Ciberseguridad

Los presupuestos de seguridad alcanzan una media de más de 100 millones de dólares en EMEA

La mitad de las empresas de la región aumentan sus presupuestos de seguridad en casi 100 millones de dólares y alcanzan máximos mundiales para financiar nuevas defensas de red y servicios de ciberseguridad en la nube.

dinero, inversión, mercado
Crédito de foto: Mathieu Stern (Unsplash)

La explosión del ransomware, junto con otros ataques, las infracciones de terceros y las preocupaciones por el trabajo remoto a largo plazo han culminado en una crisis de confianza para los responsables de la seguridad informática. Nueve de cada 10 líderes de TI y seguridad creen que su organización se está quedando corta a la hora de abordar los riesgos cibernéticos, según el Informe de Prioridades de Seguridad 2021 de IDG.

Este conjunto de razones ha aumentado los presupuestos de seguridad de las grandes empresas de EMEA (Europa, Oriente Medio y África), que han alcanzado una media de 131 millones de dólares, el más alto de cualquier región del mundo, mientras que los presupuestos de seguridad de las pequeñas y medianas empresas superan los 27,5 millones de dólares de media. De media, en la región EMEA las pymes tienen previsto destinar 97,9 millones de dólares a sus presupuestos de seguridad durante 2022.

Los ciberataques significativos contra objetivos críticos en Europa se han duplicado durante 2021, según ENISA, la Agencia de Ciberseguridad de la Unión Europea, porque los delincuentes se aprovecharon de la pandemia. Los hospitales y las redes sanitarias sufrieron un aumento del 47% de los ataques en el mismo periodo. Oriente Medio se enfrenta a sus propios retos con amenazas más específicas para responder a problemas geopolíticos localizados. En comparación con Europa, la infraestructura física también es un objetivo importante en Oriente Medio.

Europa, además también ha reaccionado a los ciberataques que llegan desde Estados Unidos imponiendo nuevas normas de seguridad. El ataque de ransomware a Colonial Pipeline en mayo de 2021, por ejemplo, despertó la preocupación por la ciberseguridad en Europa, donde los legisladores estaban redactando leyes que se aplicarán a las empresas energéticas y otras infraestructuras críticas.

En respuesta a estos acontecimientos, el 50% de los responsables de seguridad de Europa, Oriente Medio y Asia (EMEA) están aumentando los presupuestos de seguridad (además de los del gasto en seguridad del año pasado) para invertir en protección de datos en la nube, servicios de ciberseguridad basados en la nube, controles de acceso y análisis de datos.

El Informe de Prioridades de Seguridad 2021 de IDG encuestó a 772 ejecutivos, gerentes y profesionales de la seguridad informática de todo el mundo, incluida la región EMEA, para comprender los proyectos de seguridad en los que se centran las organizaciones actuales y para el próximo año. Se ha realizado entre agosto y septiembre de 2021, y todos los encuestados están involucrados en la toma de decisiones de TI, o de seguridad física corporativa, y el 77% tiene un título ejecutivo de TI o de seguridad. Los encuestados representan a empresas principalmente en los Estados Unidos (57%), con algunos en la región de Asia-Pacífico (35%) y en Europa (17%). Estas corporaciones proceden de diversos sectores, como el tecnológico, el manufacturero, el de servicios financieros, el de servicios profesionales, el sanitario, la administración pública, la educación y el comercio minorista. La empresa media tiene 11.535 empleados.

La encuesta también analizó los problemas que exigirán más tiempo y pensamiento estratégico a los equipos de TI y seguridad, con algunas preguntas específicas sobre los entornos tecnológicos operativos. El estudio define un incidente de seguridad como un evento que indica que los datos o sistemas de una organización se han visto comprometidos, lo cual incluye una amplia variedad de violaciones de la seguridad, como ataques de ransomware, violaciones de datos y violaciones de terceros o de la cadena de suministro.

