Más de la mitad (52%) de los CISOs ha invertido en la formación de los empleados en mejores prácticas de seguridad
El error humano continúa siendo percibido como el talón de Aquiles de la ciberseguridad, con tres cuartas partes (75%) de los CISO en España identificándolo como la vulnerabilidad más significativa. En un año en el que han aumentado las amenazas internas y la pérdida de datos provocada por las personas, más CISO que nunca ven el riesgo humano, y en particular a los empleados negligentes, como una preocupación clave en materia de ciberseguridad en los próximos dos años.
Sin embargo, hay un creciente optimismo en el papel de las soluciones basadas en IA para mitigar los riesgos centrados en las personas, lo que refleja un giro estratégico hacia las defensas basadas en la tecnología. Estas han sido las principales conclusiones del informe Voice of the CISO 2024 de Proofpoint que ha analizado los principales retos, expectativas y prioridades de los responsables de ciberseguridad (Chief Information Security Officers o CISO) de todo el mundo.
Sube en el nivel de confianza en las medidas de seguridad
El estudio de Proofpoint ha advertido que los CISO demuestran una creciente confianza en sus medidas de seguridad. En este sentido, en 2024, el 61% de los CISO encuestados siente que hay un riesgo de sufrir un ciberataque en los próximos 12 meses, comparado con el 72% en 2023 y el 31% en 2022. Sin embargo, el 54% considera que su organización no está preparada para enfrentar un ciberataque dirigido, un descenso respecto al 64% en 2023.
En cuanto a la IA generativa, los CISO han afirmado que es una de las principales preocupaciones de seguridad para los directores de seguridad españoles. En 2024, el 62% de los CISO encuestados considera que la IA generativa representa un riesgo de seguridad para su organización. Los tres principales sistemas que creen que introducen riesgo para sus organizaciones son Microsoft 365 (46%), Slack/Teams/Zoom/u otras herramientas de colaboración (42%), y ChatGPT/u otra IA generativa (43%).
Los empleados, en el punto de mira
La rotación de empleados sigue siendo una preocupación, pero los CISO en España confían en sus defensas. En 2024, el 46% de los responsables de seguridad reportaron haber sufrido la pérdida de datos confidenciales en los últimos 12 meses, y el 70% de ellos atribuyó esta pérdida a la salida de empleados. A pesar de esto, el 82% de los CISO cree que cuenta con controles adecuados para proteger sus datos.
Fernando Anaya, country manager de Proofpoint en España y Portugal, ha resaltado que “a medida que navegamos a través de las complejidades del entorno actual de las ciberamenazas, es alentador ver que los CISO están ganando confianza en sus estrategias y herramientas. Sin embargo, los desafíos persistentes por la rotación de empleados, la presión sobre los recursos y la necesidad de un compromiso continuo de la junta nos recuerdan que la vigilancia y la adaptación son claves para nuestra ciberresiliencia colectiva”.
La mayoría de los CISO españoles ha adoptado tecnología DLP y ha incrementado la formación en seguridad. El 44% de los CISO encuestados en 2024 cuenta con tecnología de prevención de pérdida de datos (DLP), frente al 41% en 2023. Más de la mitad (52%) de los Information Security Officers ha invertido en la formación de los empleados en mejores prácticas de seguridad, un aumento respecto al 42% en 2023.
El pago de rescates y el ‘ransomware’
El malware y el ransomware encabezan las preocupaciones de los CISO españoles. Las principales amenazas a la ciberseguridad percibidas por los CISO en España en 2024 son el malware (43%), los ataques de ransomware (33%) y el fraude por correo electrónico (BEC) (33%). Estas prioridades han cambiado con respecto al año pasado, cuando las mayores preocupaciones eran las amenazas internas (negligentes, accidentales o criminales), el fraude por correo electrónico y los ataques a la cadena de suministro.
En este contecto, Proofpoint ha asegurado que los CISO mantienen una postura firme sobre el pago de rescates y dependen más de los ciberseguros. En 2024, el 63% (64% en 2023) de los CISO en España cree que su organización pagaría para restaurar los sistemas y evitar la liberación de datos en caso de un ataque de ransomware. El 81% de los CISO confía en las reclamaciones de seguros para recuperar las pérdidas potenciales, en comparación con el 65% en 2023.
Las presiones que sufren los CISO
La relación entre el Consejo y los CISO en España ha mejorado significativamente. En 2024, el 87% de los CISO está de acuerdo en que los miembros de la junta directiva están alineados con ellos en cuestiones de ciberseguridad, un aumento significativo desde el 68% en 2023 y el 40% en 2022.
Por último, el del informe Voice of the CISO 2024 de Proofpoint ha destacado las incesantes presiones sobre los CISO españoles. En 2024, el 60% de los CISO admitió estar agotado, frente al 62% del año pasado. El 61% considera que enfrenta expectativas excesivas, un incremento respecto al 60% del año pasado y el 51% en 2022. La sostenibilidad de estas expectativas continúa siendo un reto: al 76% le preocupa la responsabilidad personal (66% en 2023) y el 81% (69% en 2023) no se uniría a una organización que no ofrezca cobertura de seguro a los directivos.
Además, el 64% de los CISO ha afirmado que la actual recesión económica ha obstaculizado su capacidad para realizar inversiones clave para el negocio, y al 52% de ellos se les ha pedido que recorten personal o retrasen contrataciones, así como que reduzcan presupuestos de seguridad.
