¿Las compañías europeas aprenden realmente de los ciberataques? Esta es la pregunta central que trata de responder el último estudio de ManageEngine, división de Zoho Corporation especializada en soluciones de gestión de TI empresarial.
La presentación corrió a cargo de Andrés Mendoza, director técnico para el sur de Europa y Latinoamérica de ManageEngine.
La paradoja de España: menos incidentes, pero también menos madurez
Según el estudio, el 47% de las organizaciones españolas ha sufrido un incidente de ciberseguridad en los últimos doce meses, un porcentaje notablemente inferior a la media registrada en los cinco países analizados (66%). Sin embargo, los autores advierten de que una menor incidencia de ataques no implica necesariamente una mayor capacidad de protección o recuperación. De hecho, España presenta algunos de los indicadores más bajos en materia de previsión, metodologías y madurez en ciberresiliencia.
Durante la presentación, Mendoza atribuyó parte de esta diferencia a la situación regulatoria española, que todavía no ha culminado la transposición de la directiva NIS2. «La NIS2 obliga a las empresas a reportar los incidentes de ciberseguridad en las primeras 24 horas. Si no lo hacen, se les impone una sanción. Por tanto, el hecho de que en España todavía no se aplique la normativa puede influir en que su tasa sea más baja que la de los otros países analizados«, señaló.
En cualquier caso, el responsable de ManageEngine remarcó que la ausencia de incidentes detectados no debe confundirse con la ausencia de incidentes reales. «Hay sólo dos tipos de empresas: aquellas que tuvieron un incidente de seguridad y lo saben; y aquellas que tuvieron o tienen un incidente y no lo saben. Pensar que una organización nunca ha sufrido un incidente no es realista. La cuestión es si dispone de las herramientas necesarias para detectarlo, mitigarlo y corregirlo».
Solo el 35% de las empresas españolas mide formalmente su ciberresiliencia
El estudio sitúa a España como el país con menor nivel de adopción de una metodología formal para evaluar su nivel general de ciberresiliencia operativa, con solo un 35% de organizaciones que afirma contar con una, frente al 56% de la media del resto de países.
En la práctica, esto significa que cerca de siete de cada diez organizaciones carecen de un marco estructurado para medir y mejorar su ciberresiliencia. Además, únicamente el 30% de los equipos directivos aborda de forma periódica la ciberresiliencia a nivel organizativo.
«El dato más relevante no es solo cuántas empresas han sufrido un ciberincidente, sino cuántas están realmente preparadas para responder, aprender y reforzar sus operaciones. Las organizaciones necesitan visibilidad, métricas y procedimientos claros antes, durante y después de un incidente. Sin una metodología formal, resulta difícil priorizar inversiones, asignar responsabilidades y reducir el impacto de una crisis en el negocio», subrayó Mendoza.
Predominan las medidas correctivas frente a los cambios estructurales
El informe también pone de manifiesto que muchas compañías continúan abordando los ciberincidentes desde una perspectiva reactiva. Según los datos recopilados, el 49% de las organizaciones españolas se limita a aplicar mejoras puntuales centradas en corregir las brechas detectadas, mientras que apenas el 30% implementa cambios más amplios y estratégicos a largo plazo.
Para ManageEngine, esto indica que muchas empresas continúan recurriendo a respuestas tácticas o correctivas para resolver problemas a corto plazo, en lugar de encarar cada incidente como una oportunidad para transformar su modelo de protección, recuperación y continuidad operativa.
Carencias en detección, respuesta y recuperación
La investigación identifica además otras debilidades relevantes. Una de cada cuatro empresas españolas no dispone de objetivos temporales definidos para detectar y responder a incidentes críticos, un resultado que vuelve a situar a España muy por detrás del resto de países encuestados.
A ello se suma la falta de una estrategia de copias de seguridad orientada a la recuperación ante desastres. España también queda rezagada en este ámbito, con un 17% de organizaciones que carece de ella.
La ciberresiliencia como estrategia de negocio
De cara a los próximos doce meses, las empresas españolas prevén que los ataques impulsados por inteligencia artificial representen el mayor riesgo. Al mismo tiempo, identifican la monitorización y detección de amenazas como la principal prioridad de inversión.
Mendoza también advirtió que la creciente dependencia de las infraestructuras digitales, los entornos híbridos, las aplicaciones críticas y los servicios en la nube debería llevar a las organizaciones a integrar la resiliencia en su estrategia de negocio.
«La ciberresiliencia operativa exige pasar de una visión reactiva de la seguridad a un enfoque continuo, medible y colaborativo, en el que la tecnología, los procesos y la responsabilidad ejecutiva funcionen de forma coordinada», apuntó el directivo de ManageEngine.
Deja una respuesta