideraciones sobre privacidad, es un paso fundamental para reducir el riesgo de ciberseguridad. La formación sobre concienciación en materia de seguridad puede adaptarse al perfil de su empresa. Los empleados que caen en la trampa del phishing también pueden abordarse mediante programas de formación antiphishing especializados que enseñan a los empleados a pensar antes de hacer clic en un archivo adjunto o enlace malicioso.
Gobernanza, Riesgo y Cumplimiento
La normativa de protección de datos es muy estricta y su cumplimiento requiere mucho tiempo y recursos. La normativa suele requerir la ayuda de especialistas para garantizar el cumplimiento correcto de los requisitos. El impacto del incumplimiento es costoso, no sólo en términos de multas onerosas, sino en la pérdida de confianza de los clientes y el daño a la reputación.
La ayuda de empresas especializadas con capacidad para evaluar sus necesidades de cumplimiento puede facilitar este proceso. Los consultores de cumplimiento pueden asegurarse de que su organización cumple los reglamentos y las normas y ayudarla a subsanar cualquier laguna en los requisitos de cumplimiento.
Herramientas y medidas de seguridad
Disponer de las herramientas de seguridad adecuadas es un aspecto esencial del presupuesto de ciberseguridad. Pero, ¿debería externalizar la gestión de la seguridad o implantar y mantener esas medidas internamente? La respuesta depende de su nivel de destreza en el uso de las medidas de seguridad modernas, algunas de las cuales son inteligentes y pueden requerir conocimientos especializados para configurarlas e interpretarlas.
Otra consideración es a qué tipo de medida de seguridad destinar el presupuesto de ciberseguridad. Esta decisión depende de su sector industrial y de otras consideraciones, como las necesidades de trabajo a distancia y las interacciones con terceros y datos de consumidores. Pero como regla general, debería considerarse el gasto presupuestario en ciberseguridad en las siguientes áreas:
- Gestión de identidades y accesos (IAM): El robo de credenciales y el "credential stuffing" (cuando los estafadores intentan entrar en las cuentas utilizando credenciales robadas) son un importante problema de ciberseguridad. Las credenciales robadas permiten a los estafadores robar grandes cantidades de datos. El compromiso de las credenciales está detrás del 61% de las infracciones, según el Informe de Investigaciones sobre Infracciones de Datos de Verizon.
- Seguridad de confianza cero: El principio de "nunca confíes, siempre verifica" está detrás del uso del enfoque de confianza cero para la seguridad.
- Seguridad de los puntos finales: El trabajo a distancia ha visto aumentar el número de puntos finales, como los dispositivos móviles. Cada punto final es una posible puerta de entrada a la red.
- Seguridad de las aplicaciones: el 72% de las organizaciones han sufrido una brecha debido a una vulnerabilidad de seguridad de las aplicaciones.
- Seguridad en la nube: Un informe de Gartner Inc, encontró que para 2025, el 99% de los fallos de seguridad en la nube serán culpa del cliente. Garter recomienda utilizar políticas de gobernanza y supervisión para reducir el riesgo en este ámbito.
Ciberseguro
Si ocurre lo peor y su organización se infecta con un ransomware, o su empleado sufre un spear-phishing y su base de datos de clientes es hackeada, etc., el seguro cibernético puede ayudar a aliviar parte del dolor. El seguro cibernético suele cubrir las pérdidas por daños en los sistemas informáticos y la pérdida de información de los sistemas y redes informáticas. Los costes del seguro cibernético varían, pero algunas aseguradoras ofrecen primas reducidas si su organización puede demostrar que cuenta con ciertas medidas de seguridad, como por ejemplo
- Formación en ciberseguridad
- Cumplimiento de las normas de seguridad y privacidad de datos del sector, como la ISO 27001
- Pruebas de penetración periódicas de sus sistemas informáticos y redes
Mediciones e indicadores clave de rendimiento (KPI)
Poder medir la eficacia de sus medidas de seguridad es una buena manera de justificar sus decisiones de gasto o de modificar futuros presupuestos. Las métricas de seguridad proporcionan información sobre la eficacia de su postura de seguridad, incluyendo si sus medidas de cumplimiento están funcionando. Estas métricas ofrecen una forma cuantitativa de mostrar a la dirección y a los miembros del consejo de administración cómo está funcionando un programa de seguridad de datos. Estas métricas también pueden desempeñar un papel a la hora de documentar el enfoque de la empresa respecto a la protección de datos en línea con los requisitos normativos. El análisis de los indicadores clave de rendimiento (KPI) y de los indicadores clave de riesgo (KRI) proporciona una visión de su equipo y de la posición de seguridad para que pueda optimizar las medidas y los enfoques.
Hay varios KPI clave que pueden medirse, algunos ejemplos que miden las métricas de las amenazas incluyen:
- Incidentes de seguridad
- Tiempo medio de detección (MTTD)
- Tiempo medio de resolución (MTTR)
- Tiempo medio de detección (MTTD)
Gastar, gastar, gastar en presupuestos de ciberseguridad
Con unas previsiones de gasto en seguridad que superarán el billón de dólares en todo el mundo en 2025, optimizar su presupuesto de ciberseguridad es vital para evitar el despilfarro. Es posible que ya sepa dónde corre más riesgos su organización, pero siga investigando el panorama de la seguridad a medida que cambia. Con un buen conocimiento de lo que ocurre en el sector y del tipo de ayuda disponible para mitigar los riesgos cibernéticos, puede asegurarse de que el presupuesto acordado le resulte rentable.
