El incremento y la sofisticación de los ciberataques realizados contra empresas e infraestructuras clave han puesto de manifiesto la necesidad de reforzar la inversión en ciberseguridad y, especialmente, las capacidades de prevención, detección, respuesta y recuperación ante incidentes.
Casi la mitad de las empresas del mercado intermedio nacional (45%) reconoce no ser plenamente conscientes de la gravedad de los riesgos digitales a los que está expuesta. Asimismo, el 70 por ciento admite no estar plenamente satisfecha con su capacidad para detectar y gestionar ciberataques.
Estas son algunas de las conclusiones del informe 'Cómo gestionar mejor el riesgo digital: hacia una nueva etapa de la ciberrevolución', elaborado por Grant Thornton a partir de una encuesta realizada a más de 4.000 directivos en 35 países, incluido España.
El documento refleja el margen de mejora que tiene España en esta materia: el porcentaje de empresas que es consciente de sus propios riesgos digitales se sitúa 10 puntos porcentuales por debajo de la media global y 4 puntos por debajo del conjunto de la Unión Europea.
Además, según los datos del informe, en España el 61 por ciento de las empresas cuentan con un proceso para revisar todos los riesgos digitales, aunque se sitúa por detrás del conjunto de Europa (65%) y del resto del mundo (67%).
Los expertos de la firma especializada en servicios de auditoría y consultoría señalan que no suele ser sencillo inculcar a las empresas la necesidad de invertir en ciberseguridad porque no se percibe un retorno rápido. Sin embargo, advierten de que el coste de restaurar sistemas cuando se sufre un ciberataque es exponencialmente mayor cuando no se ha acometido una inversión en ciberseguridad.
Es mayor si interviene la inteligencia artificial, pues se ha convertido en "una herramienta que puede sofisticar las técnicas que se utilizan para acometer distintos fraudes en el ámbito digital", lo que, para el socio experto en Derecho Digital y DPO de Grant Thornton Eloi Font requiere "establecer políticas que definan en la empresa qué uso se dará a la IA" e incluso si se debe contar con una IA propia.
En este sentido, el 39 por ciento de las empresas encuestadas reconoce que el hecho de que sus empleados no tenga claro de qué riesgos son responsables es su principal punto débil a la hora de gestionar ciberriesgos.
Además, casi el 20 por ciento reconoce que sus sistemas de gestión de riesgos digitales están desfasados o no están adecuados para los fines que persiguen. De igual forma, solo el 24 por ciento asegura estar preparada para detectar nuevos riesgos en materia de ciberseguridad.
A ello se suma el riesgo derivado del uso no controlado de herramientas de IA por parte de los empleados, que puede generar nuevas vías de fuga de información, exposición de datos sensibles o incorporación de información corporativa a servicios externos.
La Unión Europea ha reforzado en los últimos años las obligaciones en materia de ciberseguridad y resiliencia digital, con iniciativas como la Directiva NIS2, orientada a elevar el nivel común de ciberseguridad en sectores esenciales e importantes; el Reglamento DORA, dirigido a reforzar la resiliencia operativa digital del sector financiero; y el Reglamento de Ciberresiliencia, que establece requisitos obligatorios de ciberseguridad para los productos con elementos digitales comercializados en los países miembro durante todo su ciclo de vida.
No obstante, para Eloi Font, "la regulación puede ser positiva para impulsar la concienciación en esta materia, especialmente, de los órganos de dirección", pero las empresas siguen necesitando "invertir para cumplir con todas estas obligaciones regulatorias".
