Digital Trust Insights 2023
Los negocios se enfrentan a un mundo en constante cambio e imprevisible. En los últimos años los líderes han llevado a sus empresas fuera de sus zonas de confort: de la oficina a lugares de trabajo remotos; a la nube; a lo largo de cadenas de suministro que son casi completamente digitales. Y con cada nuevo desafío han surgido nuevos riesgos cibernéticos. Según nuestra encuesta global Digital Trust Insights 2023, los CISO y los equipos de ciberseguridad han aceptado el desafío. Y los directivos de alto nivel se han unido a ellos porque son conscientes de que sus decisiones han aumentado la exposición a riesgos cibernéticos en sus organizaciones.
La digitalización convierte a la seguridad en un asunto de todos. El futuro promete más sistemas conectados con una cantidad de datos exponencialmente más alta, así como adversarios más organizados. Ante la constante expansión de los riesgos cibernéticos, los líderes empresariales tienen mucho más trabajo que hacer, en un entorno económico cada vez más difícil.
La ciberseguridad se ha convertido en un campo dinámico, que se adapta y cambia rápidamente para seguir el ritmo de las iniciativas empresariales. La agilidad es un componente clave para afrontar los desafíos que se avecinan, que son cada vez más difíciles. ¿Cómo puede seguir marcando la diferencia? ¿Dónde deben ejercer su influencia los CISO y los equipos de ciberseguridad para obtener mejores resultados?
Los CISO están saliendo de su rol de especialistas independientes en materia de ciberseguridad y pasan a colaborar con toda la dirección de alto nivel. El 42 % de los altos ejecutivos dice que los incidentes de ciberseguridad de sus sistemas han aumentado desde 2020. Más de una cuarta parte ha visto comprometida la seguridad de sus datos con importantes consecuencias en los últimos tres años y costos que superan el millón de dólares.
Para los CFO, las consecuencias más devastadoras de un incidente de ciberseguridad (distinto de una filtración de datos) son:
Para los ejecutivos responsables de la privacidad y los datos los peores efectos de un incidente de ciberseguridad son:
Estos acontecimientos críticos pueden impulsar la colaboración al aumentar la conciencia acerca de las consecuencias negativas que se derivan de un único incidente, con un efecto dominó desde los sectores operativos hasta el nivel directivo de la empresa, e instar a todos los directivos de alto nivel a actuar en conjunto.
Te presentamos algunos de los resultados más destacados de los respondientes en Argentina, América Latina y a nivel global.
Las organizaciones saben que los riesgos relacionados al ciberdelito van en aumento. Los atacantes son cada vez más sofisticados, sondean nuestros sistemas y redes buscando vulnerabilidades. Incluso hoy existe una marcada tendencia de ataques sobre infraestructuras industriales (IoT, OT, y otras). Cualquiera sea el motivo, desde un servidor desprotegido hasta una falla en el código que controla el acceso a las carteras criptográficas, los ciberdelincuentes utilizan todos los medios a su disposición, tanto tradicionales como ultra sofisticados, para explotarlos. Las consecuencias de un ataque aumentan a medida que las interdependencias de nuestros sistemas se vuelven cada vez más complejas.
Las infraestructuras críticas son especialmente vulnerables y muchos de los ciberataques que estamos viendo todavía se pueden prevenir con prácticas de ciberseguridad sólidas y controles estrictos.
El 65% de las organizaciones en el mundo prevé aumentar sus inversiones en ciberseguridad para 2023, para la región de Latinoamérica la previsión de aumento es del orden del 66% y en el caso de Argentina corresponde a un 48%.
A nivel global, más de una cuarta parte (23%) estima un aumento del gasto cibernético de entre un 6 y 10%, mientras que en Latinoamérica la cifra es mayor (20%) y para los encuestados en el país es del 11%.
Solo el 13% indicó un gasto igual al del año pasado (a nivel global), en tanto que para Latinoamérica dicha opción representó un 11% y para los respondientes argentinos fue del 20%.
Al ser consultados, ¿en qué medida las siguientes afirmaciones, representan el presupuesto de ciberseguridad de la organización para los próximos 12 meses?
Está alineado con la estrategia del negocio, refleja las prioridades cyber, y está equilibrado entre las necesidades actuales y a largo plazo fueron las tres afirmaciones que más alto rankearon para los ejecutivos argentinos (gráfico 2)
Las amenazas en materia de ciberseguridad son amplias y van en aumento junto con la digitalización y complejización de los sistemas.
