El rezago en medidas de protección incrementa el nivel de riesgo

Desde el comienzo de la guerra en Ucrania, se ha agravado la situación de seguridad de TI en las empresas de todo el mundo, por ejemplo, en México un poco más de la mitad (53 por ciento) de los equipos de seguridad en las empresas han registrado un aumento en incidentes de seguridad, de los cuales el 34 por ciento reporta muchos más incidentes que antes. Sin embargo, resulta evidente que muchas empresas no han podido mantener el ritmo que requiere el rápido aumento en amenazas en seguridad. En nuestro país, la cantidad de empleados de seguridad de TI que considera que su compañía está preparada en caso de un incidente de seguridad se redujo un 20 por ciento en comparación con el año anterior. Estos hallazgos fueron obtenidos del más reciente estudio “OTRS Spotlight: Corporate Security” que llevó a cabo OTRS AG en conjunto con la firma de estudios de mercado Pollfish, en la que 500 empleados de equipos de seguridad de TI contestaron preguntas sobre el estado actual y el desarrollo de la seguridad cibernética en sus empresas (100 de ellos pertenecientes a México).

La falta de personal se vuelve un riesgo de seguridad

Actualmente, las compañías en México tienen claramente definido quién tiene que hacer qué y quién es responsable de qué en caso de un incidente de seguridad en la gran mayoría de las compañías (88 por ciento). Sin embargo, los factores que dificultan que los empleados protejan la TI de la empresa y que respondan de forma correcta y en tiempo en caso de emergencia son muchos y muy diversos. Primeramente, parece que hay falta de personal. Aunque, a nivel mundial, contratar personal adicional para el Centro Operativo de Seguridad de una empresa se mencionó como una de las tres medidas más útiles para enfrentarse a incidentes de seguridad, sólo el 17 por ciento de empresas mexicanas afectadas por el incremento en incidentes han tomado la acción de aumentar su plantilla.

El hecho de que no se cubran las demandas reales de personal se demuestran por la necesidad de personal de apoyo que mencionó el 46 por ciento de los encuestados en México, quienes creen que la seguridad de TI no recibe suficiente atención en su empresa. Además del personal, los encuestados mexicanos, también mencionan como importante invertir en más en software (41 por ciento) así como contar con una adecuada capacitación en seguridad para todos los empleados (41 por ciento), seguido de la necesidad de mejor Infraestructura (28 por ciento). A nivel global, los equipos en Alemania y México son los más insatisfechos en general con la forma en que se maneja la seguridad de TI en su compañía, mientras que la satisfacción en EU es la más alta con un 68 por ciento.

Crecimiento de los equipos de gestión de incidentes

A pesar de todo esto, también hay una tendencia positiva en términos de desarrollo de personal en México: en comparación con el año anterior, ha crecido el número de equipos responsables de la gestión de incidentes. Mientras que en el 2021 el 8 por ciento de los equipos consistía en una sola persona, la cifra de este año fue de sólo 1 por ciento. Se puede observar el mismo desarrollo en todos los mercados encuestados.

Sin embargo, Christopher Kuhn, director de operaciones (COO, por sus siglas en inglés) de OTRS AG, indica que ese pequeño avance no es suficiente. “La situación de amenazas en el área cibernética no mejorará en el futuro próximo, y más bien tenderá a incrementar. Por esta razón, las empresas necesitan mejorar con urgencia su seguridad en TI y hacer un esfuerzo adicional para contratar a gente mejor capacitada. En resumen, esto significa ofrecer incentivos para atraer a profesionales capacitados y también invertir en educación para poder alentar el crecimiento horizontal y la retención de empleados”.

Medidas a corto plazo: señal de preparación insuficiente

Para lidiar con un creciente número de incidentes de seguridad desde el inicio de la guerra en Ucrania, las empresas han elegido, principalmente, adoptar medidas a corto plazo. En nuestro país, el 57 por ciento ha respondido con mayor frecuencia al tema de revisar y adaptar sus sistemas de TI en términos de actualizaciones, respaldos y protección en inicios de sesión, así como en capacitar a todos sus empleados para que estén conscientes de dichos problemas de seguridad. No obstante, sólo casi un tercio (28 por ciento) ha adquirido software para monitorear, detectar y prevenir incidentes de seguridad. Con la misma frecuencia (28 por ciento), las empresas mexicanas respondieron sobre contar con un plan de gestión de incidentes. Con menos frecuencia se ha adquirido software para gestionar y responder a incidentes de seguridad (19 por ciento); y en promedio sólo 16 por ciento de los mercados encuestados recurrió al bloqueo de listas para impedir el tráfico desde Rusia. 

“Resulta preocupante que menos de un tercio de las empresas en México cuente con un plan de gestión de incidentes o software para responder y gestionar incidentes de seguridad considerando el elevado nivel de amenazas actuales”, dijo Christopher Kuhn. “Una vez más, esto demuestra que la seguridad de TI sigue recibiendo poca atención y no está siendo considerada con la atención y tiempo que se necesitan realmente. Por supuesto es esencial prevenir incidentes de seguridad en la medida de lo posible, pero nadie puede lograr una seguridad total. Las empresas que no están preparadas para una emergencia no pueden reaccionar de forma rápida y efectiva, exponiéndose a un riesgo empresarial enorme. La consciencia en los temas de seguridad debe extenderse en todas las áreas de la organización, desde las áreas de TI, hasta la platilla ejecutiva. La seguridad de TI debe infundirse y promoverse como el núcleo de todas las divisiones corporativas”.