Cómo cambian las prioridades de seguridad de empresa a empresa (y de tamaño a tamaño)

Protegerse no es una alternativa, sino una obligación. Llegados a un punto en el que las amenazas online se encuentran a la orden del día, los cibercriminales han profesionalizado sus técnicas de ataque y hasta los expertos admiten que la delincuencia que se produce a través de recursos tecnológicos nunca va a tener fin, la seguridad alcanza la condición de preocupación global. Todos los integrantes de este planeta en creciente globalización, y al borde continuo de caer en campañas de malware, deberían tener la voluntad de blindar sus sistemas. Esto es, empezando por los consumidores de equipos informáticos a nivel personal y terminando por las organizaciones con negocios multinacionales.

Cada uno necesita hacerlo en su justa medida. Sobre todo ahora que fenómenos como la movilidad también han expandido su impacto, convirtiendo a smartphones y tabletas en objetivo predilecto de los maleantes. Aunque no se ha alcanzado un estado de blindaje absoluto, el informe “IT security priorities” (“Prioridades de seguridad TI”) que ha elaborado NetMediaEurope desvela que al menos las empresas ya han iniciado las tareas de protección. Este informe, que recoge la impresión de 232 responsables de seguridad que trabajan en compañías de diferentes tamaños con operaciones en Alemania, Francia, Reino Unido, Italia y España, concluye que la principal inquietud es asegurar los dispositivos móviles. Casi 4 de cada 10 encuestados en mayo de 2015 cree que éste es el mayor reto de la seguridad TI para los próximos dos años.

Otro dato: Más de la mitad de las empresas de entre 100 y 1.000 empleados tiene en cuenta las soluciones MDM entre sus previsiones. Las siglas MDM corresponden a la expresión Mobile Device Management y, como tal, se refieren al software que permite gestionar el funcionamiento y activar la monitorización de dispositivos que se han ido colando en la oficina, como los teléfonos móviles, sin importar su marca, sistema operativo o la operadora a la que están asociados. Entre las firmas de más de 1.000 trabajadores la cifra es igual de notable, al situarse en el 42%. ¿Y qué pasa en las compañías con plantillas inferiores al centenar de personas? En su caso, el top 3 de prioridades se reparte entre implementar soluciones de back-up y almacenamiento (56%), firewalls (45%) y antivirus (42%).

En esa diferencia que existe de unas empresas a otras radica precisamente otra de las conclusiones que se pueden sacar de “IT security priorities”. Y es que el tamaño de los negocios influye de forma decisiva en las inversiones que realizan estas organizaciones en temas de seguridad TI. Aparte de apostar por MDM, las empresas medianas y grandes también coinciden al recurrir ambas a las soluciones de continuidad de negocio (con porcentajes del 41% y el 37%, respectivamente). Las primeras lo hacen por delante de los sistemas de descubrimiento de intrusiones (35%) y las segundas, justo por detrás de la monitorización de contenido web o de correos electrónicos, así como del filtrado (39%).

Haciendo una comparativa, se descubre que las organizaciones con menos personal, y probablemente con menos recursos económicos, se decantan por opciones de protección más básicas que el resto. Un claro ejemplo es el de las herramientas que ayudan a realizar copias de seguridad de los datos. Esto no quiere decir que a las compañías de más de 100 empleados no les interese incorporar este tipo tecnologías a su infraestructura, sino que, quizá, teniendo en cuenta su posición más aventajada en el mercado ya las tengan implantadas o no necesiten invertir tanto en ellas. En los planes futuros de las empresas medianas y grandes sólo se contempla el backup en un 33% y un 24% de los casos, y la detección de código malicioso en un 27% y un 18%. Los papeles se trastocan en cuestión de monitorización y evaluación de vulnerabilidades, donde la disposición va aumentado con el tamaño del negocio.

Eso en cuanto a medidas de blindaje que se deberían acometer. A la hora de identificar los retos más importantes a gestionar de aquí a 2017, por detrás del acceso a la red corporativa de smartphones y tabletas, cerca de dos quintas partes de los entrevistados señalan la detección de incidentes o accesos no autorizados y la gestión del riesgo, con porcentajes concretos del 38% y del 37%. Esta detección se antoja más prioritaria en plantillas medianas y de gran tamaño, al igual que el BYOD, con 9 y 11 puntos por encima de las de dimensiones reducidas. Completan el top 5 el desarrollo de una política de seguridad definida (32%) y la carencia de profesionales capacitados para asumir lo que se nos viene encima. Y es que un 29% de los encuestados es consciente de la necesidad de aumentar las habilidades de seguridad entre su equipo de TI.

Más allá de la movilidad

La movilidad no camina sola en el mundo de la seguridad. Las organizaciones europeas, entre las que se encuentran las españolas, también contemplan desafíos crecientes como la virtualización y el cloud computing. Aparte del 39% de encuestados por NetMediaEurope en “IT security priorities” que considera a la movilidad como el mayor reto de la seguridad TI para el próximo par de años, un 45% tiene intención de proteger sus dispositivos y aplicaciones. Otro 39% habla de los entornos virtualizados como una prioridad que tampoco hay que pasar por alto y un cercano 38% apunta a la nube. A mayores, cerca de la mitad sigue pendiente de la infraestructura más clásica.

Aquí merece la pena pararse en aquellas soluciones de seguridad que se entregan a modo de servicio desde la nube, que es lo que se conoce como “Security as a Service” o SECaaS, porque presentan un futuro bastante prometedor en el Viejo Continente. Una cuarta parte de las empresas europeas con las que se ha contactado para elaborar el informe ya se sirve de ellas en estos momentos, pero es que esto sólo acaba de comenzar. En cuestión de dos años se habrá sumado a esa tendencia un 37%, que en el caso de las empresas de menor tamaño subirá hasta el 41% (por el 30% de las medianas y el 27% de las grandes). La mayor proporción de negocios que tiran hacia la seguridad como servicio a día de hoy se encuentra entre los de 1.000 empleados o más, con un 31%. Y la solución más común será la que sirve para detectar intrusos.

Frente al 51% de empresas que consideran la detección de intrusiones como la primera necesidad corporativa del futuro en el tema SECaaS, también las hay que hablan de la autenticación para verificar identidades (48%) y las que confiarán el Mobile Device Management a este modelo (44%). Una vez más, en este apartado se demuestran diferencias notables entre empresas pequeñas, medianas y grandes. Las primeras tienden más a usar soluciones de backup y herramientas antivirus en la nube, aunque lo que más aprecian son las capacidades cloud para la detección de intrusiones. Por su parte, las otras dan preferencia a esa misma detección y a la gestión de eventos de seguridad.

Una última realidad que constata “IT security priorities” está relacionada con la vinculación de las empresas a un MSSP o proveedor de servicio de seguridad gestionada. Se trata de otro fenómeno al alza. La cantidad de compañías europeas que se han ido asociado con un MSSP hasta mayo de 2015 se duplicará en cuestión de un par de años. E incluso irá más allá. A las algo más de 2 de cada 10 empresas que ya tratan con un MSSP se sumará otro 26% en los próximos dos años. El motivo está, la mayoría de las veces, en potenciar las tareas de monitorización diaria de la seguridad en busca de comportamientos anómalos o hackeos. Tampoco hay que descartar las necesidades de cortafuegos, red privada virtual o prueba de penetración y estimación de vulnerabilidades.