El estado de la ciberseguridad en España

Es revelador ver cómo hay consenso entre los CISO en que, cuando la Dirección se implica en la ciberseguridad, esta mejora de manera mucho más significativa que con cualquier otra palanca.

Una consecuencia evidente de la sensibilización en ciberseguridad llevada a cabo con la Dirección en años recientes es haber conseguido esa participación más activa.

Dada la dificultad de alcanzar un nivel elevado de experiencia en todas las capacidades de ciberseguridad por las propias empresas, el respaldo de terceros expertos se vuelve esencial. Estos aportan una perspectiva más especializada que puede ser valiosa en la identificación y mitigación de riesgos emergentes y en un mayor aprovechamiento de nuevas tendencias.

La oportunidad para mejorar la integración de la ciberseguridad en las operaciones de negocio se refleja en que solo el 35% de las organizaciones logra una involucración real y efectiva de Negocio en estos procesos.

Además, tomando como analogía los roles de una matriz RACI, se puede concluir que, en muchas empresas, el negocio es tratado como un rol más tipo Consulted o informed pero no como el Responsible o Accountable de la ciberseguridad que realmente es. Las prácticas recientes y regulaciones emergentes, como el Código del Buen Gobierno de la Ciberseguridad de la CNMV, la Directiva NIS2 y legislaciones como DORA o CROE, están subrayando la necesidad de un cambio en este enfoque.

Actualmente, solo una minoría de las empresas ha implementado con éxito un modelo más garantista de ciberseguridad, alineado por defecto (by default) con el negocio. La mayoría aún opera bajo un enfoque “by design” o transversal, sin una especialización concreta, lo que es un modelo insuficiente en relación con los desafíos ya analizados al inicio de este módulo.

En este contexto, se identifica una oportunidad clara: el modelo actual “by design” debe evolucionar hacia un enfoque “by default”, en el que la ciberseguridad se integre de manera intrínseca y natural en todas las facetas del negocio desde la base. Esta transición es fundamental para garantizar una protección más efectiva y alineada con los objetivos y desafíos empresariales.

El control efectivo de la ciberseguridad en la cadena de suministro, identificado como una de las tres principales preocupaciones, representa un desafío significativo: solo un pequeño porcentaje de organizaciones logra realizar revisiones exhaustivas (mecanismos de Zero Trust o pruebas avanzadas con los terceros). En oposición, una proporción considerable de empresas opta por no aplicar controles rigurosos, confiando en la buena fe de sus asociados, mediante cuestionarios de autoevaluación.

Esta situación se deriva también de la dificultad y el coste relativo de realizar una gestión sólida de terceros, de ahí que, actualmente, predominen las medidas más procedimentales que las técnicas. Un último añadido proviene de la dificultad de exigir medidas específicas a grandes proveedores tecnológicos (los grandes players casi en situación de oligopolio).