 

Conclusiones esperadas

El panorama de las amenazas informáticas en la región EMEA sigue siendo más amplio y complejo. Los ciberataques significativos contra objetivos críticos en Europa se han duplicado en 2021, ya que los delincuentes han aprovechado la pandemia. En los países europeos se produjo una mayor proporción de violaciones dirigidas a la propiedad intelectual que en otras partes del mundo, y amenazas más localizadas en Oriente Medio en respuesta a consideraciones geopolíticas localizadas.

Son estas las preocupaciones de la mayoría de los responsables de la seguridad, y el 88% de los encuestados de EMEA creen que su organización no está abordando los riesgos cibernéticos a medida que el ransomware y otros ataques aumentan, y que los empleados siguen cayendo en estafas de phishing. Para afrontar estos retos, los responsables de seguridad están lanzando nuevas ofensivas para impulsar la resistencia corporativa, aumentar la concienciación y la formación de los empleados en materia de seguridad, ser más eficaces y estar mejor preparados para responder al próximo incidente de seguridad.

Los presupuestos de seguridad de las empresas de EMEA han alcanzado una media de 131 millones de dólares, la más alta de cualquier región del mundo. La mitad de las organizaciones de esta zona del planeta están aumentando sus presupuestos de seguridad para invertir en protección de datos en la nube, servicios de ciberseguridad basados en la nube, controles de acceso, análisis de datos, etc. También investigan nuevas soluciones, como los controles de acceso, la seguridad de engaño y la biometría.

 

Incidentes de seguridad vs información privilegiada

En la región de EMEA, la percepción de los responsables de seguridad de que se están quedando cortos a la hora de abordar el riesgo cibernético parece ser real. Por ejemplo, el 35% de los incidentes de seguridad de EMEA en 2021 estaban involucrados empleados que fueron víctimas de phishing, u otras violaciones no maliciosas de la política de seguridad, probablemente a consecuencia de la migración a las redes de trabajo y de hogar remotas.

Los empleados no siempre han sido los culpables. Los individuos u organizaciones de terceros causaron el 33% de los incidentes de seguridad, seguidos de los riesgos empresariales inesperados que expusieron una vulnerabilidad (29%), como la pandemia mundial. Para agravar el problema, o tal vez debido a este, el mayor tiempo transcurrido antes de que se detectara un fallo de seguridad fue de 4,1 semanas para las organizaciones de la EMEA (4,3 semanas para las empresas y 3,7 semanas para las pymes). Esto es mejor que en las organizaciones de APAC (Asia y Pacífico), donde el tiempo de descubrimiento de los fallos de seguridad alcanzó 5,1 semanas de media, y 5,4 semanas en Norteamérica (6,3 semanas para las empresas y 4,7 semanas para las pymes).

Los incidentes en la cadena de suministro ha sido más frecuentes en las empresas de EMEA. El 26% de los responsables de seguridad de esta región citaron las violaciones de la cadena de suministro de software como la causa de incidentes de seguridad, más que en cualquier otra región. Un ataque a la cadena de suministro, o de terceros, se produce cuando alguien se infiltra en un sistema a través de un socio o proveedor externo que tiene acceso a sus sistemas y datos. Esto ha cambiado drásticamente la superficie de ataque de la empresa típica en los últimos años, ya que más proveedores y prestadores de servicios están tocando datos sensibles como nunca antes.

 

Las principales prioridades: estar preparado, seguro y atento

Teniendo en cuenta sus carencias, los ejecutivos de seguridad de EMEA han definido sus tres principales prioridades para los próximos 12 meses. Quieren mejorar la seguridad informática y de los datos para aumentar la resistencia de la empresa (47%), mejorar o aumentar la seguridad y la formación de los empleados (46%) y estar mejor preparados ante un incidente de seguridad (39%).