Tanto los encuestados a nivel global, América Latina y Argentina coincidieron en que el aumento de la exposición de la organización a los ciberataques debido a la creciente digitalización fue una de las situaciones que más han experimentado desde el año 2020 (Tabla 3)
Tabla 3 ¿Cuál de las siguientes situaciones ha experimentado su organización desde el 2020?
|
Global | América Latina | Argentina |
Aumento de la exposición de la organización a los ciberataques debido a la creciente digitalización (por ejemplo, la migración a la nube, el paso al comercio electrónico y los métodos de prestación de servicios digitales, el uso de monedas digitales, la convergencia de la tecnología informática y operativa, etc.) | 1.° | 1.° | 1.° |
Desafíos en la calidad de los informes internos sobre la exposición cibernética de la organización | 2.° | 2.° | 5.° |
Aumento de la demanda externa de divulgación de incidentes y prácticas cibernéticas | 3.° | 3.° | 4.° |
Aumento de las brechas cibernéticas en nuestros sistemas | 4.° | 4.° | 3.° |
Cambios en el entorno geopolítico que han convertido a nuestra organización en un objetivo | 5.° | 6.° | 6.° |
Aumento de las investigaciones reglamentarias o de las medidas de ejecución o de los litigios | 6.° | 5.° | 2.° |
El 72% de los respondientes argentinos manifestó que los ciberdelincuentes esperan que afecte significativamente su organización en 2023.
El 63% de los ejecutivos argentinos aseguró que a través de la ingeniería interna o social los ciberdelincuentes esperan que afecten significativamente sus organizaciones en 2023.
Diversos países cuentan con legislaciones que prevén el reporte obligatorio de incidentes de seguridad de la información, al menos en situaciones críticas. Esto genera dudas en las estructuras directivas de las diferentes corporaciones que tienen la disyuntiva que por un lado, informar los ataques implica exponer sus condiciones de vulnerabilidad, con las consecuencias inmediatas en el negocio, o reservarse dichos ataques aunque el costo sea alto, lo que daña el trabajo conjunto para mitigar posibles concatenaciones de eventos en otras organizaciones.
Incluso antes que este planteamiento existe otro que habla de la responsabilidad de la gestión de dichos incidentes por roles de la organización. Esto implica variaciones en cuanto a quién es el responsable y de qué acciones, en cada organización como lo demuestran las cifras a continuación.
Es relevante en el gobierno corporativo de la seguridad tener muy claro los roles y responsabilidades de cada parte y función específica en referencia a la seguridad de la información.
Tabla 8: ¿Cuál de los siguientes aspectos marcará la mayor diferencia en la transformación de la ciberseguridad en su organización en los próximos 12 a 18 meses?
Argentina | América Latina | Global | |
1° | Garantizar que todos los empleados que no se dedican a la ciberseguridad comprendan las posibles consecuencias de sus acciones | Garantizar que todos los empleados que no se dedican a la ciberseguridad comprendan las posibles consecuencias de sus acciones | Garantizar que todos los empleados que no se dedican a la ciberseguridad comprendan las posibles consecuencias de sus acciones |
2° | Liderazgo que impulsa la ciberseguridad en toda la organización | Liderazgo que impulsa la ciberseguridad en toda la organización | Reforzar nuestras capacidades de análisis de datos sobre actividades de ciberseguridad y de privacidad |
3° | Construir una defensa en profundidad | Reforzar nuestras capacidades de análisis de datos sobre actividades de ciberseguridad y de privacidad | Liderazgo que impulsa la ciberseguridad en toda la organización |
4° | Concientizar a la junta directiva sobre los riesgos de ciberseguridad | Concientizar a la junta directiva sobre los riesgos de ciberseguridad | Consolidación de las soluciones tecnológicas de la empresa para lograr una infraestructura tecnológica más sencilla |
5° | Reforzar nuestras capacidades de análisis de datos sobre actividades de ciberseguridad y de privacidad | Reforzar la coordinación entre los equipos de TI y de seguridad y operaciones | Concientizar a la junta directiva sobre los riesgos de ciberseguridad |
6° | Reforzar la coordinación entre los equipos de TI y de seguridad y operaciones | Consolidación de las soluciones tecnológicas de la empresa para lograr una infraestructura tecnológica más sencilla | Resolver las carencias de talento en nuestro equipo de ciberseguridad |
7° | Consolidación de las soluciones tecnológicas de la empresa para lograr una infraestructura tecnológica más sencilla | Construir una defensa en profundidad | Construir una defensa en profundidad |
8° | Resolver las carencias de talento en nuestro equipo de ciberseguridad | Resolver las carencias de talento en nuestro equipo de ciberseguridad | Reforzar la coordinación entre los equipos de TI y de seguridad y operaciones |
Tanto los encuestados a nivel global, América Latina y Argentina coincidieron en que garantizar que todos los empleados que no se dedican a la ciberseguridad comprendan las posibles consecuencias de sus acciones, marcará la mayor diferencia en la transformación de la ciberseguridad en su organización en los próximos 12 a 18 meses (tabla 8)
La resiliencia cibernética es un concepto que une la continuidad del negocio, la seguridad de los sistemas de información y la resiliencia organizacional.
El concepto describe la capacidad de continuar brindando los resultados previstos a pesar de experimentar eventos cibernéticos desafiantes, como ciberataques, desastres naturales o recesiones económicas. En otras palabras, un nivel medido de competencia y resiliencia en seguridad de la información afecta qué tan bien una organización puede continuar las operaciones comerciales con poco o casi ningún tiempo de inactividad.
