Hace años, cuando la ciberseguridad empezó a ser una preocupación para las empresas, los expertos del sector rumiaban que una de las puertas de acceso para los malhechores digitales se abría por parte de los propios empleados. Y eso no ha cambiado mucho con el paso del tiempo.
La falta de recursos y la falsa sensación de seguridad se mantienen como un problema en materia de ciberseguridad para las empresas. Así lo refleja el ‘Informe del estado de cultura de ciberseguridad en el entorno empresarial’, elaborado por el área de Cyber Risk Culture (CRC) de PwC España, que ha sido presentado este martes en ESIC.
Los datos son poco alentadores, sobre todo, por la disparidad en la gestión debido al tamaño de las empresas. El informe destaca que las compañías que disponen de un mayor nivel de cultura en ciberseguridad son aquellas con más de 10.000 empleados -debido a que cuentan con una mayor cantidad de recursos y mayor grado de exposición a los riesgos y amenazas derivados del factor humano-; con un mayor nivel de ingresos (más de 5.000 millones de euros) -tanto por el control del cumplimiento de la legislación, los estándares en los que se certifican, así como por los procesos internos seguramente más estrictos-, así como aquellas ubicadas tanto en Cataluña como en Madrid.
Actualmente, alrededor del 95% de los ciberataques que sufren las empresas tienen su origen en el factor humano, ya sea por desconocimiento o por error. Una cultura de ciberseguridad en las empresas ayuda a hacer entender que las recomendaciones de seguridad de la información son una parte integral del trabajo, los hábitos y la conducta de los empleados, incorporándolas en sus acciones diarias. El documento sostiene que adoptar el enfoque correcto para la seguridad de la información permite que una cultura de ciberseguridad se desarrolle naturalmente a partir de los comportamientos y actitudes de los empleados, y como parte de la cultura organizacional más amplia de una empresa.
UNOS DATOS MEJORABLES
El informe analiza el nivel de cultura medio de ciberseguridad que existe actualmente en las empresas en España desde diferentes perspectivas, situándolo en 2,8 sobre un rango de valores de 1 a 5, lo que implica que existe un margen de mejora importante en la cultura de ciberseguridad actual. Esto significa que el sector empresarial español está en proceso de tomar conciencia de la necesidad de establecer un plan de cultura, capacitación y concienciación en ciberseguridad.
Asimismo, el informe analiza el nivel actual de las organizaciones en base a cuatro campos: Estrategia, Conocimiento, Comportamiento, y Perspectiva futura. En cuanto a la Estrategia, el documento sostiene que el 42% de las organizaciones ya dispone de un rol o un comité ligado a la formación y la capacitación en seguridad de las compañías, mientras que el 48% de las organizaciones tiene un rol o un comité ligado a la concienciación en seguridad. Sin embargo, el 60% no considera la seguridad como uno de sus valores, o bien no lo refleja claramente en sus políticas o prácticas generales.
Respecto al Conocimiento, el análisis concluye que, en general, las compañías ofrecen formación en ciberseguridad a los empleados, así como ejercicios de simulación de ataques, especialmente phishing. Sin embargo, solo el 9% de las organizaciones disponen de un procedimiento para medir el conocimiento de los profesionales de ciberseguridad, lo que dificulta el establecimiento de planes de formación adecuados a la organización y sus diferentes colectivos.
Por su parte, en referencia al Comportamiento, el estudio sostiene que el 84% de las organizaciones no es capaz de medir, o no puede medir de forma homogénea, el nivel de concienciación de los empleados; y que el 70% tampoco miden el éxito de las campañas de concienciación que realizan. Asimismo, el informe indica que el presupuesto medio aplicado a formación y concienciación se corresponde con un 9% del presupuesto en Seguridad de la Información de la Compañía; y añade que el 64% de las organizaciones considera que el presupuesto aplicado en Formación y Concienciación es escaso respecto a la importancia del área.
Finalmente, en relación con la Perspectiva futura, el informe subraya la creciente importancia del factor humano para conseguir una correcta ciberseguridad de las compañías. Así, el 93% de los encuestados considera que la concienciación de los empleados es una medida relevante o muy relevante; y el 95% de las compañías ya disponen, tienen planificado generar o están considerando generar un Plan de Concienciación para empleados.
