La estrategia de seguridad reactiva plantea un reto importante para los CISO

Un nuevo estudio de F5 revela que solo el 51 % de las empresas cuenta con una estrategia de seguridad informática consolidada

SINGAPUR – Hoy, durante la Semana Internacional de la Ciberseguridad de Singapur, F5 Networks (NASDAQ: FFIV) ha publicado un informe exhaustivo sobre la evolución del papel del CISO y los enfoques de seguridad informática que están adoptando las organizaciones de todo el mundo ante un panorama de amenazas en constante cambio. El informe concluye que, a medida que la seguridad informática se convierte cada vez más en una prioridad, aumenta la influencia de los CISO dentro de las empresas; sin embargo, la estrategia de seguridad de muchas organizaciones sigue siendo en gran medida reactiva y aún no está alineada con las funciones empresariales.

El estudio, realizado por el Ponemon Institute, se basa en entrevistas a altos responsables de seguridad informática de 184 empresas de siete países: Estados Unidos, Reino Unido, Alemania, Brasil, México, India y China.

«Esta investigación ofrece una perspectiva única sobre cómo actúan los CISO en el complejo entorno actual», afirmó Mike Convertino, director de Seguridad de la Información de F5. «Está claro que los CISO están avanzando en la forma de dirigir la función de seguridad y en el papel de liderazgo que están asumiendo dentro de las empresas. Sin embargo, en muchas organizaciones, la seguridad informática aún no desempeña el papel estratégico y proactivo necesario para proteger plenamente los activos y defenderse de ataques cada vez más sofisticados y frecuentes».

Conclusiones principales

• Aumenta la responsabilidad de los CISO – Aunque los CISO tienen distintos grados de influencia entre los altos directivos de sus organizaciones, la mayoría desempeña un papel importante en la gestión de los riesgos de ciberseguridad de sus empresas, y su impacto es cada vez mayor. El 68 % de los encuestados afirma que los CISO tienen la última palabra sobre todo el gasto en seguridad informática, mientras que un porcentaje ligeramente inferior (64 %) señala que tienen influencia directa y autoridad sobre todos los gastos de seguridad de sus organizaciones. El 87 % de los encuestados indica que el presupuesto de seguridad informática ha aumentado significativamente (18 %), ha aumentado en cierta medida (29 %) o no ha cambiado (40 %).
  
• Falta de alineación con el negocio – Sigue siendo muy poco habitual contar con una estrategia de seguridad informática que abarque toda la empresa. El 58 % de los encuestados señala que la seguridad informática es una función independiente y solo el 22 % afirma que está integrada con otros equipos de negocio, mientras que el 45 % indica que su función de seguridad no tiene líneas de responsabilidad claramente definidas. El 75 % de los encuestados afirma que, debido a la falta de integración con las funciones empresariales, los conflictos entre áreas y los silos ejercen una influencia significativa (36 %) o cierta influencia (39 %) en las tácticas y estrategias de seguridad informática.
  
• El reconocimiento de la seguridad como prioridad empresarial es reactivo – El 60 % de los encuestados cree que sus organizaciones consideran la seguridad una prioridad empresarial; sin embargo, solo el 51 % afirma que su organización cuenta con una estrategia de seguridad informática y, de estos, únicamente el 43 % señala que dicha estrategia es revisada, aprobada y respaldada por otros altos ejecutivos. Los resultados indican que los cambios en los programas de seguridad son, en gran medida, reactivos, y que las filtraciones de datos importantes (45 %) y los ataques de ciberseguridad (43 %) son los dos principales acontecimientos que captan la atención de otros altos ejecutivos.
  
• Las crisis impulsan la influencia sobre la alta dirección – El 65 % de los encuestados afirma que los CISO se comunican directamente con los altos directivos, pero rara vez se abordan de forma estratégica todas las amenazas para la organización. Los encuestados también reconocieron que la comunicación con la alta dirección sobre incidentes de seguridad es limitada: el 46 % indicó que solo se informa al CEO y al consejo de administración de las filtraciones de datos importantes y los ciberataques, mientras que apenas el 19 % comunica a este grupo todas las filtraciones de datos.
  
• La IA es una posible solución a las necesidades de personal – La escasez de talento en seguridad informática sigue siendo una gran preocupación para los CISO. La plantilla media de personal de seguridad informática aumentará de 19 a 32 empleados a tiempo completo (o equivalente) durante los próximos dos años, y casi la mitad (42 %) considera que su dotación actual de personal es insuficiente. El 58 % afirma tener dificultades para contratar a profesionales de seguridad cualificados; los principales obstáculos son identificar y captar a candidatos cualificados (56 %) y la imposibilidad de ofrecer un salario acorde con el mercado (48 %). Estos retos están llevando a las empresas a buscar otras soluciones: la mitad de los encuestados (50 %) cree que el aprendizaje automático y la inteligencia artificial pueden paliar la escasez de personal, y el 70 % considera que estas tecnologías serán importantes para sus funciones de seguridad informática dentro de dos años.

Acerca de F5

F5 (NASDAQ: FFIV) hace que las aplicaciones sean más rápidas, inteligentes y seguras para las empresas, proveedores de servicios, administraciones públicas y marcas de consumo más grandes del mundo. F5 ofrece soluciones de nube y seguridad que permiten a las organizaciones adoptar la infraestructura de aplicaciones que elijan sin renunciar a la velocidad ni al control. Para obtener más información, visite f5.com. También puede seguir a @f5networks en Twitter o visitarnos en LinkedIn y Facebook para obtener más información sobre F5, sus socios y sus tecnologías.

F5 es una marca comercial o marca de servicio de F5 Networks, Inc. en Estados Unidos y otros países. Todos los demás nombres de productos y empresas mencionados en el presente documento pueden ser marcas comerciales de sus respectivos propietarios.

###

Este comunicado de prensa puede contener declaraciones prospectivas relativas a acontecimientos futuros o al rendimiento financiero futuro que conllevan riesgos e incertidumbres. Estas declaraciones pueden identificarse por el uso de términos como «puede», «hará», «debería», «espera», «planea», «prevé», «considera», «estima», «predice», «potencial» o «continuar», así como por sus formas negativas u otros términos comparables. Estas declaraciones son únicamente predicciones y los resultados reales podrían diferir sustancialmente de los previstos en ellas debido a diversos factores, incluidos los identificados en la documentación presentada por la empresa ante la SEC.