Una estrategia de resiliencia cibernética es vital para la continuidad del negocio. Puede brindar beneficios más allá de aumentar la postura de seguridad de una empresa y reducir el riesgo de exposición a su infraestructura crítica.
La resiliencia cibernética también ayuda a reducir las pérdidas financieras y los daños a la reputación. Y si una organización recibe la certificación de resiliencia cibernética, puede generar confianza en sus clientes y usuarios. Además, una empresa con resiliencia cibernética puede optimizar el valor que crea para sus clientes, y aumenta su ventaja competitiva mediante operaciones eficaces y eficientes.
Clasifique los principales escenarios principales que está incorporando formalmente en sus planes de resiliencia organizacional para los próximos 12 a 24 meses.
Argentina | América Latina | Global | |
1° | Un ciberataque catastrófico | Un ciberataque catastrófico | Un ciberataque catastrófico |
2° | Entorno inflacionario | Recesión global | Recesión global |
3° | Inestabilidad social | Un rebrote del COVID-19 o una nueva crisis sanitaria | Un rebrote del COVID-19 o una nueva crisis sanitaria |
4° | Rotación significativa en nuestra fuerza laboral | Entorno inflacionario | Entorno inflacionario |
5° | Recesión global | Inestabilidad social | Cuellos de botella en la cadena de suministro |
6° | Aplicación de sanciones | Un nuevo conflicto geopolítico | Un nuevo conflicto geopolítico |
7° | Un desastre natural o un evento climático extremo | Volatilidad del mercado de materias primas | Volatilidad del mercado de materias primas |
8° | Una crisis alimentaria | Contracción del crédito / acceso significativamente reducido al capital | Contracción del crédito / acceso significativamente reducido al capital |
9° | Cuellos de botella en la cadena de suministro | Rotación significativa en nuestra fuerza laboral | Rotación significativa en nuestra fuerza laboral |
10° | Volatilidad del mercado de materias primas | Un desastre natural o un evento climático extremo | Inestabilidad social |
11° | Un rebrote del COVID-19 o una nueva crisis sanitaria | Cuellos de botella en la cadena de suministro | Un desastre natural o un evento climático extremo |
12° | Contracción del crédito / acceso significativamente reducido al capital | Aplicación de sanciones | Aplicación de sanciones |
13° | Un nuevo conflicto geopolítico | Una crisis alimentaria | Una crisis alimentaria |
Entendemos que de cada uno de los aspectos que analizamos en esta encuesta se desprende que los recursos (presupuesto, especialistas, capacitación, etc.), y las segregaciones de funciones (roles de la gestión de la seguridad de la información), son una tendencia importante y relevante pero necesita rápidamente alinearse a la demanda de las estrategias del negocio, porque es la única y más eficiente manera de enfrentar las amenazas y minimizar el impacto.
Es crucial para las organizaciones, entender que además de estar preparadas para el enfrentamiento directo con las amenazas mediante la gestión de los incidentes, deberán poder ofrecer contingencia y tratamiento a los ataques, es decir contar con una resiliencia organizacional acorde a las líneas de negocio y estrategias comerciales.
No basta con evitar, sino estar preparados para un escenario desalentador. Prever, planificar y organizar, actuar en las situaciones, pero también ser resilientes. Es por ello que tiene un papel fundamental la capacitación y la concientización, tanto de los colaboradores de las organizaciones , como de sus aliados estratégicos comerciales, operativos o proveedores de servicios como parte de las cadenas de servicio.
La capacitación del staff, los directivos y de los equipos de respuesta para crisis debe ser permanente.
Asimismo, la inclusión de un rol clave en todo el negocio, hasta ahora casi desapercibido, el cliente, puesto que se están intensificando los ciberataques con base en la ingeniería social, dirigidos a los clientes de las organizaciones y han desarrollado tácticas efectivas que en definitiva afectan a las empresas, por lo que será necesario también mantener a los clientes informados y capacitados.
La digitalización convierte a la seguridad en un asunto de todos. El futuro promete más sistemas conectados con una cantidad de datos exponencialmente más alta, así como adversarios más organizados.
Los acontecimientos críticos pueden impulsar la colaboración al aumentar la conciencia acerca de las consecuencias negativas que se derivan de un único incidente, con un efecto dominó desde los sectores operativos hasta el nivel directivo de la empresa, e instar a todos los directivos de alto nivel a actuar en conjunto. Como resultado, los directivos han reafirmado su decisión de mejorar en materia de ciberseguridad y privacidad. Y para lograrlo, están empezando a comprender la necesidad de adoptar un esquema coordinado de trabajo. Este esquema tiene como centro al CISO, autorizado por el CEO a colaborar y defender a la empresa de los ataques cibernéticos y orquestar una mejor estrategia de ciberseguridad de cara al futuro.
La encuesta Global Digital Trust Insights 2023 (antes Encuesta Global de Seguridad de la Información (GISS) fue realizada por PwC entre julio y agosto de 2022. Los resultados analizados en este informe se basan en las respuestas de 3.522 ejecutivos de negocios, tecnología y seguridad (CEO, CFO, CISO y CIO) en 65 países.