Más de la mitad de las empresas desconocen si sus soluciones de ciberseguridad están haciendo un buen trabajo o no. Según el nuevo informe del Ponemon Institute y AttackIQ, titulado “The Cybersecurity Illusion” (La ilusión de la ciberseguridad): El Emperador no tiene ropa”.
Basado en una encuesta de 577 trabajadores de seguridad de TI de empresas estadounidenses, el informe indica que los presupuestos de ciberseguridad están aumentando, pero no la concienciación general.
Cada año, las empresas gastan aproximadamente 18 millones de dólares en soluciones de ciberseguridad, y más de la mitad planea aumentar sus presupuestos el próximo año. Sin embargo, una vez que la configuración se ha completado, la mayoría de las veces no tienen idea alguna del rendimiento real de las soluciones. Casi dos tercios (63%) de los encuestados experimentaron que su solución aseguraba que una amenaza había sido bloqueada, cuando en realidad no era el caso.
El informe parece sugerir que uno de los problemas radica en que las empresas tienen demasiados implementaciones. Una empresa tiene, en promedio, 47 soluciones de ciberseguridad instaladas en sus sistemas.
Otros análisis de Ponemon Institute en Diario TI
El hecho de no tener claro el éxito potencial (o fracaso) de estas herramientas también dificulta que el departamento de compras justifique el retorno de la inversión. Alrededor de un tercio (39%) cree que su empresa obtiene el máximo valor de su inversión.
“Cuando fracasan procesos y soluciones como éste, muchas empresas responden inyectando más dinero en el problema”, comentó Larry Ponemon, fundador y presidente del Ponemon Institute. “Es necesario suspender la inversión en seguridad hasta que los líderes de TI y seguridad de la empresa comprendan por qué sus inversiones actuales no son capaces de detectar y bloquear todas las técnicas, tácticas y procedimientos de los adversarios conocidos”.
Ponemon escribe: “En este informe, la eficacia se refiere tanto a la efectividad como a la eficiencia de una estrategia de seguridad, tecnologías y controles. Los siguientes son problemas causados por no determinar la eficacia:
— Incertidumbre si se detienen los ataques contra la red.
— Incapacidad para determinar si la organización está obteniendo el máximo valor de sus inversiones en tecnología.
— Incapacidad de proporcionar a los altos directivos y a la junta directiva una imagen clara de la postura de seguridad de la organización.
El informe completo de AttackIQ se puede encontrar en este enlace (requiere registro y los usuarios son apuntados a un webinar).
Ilustración (c) Borja Andreu vía Shutterstock
