Distracciones y engaños por correo: errores humanos que más temen los expertos en ciberseguridad de empresas

Las organizaciones destinan cada vez más recursos a firewalls, inteligencia artificial y sistemas de detección avanzados, pero el riesgo que más desvela a los responsables de ciberseguridad no proviene de la tecnología: son las personas. Así lo revela un nuevo informe de Kaseya, proveedor global de software de gestión de TI y ciberseguridad basado en inteligencia artificial, que encuestó a 1.132 proveedores de servicios gestionados de TI (MSP) y profesionales de TI de más de 60 países.

El estudio concluye que el error humano se mantiene como el mayor riesgo de seguridad para las compañías, por encima de las amenazas automatizadas contra servidores o infraestructura de red.

PUBLICIDAD

Según los resultados, el 68% de los encuestados identificó el error humano, que incluye la ingeniería social y la distracción, como el vector de ataque que más preocupación genera de cara al próximo año. El correo electrónico ocupa el segundo lugar, con el 55% de las menciones.

El informe también detectó que, entre las organizaciones que sufrieron algún incidente de seguridad en los últimos tres años, cuatro de los cinco factores principales que contribuyeron al episodio estuvieron vinculados a las personas. Las malas prácticas o la inocencia de los usuarios lideraron ese listado con el 41%, seguidas por la falta de formación en ciberseguridad del personal, con el 40%. A estos factores se suma la gullibilidad o facilidad para caer en engaños, mencionada por el 41% de los encuestados como un riesgo relevante.

PUBLICIDAD

David Baggett, vicepresidente sénior y gerente general de Security Suite en Kaseya, señaló que “las personas no son perfectas, y todo el mundo lo sabe. Sin embargo, gran parte de la ciberseguridad sigue dependiendo de que las personas tomen la decisión correcta en todo momento”.

Para Baggett, la solución no pasa por eliminar los errores, sino por diseñar organizaciones capaces de resistirlos: “El camino hacia la verdadera ciberresiliencia no consiste en eliminar los errores, sino en crear una organización capaz de soportarlos. Hay que prever los errores, tener en cuenta las limitaciones y diseñar soluciones que las superen”.

El informe también expuso una brecha entre la percepción y la realidad en materia de cumplimiento normativo. Aunque el 65% de los encuestados afirmó que podría superar una auditoría de cumplimiento hoy mismo sin necesidad de prepararse, esa confianza podría resultar excesiva.

PUBLICIDAD

Al consultarles qué elementos podrían generar problemas durante una revisión, el 49% señaló la documentación o las políticas incompletas como el principal obstáculo. Le siguieron los controles de seguridad que no se aplican plenamente, mencionados por el 34%, y la falta de concienciación o formación de los empleados, citada por el 33% de los participantes.

Otro de los hallazgos del informe apunta a una desconexión entre el nivel de riesgo y la inversión disponible para enfrentarlo. Solo el 20% de los departamentos de TI consultados afirmó que su presupuesto de ciberseguridad crece al mismo ritmo que el riesgo real al que se enfrentan.

PUBLICIDAD

En paralelo, el 77% de los encuestados se describió como insuficientemente dotado de recursos: el 23% dijo que sus presupuestos se mantienen estables mientras las amenazas aumentan, el 30% señaló que sus fondos crecen pero de forma demasiado lenta para seguir el ritmo de los riesgos, y el 24% reconoció directamente contar con recursos insuficientes.

Los propios MSP reportaron una tendencia similar entre sus clientes: el 65% consideró que estos invierten menos de lo necesario en ciberseguridad en relación con el riesgo que enfrentan.