La ciberseguridad de las pequeñas y medianas empresas (pymes) no siempre recibe la atención que merece, ni siquiera por parte de las propias empresas. Esto es preocupante por varias razones, principalmente porque estas compañías representan el 90% de los negocios del mundo, el 70% de sus empleados y el 50% del PIB global, según el Foro Económico Mundial (WEF). Con menos recursos para destinar a ciberseguridad, los fondos deben asignarse de la manera más efectiva posible. Para estas empresas, la resiliencia cibernética debería ser la dirección a seguir — es decir, la capacidad de continuar operando y recuperarse incluso durante un incidente grave. Pero, ¿dónde comienza el viaje? La preparación cibernética (cyber readiness) consiste en implementar los procesos y controles para prevenir, detectar y responder a las amenazas. Un nuevo informe de ESET detalla cómo lo están haciendo las pymes, cuáles son sus mayores desafíos y qué debería suceder a continuación.
La ciberseguridad como condición operativa: el nuevo estándar empresarial
En muchos aspectos, las pymes no son diferentes de sus pares más grandes. Se enfrentan a un panorama de amenazas que continúa evolucionando a un ritmo acelerado, con adversarios que aprovechan las últimas tecnologías para aumentar el volumen, la escala y la velocidad de los ataques. La superficie de ataque corporativa se expande con cada nueva herramienta e inversión digital. Los empleados siguen siendo una fuente de riesgo. Y las empresas deben cumplir con un número creciente de mandatos regulatorios. Según el informe de ESET, el 45% de las pymes sufrió un incidente cibernético el año pasado, e incluso más (61%) teme un ataque en los próximos 12 meses. Les preocupan especialmente la pérdida de datos, la interrupción operativa y el impacto financiero. Este tipo de preocupaciones son las que los dueños de pymes comparten con los CISOs y los consejos directivos de las multinacionales más grandes. Hablan de la importancia crítica de la preparación cibernética para el negocio. Y explican por qué la seguridad debe funcionar como una condición operativa — no como una función de TI aislada, sino algo profundamente integrado en la cultura y las operaciones del negocio. Este cambio es fundamental porque, aunque muchas pymes finalmente se recuperan, el 34% todavía requiere de dos a seis semanas para resolver un incidente — una duración de dolor operativo que puede ser desastrosa para muchas empresas.
¿Qué significa exactamente que la ciberseguridad sea una “condición operativa”?
Significa que la seguridad deja de ser un proyecto puntual o un departamento aislado para convertirse en un requisito básico e innegociable de cómo se hace negocio. Es similar a tener contabilidad o recursos humanos: no es un lujo, es una función transversal. Para una pyme, esto implica que cada decisión sobre una nueva herramienta digital, cada proceso de contratación de personal y cada lanzamiento de producto debe considerar la seguridad como un componente central, no como una ocurrencia tardía. El informe de ESET subraya este cambio de paradigma, mostrando que las empresas que tratan la seguridad como una condición operativa son las que logran una mejor preparación y, en última instancia, una mayor resiliencia.
¿Es todo cuestión de IA? La dualidad de la inteligencia artificial en las pymes
El informe también revela que la mayoría (73%) de las pymes están integrando IA en su negocio, aunque reconocen que esto introducirá nuevos riesgos. Pero también hay preocupación sobre su potencial en manos equivocadas. De hecho, el malware impulsado por IA es citado como la “amenaza más preocupante” por una pluralidad de encuestados. ¿Debería ocupar un lugar tan prominente? La verdad es que el malware que utiliza IA de forma automatizada y en tiempo real sigue siendo poco común, a pesar de lo que puedan decir los titulares de las noticias. Los avistamientos son relativamente raros, lo que lo convierte más en un tema para investigadores de ciberseguridad que en una preocupación acuciante para las pymes.
Si observamos los incidentes de ciberseguridad reales, los sospechosos habituales son responsables de la mayoría de los eventos. El phishing y las vulnerabilidades sin parchear encabezan la lista, lo que coincide con los datos de otras fuentes como el último informe de Verizon, que cita la explotación y el phishing como dos de los tres principales vectores de acceso inicial para las pymes. Las contraseñas débiles y la falta de monitoreo de seguridad también ocupan un lugar destacado en los datos de ESET.
