La ciberseguridad en las pequeñas y medianas empresas (pymes) requiere atención urgente, dado que representan el 90% de las empresas del mundo, el 70% del empleo global y el 50% del PBI mundial, según el Foro Económico Mundial.
Un nuevo informe de ESET detalla la postura de preparación y los principales desafíos de este sector.
Para estas organizaciones, la resiliencia cibernética es la capacidad de continuar operando y recuperarse durante un incidente grave. La preparación consiste en implementar procesos y controles que permitan prevenir, detectar y responder a amenazas.
“En muchos aspectos, las pymes no difieren de las grandes empresas. Enfrentan un panorama de amenazas que evoluciona rápidamente, con adversarios que aprovechan las tecnologías más recientes para aumentar el volumen, la escala y la velocidad de los ataques”, comenta Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.
“La superficie de ataque corporativa se amplía con cada nueva herramienta digital y cada inversión tecnológica. Los empleados siguen siendo una fuente de riesgo. Y las empresas deben cumplir con un número creciente de exigencias regulatorias”, añadió.
El 45% de las pymes sufrió un incidente de seguridad el año pasado, y el 61% teme sufrir un ataque en los próximos 12 meses. Las principales preocupaciones son la pérdida de datos, la interrupción operativa y el impacto financiero, problemas compartidos con corporaciones globales.
La seguridad debe funcionar como una condición integrada en la cultura y operaciones del negocio, no como una función aislada. Esto es clave debido a que el 34% de las pymes necesita entre dos y seis semanas para resolver un incidente, un impacto operativo severo.
El informe revela que el 73% de las pymes está incorporando inteligencia artificial en su negocio, reconociendo que introduce nuevos riesgos. Existe temor sobre su uso malicioso; el malware impulsado por IA es mencionado como la amenaza más preocupante.
Sin embargo, desde la empresa señalan que el malware que utiliza IA de forma automatizada y en tiempo real sigue siendo poco común en la práctica. Los casos observados son escasos, ubicándose más como tema de investigación que como amenaza inmediata.
El phishing y las vulnerabilidades sin parchear encabezan los incidentes, señalados por Verizon entre los tres principales vectores de acceso inicial. Las contraseñas débiles y la falta de monitoreo de seguridad también ocupan posiciones destacadas en los datos recabados.
El shadow AI es la tercera acción interna no maliciosa más común según el DBIR. La IA y la automatización ayudan a los atacantes a mejorar la ingeniería social y la explotación de vulnerabilidades tradicionales. Las pymes muestran interés en usar IA para mitigar ataques con rapidez y anticipar riesgos.
Las empresas que adoptan programas de concientización muestran mayor preparación. La adopción de capacitación es más alta en firmas que sufrieron múltiples incidentes (81% frente a 53%). Cuatro de cada cinco encuestados consideran suficiente su presupuesto y la mitad espera incrementos el próximo año.
La confianza de las pymes en su resiliencia aumentó del 48% en 2022 al 87% este año. Las recomendaciones se centran en tecnologías preventivas, evaluaciones de riesgo periódicas, respuesta ágil a incidentes, externalización mediante servicios de detección y respuesta gestionadas (MDR) y mejora de la gobernanza de IT para mitigar el shadow IT.
Una cuarta parte afirma que contar con más fondos mejoraría su postura con rapidez, ante desafíos de complejidad e integración. Los encuestados buscan servicios confiables, completos y fáciles de usar.
“Si realmente se busca mejorar la preparación cibernética de las pequeñas empresas, la comunidad de proveedores debería asumir un rol más activo. Aún así, no existe una solución única”, concluye Micucci.
“Las pymes han demostrado que están bien encaminadas hacia una mayor resiliencia, pero este es un proceso continuo que evolucionará junto con la tecnología y las amenazas. La vigilancia constante y la capacidad de adaptación serán claves a largo plazo”, puntualizó el investigador.
