Proofpoint, compañía líder en ciberseguridad y cumplimiento normativo, ha presentado las conclusiones de un estudio, en el que han participado 150 CSOs (Chief Security Officers) y CISOs (Chief Information Security Officers) de organizaciones españolas, con el que ha querido tomar el pulso a la ciberseguridad centrada en las personas y cómo el actual panorama de amenazas está afectando a las empresas. A lo largo del informe se insiste en que proteger a los empleados frente a ciberamenazas inminentes nunca había sido tan necesario, teniendo en cuenta que el 87% de los encuestados reveló que su compañía había sufrido al menos un ataque en los últimos 12 meses, y que más de la mitad (53%) registró múltiples incidentes de seguridad. Aun así, solo un 20% de los CSOs y CISOs coincide plenamente en que la ciberseguridad ha sido una preocupación de los directivos de la empresa en 2020.
Resulta además que, durante este año, la migración masiva al teletrabajo, como reacción a la pandemia mundial de la Covid-19, no ha hecho sino aumentar la presión para los equipos de ciberseguridad. Más de la mitad de los encuestados (59%) considera que esta nueva forma de trabajar ha vuelto obsoletos sus sistemas y aplicaciones a la hora de defenderse de las ciberamenazas actuales, registrando en un 64% de los casos más ataques de phishing en los últimos 12 meses. Como consecuencia, casi siete de cada diez empresas españolas experimentan una sensación de mayor vulnerabilidad.
En este estudio de Proofpoint un 68% de los encuestados considera que el error humano y la falta de concienciación en materia de seguridad presentan el riesgo más importante para sus empresas. Sorprende asimismo que casi la mitad de las empresas españolas (43%) afirme que la filtración de datos o propiedad intelectual de forma deliberada (también conocida como amenaza interna maliciosa) pone en riesgo a su empresa, respecto a otros errores más comunes por parte de los empleados como hacer clic en enlaces maliciosos o descargar un archivo comprometido (47%), usar de forma no autorizada dispositivos, herramientas o aplicaciones (40%) o no tener una contraseña segura por no cambiarla o reutilizarla (34%).
Todo esto hace que las organizaciones españolas, pese a ser conscientes de que los cibercriminales están atacando sus negocios, se sientan poco capacitadas en materia de ciberseguridad. De hecho, solo un 23% de los líderes de TI cree firmemente que su empresa está preparada para un ataque. Nada más que un 7% de las organizaciones ha puesto en marcha un programa de concienciación completo sobre ciberseguridad tres veces al año o más, mientras que prácticamente mayoría (93%) forma a sus empleados en este aspecto dos veces al año o menos.
Entre las amenazas de mayor incidencia en España durante los últimos 12 meses destacan los ataques de suplantación y las amenazas internas maliciosas (ambas con un 37%), así como el ransomware (35%) y los ataques de denegación de servicio distribuido (33%). Dicha actividad de los ciberdelincuentes puede llegar a tener consecuencias devastadoras para las empresas, como la interrupción de la actividad, las pérdidas económicas y el impacto en la valoración de la empresa (un 45% en todos los casos), las fugas de datos (43%) y el daño reputacional (40%).
Ante un escenario tan cambiante, las organizaciones se ven abocadas a cambiar sus defensas y a reevaluar permanentemente sus prioridades. Y, en esta línea, más de la mitad (56%) de los CSOs y CISOs españoles se muestra optimista de que en los próximos dos años se produzca un aumento de la inversión para apoyar su estrategia en seguridad.
«En las organizaciones españolas es imprescindible contar con una estrategia de seguridad centrada en las personas, ya que los ciberdelincuentes se dirigen cada vez más a los usuarios en lugar de a la infraestructura con el objetivo de robar credenciales, tomar el control de datos sensibles y transferir fondos de manera fraudulenta», declara Fernando Anaya, Country Manager de Proofpoint. «En esta investigación que hemos realizado, donde el 36% de los líderes de TI en España cree que sus empleados convierten la empresa en vulnerable frente a ciberataques, la formación y la concienciación acerca de la seguridad, junto con controles y soluciones técnicas, pasan a ser una prioridad crítica que podría marcar la diferencia entre una tentativa de ataque y un ataque con éxito. Los ciberdelincuentes tienen un objetivo claro y mejoran constantemente sus habilidades. Si las organizaciones no hacen lo mismo, solo puede haber un ganador”.
