No solo consciente, sino también resiliente: un pilar fundamental en una estrategia de ciberseguridad es la concienciación de los empleados, la conciencia de que existen y cuáles amenazas cibernéticas existen. Sumado al conocimiento de dónde acechan los peligros, cómo son, cómo comportarse en una emergencia y cómo protegerse mejor, la ciberresiliencia, la resistencia de las empresas ante las amenazas cibernéticas, puede aumentar significativamente.

La ciberresiliencia es más que ciberseguridad. Esto último es solo un componente de una estrategia holística para fortalecer la resiliencia de TI frente a los ciberataques. La Ciberresiliencia va mucho más allá de la ciberseguridad y adopta un enfoque integral para proteger las TI y asegurar y reanudar las operaciones tras ataques.

Objetivo: Robustez permanente de los sistemas informáticos

El objetivo es crear un alto nivel de robustez de la infraestructura de TI de una empresa u organización frente a las diversas amenazas y minimizar el riesgo de fallos operativos. Un requisito importante para el éxito de un programa de resiliencia es la promoción activa de todas las actividades por parte de la dirección. La ciberresiliencia también debe ser una prioridad máxima. A todos los niveles, la dirección debe dejar claro que debe asumirse una situación de amenaza constante y posible.

Aunque la ciberseguridad es adecuada para proteger datos, redes y sistemas informáticos frente a ciberataques y, por tanto, reducir el riesgo de convertirse en víctima de un ataque, la resiliencia no se limita a la minimización del riesgo: también proporciona medidas, procesos y métodos para garantizar las operaciones durante un ataque o para reanudar las operaciones rápidamente tras un ataque. Por ello, garantiza un alto nivel de resiliencia y robustez de toda la organización e infraestructura de TI. Por tanto, los programas de resiliencia requieren un pensamiento holístico y una acción rápida y ágil en caso de ataques.

Solo el 36 por ciento de las empresas son altamente resilientes

Sin embargo, según un estudio de Greenbone Networks en cooperación con el instituto de investigación de mercados Frost & Sullivan, solo el 36 % de las empresas en las cinco mayores economías del mundo (Alemania, China, Gran Bretaña, EE. UU., Japón) han alcanzado un alto nivel de ciberresiliencia. Estados Unidos obtiene el mejor rendimiento: aquí, el 50 por ciento de las empresas encuestadas ya son altamente resilientes. Europa sigue rezagada, con un 36 por ciento. Japón se pone en segundo plano con un 22 por ciento.

En una comparación de sectores en todos los países, las empresas financieras y de telecomunicaciones (46 por ciento) están mejor preparadas contra ciberataques, seguidas por los sectores del agua (36 por ciento), salud (34 por ciento) y energía (32 por ciento). Las empresas de transporte se ven en la peor posición. Solo el 22 por ciento de ellos alcanzó un alto nivel de resiliencia.

¿Qué distingue a las empresas altamente resilientes y qué pueden hacer las organizaciones para volverse más resilientes frente a los ciberataques?

Formación en concienciación: Con la ayuda de la formación, las empresas resilientes se preparan de manera específica. En caso de un incidente cibernético, pueden implementar rápidamente nuevos procesos o adaptar los existentes para cerrar brechas de seguridad y recuperarse rápidamente de ataques.

Identificar vulnerabilidades: El 93 por ciento de las organizaciones altamente resilientes son capaces de hacerlo, pero solo el 41 por ciento de las que tienen baja resiliencia. En esta disciplina, el estudio encontró la mayor diferencia entre alta y baja resiliencia cibernética. Solo si una organización es consciente de sus debilidades —ya sean técnicas u organizativas— podrá eliminarlas y reducir su superficie de ataque. El 94 por ciento de las empresas altamente resilientes dice ser muy buena en esto, en comparación con solo el 43 por ciento de las que tienen baja resiliencia.

Agilidad de una organización para responder rápidamente a amenazas y ataques emergentes: el 96 por ciento de las organizaciones altamente resilientes también son capaces de mitigar el impacto de un ciberataque en procesos empresariales críticos. Lo que también los diferencia de las organizaciones con baja resiliencia es que han alineado su arquitectura de ciberseguridad con sus procesos empresariales.

Responsabilidades y procesos claros: Permiten movilizar rápidamente a las personas adecuadas en una emergencia y repeler ataques antes de que ocurran daños graves. Como mejor práctica, por ejemplo, ha surgido que el propietario de un activo digital también debería ser responsable de su seguridad. Esto ocurre en el 95 por ciento de las empresas altamente resilientes. El propietario puede ser una persona soltera y un departamento.

Apoyo de proveedores externos: el 97 por ciento de los encuestados busca ayuda externa para elegir la tecnología adecuada.

Concienciación sobre la resiliencia

También se podría decir que la ciberresiliencia es el futuro de la seguridad informática. No se trata solo de tomar medidas técnicas y organizativas para prevenir incidentes cibernéticos. Porque esto nunca puede ser completamente exitoso de todos modos. Más bien, el objetivo es mantenerse operativos y minimizar los daños incluso en caso de un ataque exitoso. La ciberresiliencia adopta el enfoque de crear seguridad a partir de los procesos empresariales en lugar de construir un muro protector a su alrededor.