La verdadera amenaza de la IA: el “shadow AI” y el escalamiento de amenazas tradicionales
En lo que respecta a la IA, la amenaza más aguda proviene del interior. Según el DBIR, el shadow AI o IA en la sombra (el uso no autorizado de herramientas de IA por parte de los empleados) es la tercera acción interna no maliciosa más común. Mientras tanto, aunque el malware impulsado por IA quizás no sea la preocupación más candente, la IA y la automatización están ayudando a los actores de amenazas a mejorar sus habilidades y escalar sus esfuerzos — para la ingeniería social, la investigación y explotación de vulnerabilidades, y otras amenazas “heredadas”. En este contexto, las pymes con las que habló ESET están ansiosas por usar la IA para combatir el fuego con fuego, para anticipar amenazas antes de que ocurran, para una identificación y mitigación más rápidas de los ataques, y para la detección de ingeniería social. El desafío es que estas herramientas o no existen, o las pymes a menudo no pueden beneficiarse de ellas.
Antes y después: el papel de la formación reactiva en la preparación cibernética
Las pymes que adoptan formación en concienciación sobre ciberseguridad están bien encaminadas para desarrollar una postura de preparación cibernética más sólida. Pero, ¿lo están haciendo de forma proactiva? ESET descubre que la adopción de formación es más alta entre las empresas que han experimentado múltiples incidentes (81% frente al 53%). Estas organizaciones también muestran una mayor confianza en su resiliencia — quizás porque han adoptado de forma reactiva medidas de seguridad de mejores prácticas. En un mundo ideal, las pymes pasarían de una mentalidad de “más vale tarde que nunca” a una en la que comprendan los beneficios de la preparación cibernética antes de que un incidente les dé duras lecciones.
Confianza alta, pero ¿es realista? El auge de la percepción frente a la realidad
La buena noticia es que cuatro de cada cinco encuestados consideran que su presupuesto de seguridad es suficiente o más que suficiente, mientras que la mitad de ellos espera que aumente el próximo año. Esto indica una planificación inteligente y una asignación de recursos, incluyendo la subcontratación cuando tiene sentido financiero y operativo hacerlo. También apunta a la confianza en el gasto actual, pero no significa que todas las pymes hayan igualado el presupuesto a los riesgos que probablemente pondrán a prueba primero al negocio. Entonces, ¿debería ser tan alta la confianza en la postura de resiliencia cibernética, especialmente si las organizaciones siguen siendo atacadas varias veces? La confianza se ha disparado del 48% en 2022 al 87% este año. La verdad es que no existe un estado final para la preparación o la resiliencia cibernética. En lugar de celebrar lo que han logrado hasta ahora, las pymes deberían continuar centrándose en:
- Tecnología y procesos de prevención primero, incluyendo formación, parcheo regular y una gestión de identidades sólida.
- Evaluaciones de riesgos realistas y periódicas que les ayuden a priorizar las inversiones en seguridad.
- Respuesta a incidentes que ayude a las organizaciones a recuperarse más rápido y reducir el impacto empresarial de los ataques.
- Subcontratación de capacidades cuando sea apropiado, como la Detección y Respuesta Gestionadas (MDR).
- Mejora de la gobernanza para ayudar a reducir el shadow IT y el shadow AI.
El viaje apenas comienza: desafíos de integración y complejidad
A pesar de una presupuestación inteligente, una cuarta parte de las pymes afirma que más fondos les ayudarían a mejorar su postura de ciberseguridad más rápidamente. La complejidad y la integración siguen siendo desafíos persistentes para aquellas con menos recursos. Los encuestados dicen que quieren servicios y soluciones fiables, ricos en funciones y fáciles de usar. Conseguir estas herramientas no debería ser tan difícil como lo es para muchas pymes. Si la comunidad de proveedores habla en serio sobre mejorar la preparación cibernética de las pequeñas empresas, debe dar un paso al frente. Sin embargo, igualmente, no existe una bala de plata. Las pymes han demostrado que están bien encaminadas para mejorar la resiliencia. Pero este es un viaje que continuará a medida que la tecnología y las amenazas evolucionen. La vigilancia continua y la adaptabilidad serán clave para el éxito a largo plazo.