Estas prioridades tienen sentido porque abordan los principales retos a los que se enfrentaron los responsables de seguridad en 2021 y que les obligaron a reorientar su tiempo. Estos retos incluyen cumplir con las normativas de gobernanza y cumplimiento, como el GDPR (32%), y la concienciación y la formación de los empleados en materia de seguridad (28%), la seguridad de los servicios en la nube utilizados para operaciones y/o datos de la empresa (28%), y garantizar la privacidad/confidencialidad de los clientes (24%).

 

Respuestas en controles de acceso, engaño y biometría

Para cumplir con estas prioridades, los responsables de seguridad de la zona EMEA están investigando un arsenal de herramientas y soluciones de seguridad que mitigarán el riesgo. Los controles de acceso encabezan la lista de tecnologías que se están investigando en EMEA actualmente. Casi un tercio de los encuestados (32%) investigan activamente y el 11% está probando nuevas tecnologías. Además, el 32% ya tiene estas herramientas en producción y el 22% las está actualizando.

Esto tiene sentido porque los controles de acceso ayudarán a gestionar a los trabajadores remotos y el acceso de terceros a las redes y los datos, que son las causas de la mayoría de los de los incidentes de seguridad, según los encuestados. La tecnología del engaño también ha captado el interés de los responsables de seguridad de EMEA, con un 29% que investiga y el 14% prueba esta tecnología. Su objetivo es reducir el tiempo de permanencia de los atacantes en las redes y acelerar el tiempo medio para detectar y remediar las amenazas, mientras tratan de engañar a los atacantes, (mediante una colección distribuida de trampas y señuelos en la infraestructura de un sistema para imitar los activos genuinos). Si un intruso activa un señuelo el servidor, registrará y supervisará los vectores de ataque utilizados a lo largo de la duración de la intrusión.

Prioritario, revisar la nube

Alrededor del 28% de los encuestados de EMEA están investigando servicios de ciberseguridad basados en la nube para abordar los problemas que les han ocupado mucho tiempo, y el 12% está probando esta tecnología. Un servicio de ciberseguridad basado en la nube puede marcar muchas casillas en cuanto a la privacidad de los datos, manteniendo el cumplimiento de la normativa, proporcionando gobernanza, mientras supervisa la retención de datos y controla la autenticación y el acceso a los mismos.

La seguridad biométrica también se está investigando en el 27% de las organizaciones de EMEA, y el 15% ya está probando esta tecnología. La identificación biométrica, como el reconocimiento de voz, el escaneo de huellas dactilares, el reconocimiento facial y el reconocimiento del iris tienen un papel cada vez más importante en la seguridad cotidiana, porque las características físicas son relativamente fijas e individualizadas. La identidad biométrica única de cada persona puede utilizarse para sustituir, o al menos aumentar los sistemas de contraseñas para ordenadores y teléfonos.

Una vez que se obtienen los datos biométricos y se asignan, se guardan para cotejarlos con futuros intentos de acceso. La mayoría de las veces, estos datos se encriptan y se almacenan dentro del dispositivo o en un servidor remoto. La adopción de la biometría sigue enfrentándose a retos porque los dispositivos que conceden acceso biométrico han sido engañados en ocasiones (incluyendo el reconocimiento facial y la clonación de huellas dactilares) y los defensores de la privacidad personal temen que la seguridad biométrica la erosione y se están movilizando para frenar su uso.

 

La externalización de la seguridad cobra fuerza

A medida que aumentan las vulnerabilidades y los vectores de ataque, cada vez más responsables de TI consideran más fácil, y a menudo más seguro, dejar la seguridad en manos de los expertos. Actualmente, estos responsables de la zona EMEA afirman que subcontratan al menos algunas de sus funciones de seguridad (44%), y el 25% dice que o subcontrata o subcontratará todas sus funciones de seguridad informática en los próximos 12 meses. Cerca de un tercio (31%) de los encuestados de la zona no tiene planes de externalizar las funciones de seguridad en el próximo año.

