Las empresas españolas todavía tienen un importante margen de mejora en su capacidad para identificar, gestionar y responder a los riesgos digitales. Así lo refleja el informe Cómo gestionar mejor el riesgo digital: hacia una nueva etapa de la ciberrevolución, elaborado por Grant Thornton, según el cual el 45% de las compañías del middle-market nacional reconoce no ser plenamente consciente de la gravedad de los riesgos de ciberseguridad a los que está expuesta.
La preocupación aumenta cuando se analiza la capacidad de respuesta. El 70% de las empresas encuestadas admite no estar plenamente satisfecha con sus mecanismos para detectar y gestionar ciberataques, en un momento en el que las amenazas contra compañías e infraestructuras críticas continúan creciendo tanto en volumen como en sofisticación.
El estudio, basado en una encuesta a más de 4.000 directivos de 35 países, sitúa además a España por debajo de los estándares europeos e internacionales en materia de gestión del riesgo digital. El porcentaje de empresas españolas conscientes de sus propios riesgos se encuentra diez puntos por debajo de la media mundial y cuatro puntos por debajo de la registrada en la Unión Europea.
España, por debajo de Europa en la revisión de riesgos
Uno de los indicadores que refleja esta situación es la existencia de procesos sistemáticos para revisar los riesgos digitales. En España, el 61% de las empresas cuenta con este tipo de mecanismos, frente al 65% de la media europea y el 67% registrado a escala global.
Esta diferencia resulta especialmente relevante en un escenario en el que los ataques son cada vez más difíciles de detectar. Según recuerda Grant Thornton, casi la mitad de las empresas españolas ha sufrido algún ciberataque en los últimos años, aunque en muchos casos las propias organizaciones ni siquiera son conscientes de haber sido víctimas de un incidente.
Cristina Muñoz-Aycuens, socia de Forensic y Ciberseguridad de Grant Thornton España, advierte de que las organizaciones deben reforzar no solo sus herramientas tecnológicas, sino también sus modelos de gobierno, sus procesos internos y su capacidad de respuesta y recuperación ante incidentes.
Las pequeñas y medianas empresas aparecen, en este contexto, como uno de los colectivos potencialmente más expuestos. Su menor disponibilidad de recursos y de capacidades especializadas puede dificultar la adopción de medidas de protección al mismo ritmo que evoluciona el panorama de amenazas.
La IA abre nuevas vías de riesgo
La rápida incorporación de herramientas de Inteligencia Artificial añade una nueva capa de complejidad a la gestión de la ciberseguridad. La IA puede contribuir a mejorar las capacidades de defensa y automatización, pero también está siendo utilizada para sofisticar técnicas de fraude y otros ataques digitales.
A ello se suma el denominado uso no controlado de herramientas de IA por parte de los empleados. La introducción de información corporativa o datos sensibles en servicios externos puede generar nuevas vías de exposición y fuga de información, un riesgo que las organizaciones tendrán que abordar mediante políticas claras sobre el uso de estas tecnologías.
Precisamente, el factor humano continúa siendo uno de los principales puntos débiles. El 39% de las empresas encuestadas reconoce que la falta de claridad entre los empleados sobre sus responsabilidades en materia de riesgos digitales constituye su principal vulnerabilidad. Además, cerca del 20% admite que sus sistemas de gestión del riesgo están desfasados o no responden adecuadamente a sus necesidades.
Solo el 24% de las compañías asegura estar preparada para detectar nuevos riesgos de ciberseguridad, una cifra que pone de manifiesto las dificultades para anticiparse a un entorno tecnológico y de amenazas en permanente evolución.
Más regulación y mayor responsabilidad para las empresas
La presión para mejorar esta situación tampoco procede únicamente del incremento de los ciberataques. El marco regulatorio europeo está elevando progresivamente las obligaciones relacionadas con la ciberseguridad y la resiliencia digital.
Entre las principales iniciativas se encuentran la Directiva NIS2, dirigida a reforzar la ciberseguridad en sectores esenciales e importantes; el Reglamento DORA, centrado en la resiliencia operativa digital del sector financiero; y el Reglamento de Ciberresiliencia, que introduce requisitos de ciberseguridad para productos con elementos digitales a lo largo de su ciclo de vida.
Para Grant Thornton, este nuevo escenario regulatorio puede convertirse también en un elemento de impulso para la concienciación de las organizaciones. Los órganos de dirección tendrán una mayor responsabilidad en el cumplimiento de estas obligaciones, lo que previsiblemente obligará a muchas compañías a reforzar sus inversiones y estrategias de ciberseguridad.
De prevenir ataques a desarrollar capacidad de recuperación
El informe insiste en que la estrategia de ciberseguridad no puede limitarse a la prevención. Las empresas deben partir de un análisis de su situación real, identificando tanto los riesgos tecnológicos como los relacionados con sus procesos y con el comportamiento de la plantilla.
El objetivo es disponer de una visión clara de las vulnerabilidades de cada organización y construir, a partir de ahí, una estrategia capaz no solo de prevenir incidentes, sino también de anticiparlos, detectarlos, responder a ellos y recuperar la actividad cuando se produzcan.
Una cuestión especialmente relevante en un contexto en el que la inversión en ciberseguridad continúa siendo percibida por algunas organizaciones como un gasto sin retorno inmediato. Sin embargo, como recuerda el estudio, el coste de restaurar sistemas y recuperar la actividad después de un ataque puede ser muy superior cuando la inversión preventiva no se ha realizado a tiempo.