Hoy por hoy, los servicios de seguridad informática que las organizaciones de EMEA tienen más probabilidades de externalizar son la gestión de la infraestructura de seguridad (39%), análisis de seguridad (38%), supervisión de la red (38%), la seguridad de las aplicaciones móviles (37%) y la supervisión de la nube/protección de datos en la nube (34%). Pero en los próximos 12 meses, podemos esperar ver la respuesta a los incidentes (31%), la educación/concienciación en seguridad (31%), la formación en seguridad (31%), el análisis de seguridad (28%) y la monitorización de puntos finales (28%) totalmente  externalizados.

Sin embargo, el 59% de las organizaciones sigue gestionando la mayoría de las funciones de seguridad de TI en la empresa con personal interno a tiempo completo, y se espera que ese porcentaje no cambie drásticamente en 2022. Lo más probable es que se recurra a contratistas y al aumento de personal, que representan el 16% de las funciones de seguridad hoy en día, se sustituirán por servicios externalizados.

 

El desglose del presupuesto

Si se observa el gasto global de los presupuestos de seguridad de los encuestados de EMEA, estos aseguran que casi un tercio del pastel (31%) se destinará a hardware y software in situ, y un 15% en personal de seguridad cualificado. La formación en materia de seguridad se lleva el 9% del presupuesto, por término medio, al igual que las soluciones de seguridad basadas en la nube (9%). El restante 36% se destinará a servicios: consultoría de seguridad servicios de supervisión, evaluación y respuesta a incidentes.

En cuanto a las tecnologías con las que los responsables de seguridad de EMEA tienen previsto aumentar su gasto en los próximos 12 meses, la protección de datos en la nube (41%) encabeza la lista, seguido de los servicios de ciberseguridad basados en la nube (36%), los controles de acceso (34%), análisis de datos (34%) y antivirus(32%).

 

Carencias al abordar los riesgos cibernéticos

El 88% de los responsables de seguridad opinan que su organización se está quedando corta a la hora de abordar los ciberriesgos, en la zona EMEA. Esta cifra es ligeramente inferior al 90% mundial. En lo que a las carencias se refiere, consideran que tienen dificultades para convencer a toda su organización, o a parte de ella, de la gravedad de los riesgos a los que se enfrentan (25%), que no se invierten suficientes recursos (presupuesto, personal, tecnologías, etc.) para abordar los riesgos a los que se enfrentan (24%), no son lo suficientemente proactivos en su estrategia de seguridad (22%), y que tienen una formación inadecuada en materia de seguridad (20%).

 

Preocupación por la seguridad de la tecnología operativa

La convergencia de la tecnología operativa (OT), la tecnología de la información y la pérdida de la histórica "brecha de aire" entre ambas, ha aumentado los riesgos de ransomware y otras vulnerabilidades de seguridad en sistemas aislados. Aunque las entidades de infraestructuras críticas suelen ser como las redes de paneles de energía solar, los sistemas de control de agua y sistemas de automatización de edificios (BAS) han sido objeto de ataques. Además, se utilizan las mismas técnicas contra los dispositivos del Internet de las Cosas (IoT).

Cerca de la mitad (47%) de las organizaciones de EMEA tienen un entorno de OT y el 38% afirma que está conectado a su entorno de TI. Debido a esto, el 30% dice que los riesgos para su entorno de OT están aumentando y el 26% afirma que este incluye tecnología que es difícil de proteger. Pensando en el gran riesgo que suponen las vulnerabilidades de su entorno OT, el 59% dice que son graves o significativas, mayor que el 38% del total (28% de Norteamérica y 40% de APAC).

En definitiva, frente a otras zonas del planeta, Europa, Oriente Medio y África se enfrentan a retos más amplios y complejos que el resto de zonas económicas, y los ciberdelincuentes han sabido dónde atacar para obtener un mayor rendimiento aprovechando la pandemia, y las carencias de seguridad TI que todavía quedan por atajar en el tercio euroafricano del la tierra. 

 



TE PUEDE INTERESAR...

LEGISLACIÓN

Luz verde a NIS2

Revistas Digitales

DealerWorld Digital

IDG Research

Registro:

Eventos:

 

Partnerzones