Solo el 15% de las empresas latinoamericanas tiene un nivel de riesgo cibernético superior al “básico”, según Aon

noviembre 2, 2023

701

aon latinoamérica empresas riesgo cibernético — Crédito de la imagen: Aon.

Aon, firma líder mundial en servicios profesionales, publicó su informe 2023 Cyber Resilience Report, que revela que sólo el 15% de las empresas latinoamericanas presentan una madurez de riesgo cibernético superior al nivel “básico” y que las tres áreas más críticas de riesgo cibernético son administración de terceros, resiliencia empresarial y seguridad de las aplicaciones, de un total de cinco aspectos calificados.

A pesar de estas cifras, el informe mundial consideró que el promedio de madurez cibernética general en las empresas de América Latina es igual al de las organizaciones del Reino Unido, Europa, Medio Oriente y Africa. Sin embargo, estos niveles parecen estar por detrás de sus pares estadounidenses.

Reporte

El reporte fue desarrollado como una guía que ayuda a los líderes empresariales a comparar la madurez del riesgo cibernético de su organización con la de sus pares y tomar mejores decisiones al administrar este riesgo en seis rubros concretos: cibernético, operativo, cadena de suministro, interno, reputacional y sistémico.

La encuesta se basa en datos de clientes propios recogidos en la Evaluación del Cociente Cibernético de Aon (Aon CyQu), la Aplicación Suplementaria de Ransomware de Aon y la Aplicación de Tecnología Operativa de Aon. CyQu es una plataforma global de evaluación de riesgos que ayuda a las organizaciones a gestionar mejor el riesgo cibernético y proporciona visibilidad sobre las exposiciones cibernéticas y los factores de asegurabilidad.

Riesgo

Así, cuando se trata de administrar el riesgo de terceros a través de acuerdos legales, sólo el 17% de las empresas de Latinoamérica presentan puntuaciones de riesgo superiores a 2.5 de 4.0. Este aspecto califica si las empresas cuentan con estrategias de seguridad cibernética para los incidentes o ataques que puedan ocurrir. Los datos muestran que, en general, las compañías de la región carecen de todas éstas y de un plan de resiliencia cibernética.

En cuanto a la resiliencia empresarial, apenas un 25% de las compañías presentaron un perfil de riesgo superior al “básico” en cuanto a la continuidad de negocio o a contar con un plan de recuperación ante desastres centrado en el restablecimiento y cuantificación del impacto financiero. Sólo el 35% de las empresas tuvo un perfil de riesgo superior al “básico” para la planificación de respuestas ante incidentes y ejercicios de simulación.

Deficiencias

El informe también detectó deficiencias en otra área importante de control: la seguridad de las aplicaciones. Menos del 35% de los empresas latinoamericanas presentaron un perfil de riesgo superior al “básico” en esta área, dado que no están gestionando de manera adecuada el proceso de permisos sobre aplicaciones de software, ni se están capacitando a los desarrolladores de software sobre seguridad, ni tampoco se realizan análisis dinámicos y pruebas de penetración para aplicaciones.

“Las empresas en Latinoamérica y en el mundo experimentaron nuevas formas de volatilidad en los últimos cuatro años con el aumento en la frecuencia y gravedad de las amenazas cibernéticas y los eventos de ransomware, seguidos de un mercado de seguros cibernéticos con primas y retenciones crecientes, así como un escrutinio más agudo en la suscripción”, explicó Sergio Torres, Specialty Leader – Financial & Professional Services & Cyber Latin America de Aon. “Por ello, la alta dirección de las empresas está más consciente que los eventos cibernéticos tienen el potencial de impactar en todas las áreas de su negocio. Lograr la resiliencia cibernética es un tema recurrente para ellos y, por tanto, la amenaza ahora se está abordando desde una perspectiva holística de riesgo”, añadió.

Una visión por industria

Al enfocarse en tres sectores del mercado mundial (Finanzas y Seguros, Salud e Industrial), los datos de CyQu calificaron con un desempeño relativamente bueno a las empresas de la región en comparación con sus pares de Europa, Medio Oriente, Africa, Reino Unido y Estados Unidos de América, donde su posición cibernética general alcanzó el nivel de “gestionada” en 2022.

Finanzas y de Seguros

Las empresas latinoamericanas lograron un puntaje promedio general de 2.7 o “gestionado”, lo que indica que implementaron tecnologías y prácticas de administración de riesgos en toda la organización. Este nivel de gestión de riesgos refleja un entorno regulatorio en el que operan estas empresas y un ambiente de redes más maduro. Así, los indicadores predictivos respaldan prácticas de seguridad cibernética al definir políticas, procesos y procedimientos, disponen de métodos uniformes para responder eficazmente a los cambios en los riesgos y existe una arquitectura sólida, fuertes mecanismos de defensa contra violaciones del perímetro y cuidado vital en la seguridad de redes, entre otros aspectos.

Salud

La madurez de riesgo cibernético para las empresas de la región parece ser la misma que para sus pares en Estados Unidos. Sin embargo, las tecnologías y prácticas de gestión de riesgos de seguridad cibernética aún deben formalizarse más, mejorando la seguridad de las aplicaciones, la resiliencia empresarial, la seguridad física y la administración de terceros. La implementación consistente de mecanismos de autenticación multifactorial en las redes puede ser crítica ya que la vulneración de contraseñas es posible que comprometa datos sensibles o el acceso de intrusos.

Sector Industrial

Presenta índices similares en la mayoría de las áreas en comparación con sus pares estadounidenses. Sin embargo, al igual que sus contrapartes del sector Salud, las prácticas y tecnologías de administración de riesgos de ciberseguridad no están formalizadas, tienen un alcance limitado y el riesgo se gestiona ad hoc y, a veces, de manera reactiva. Los problemas más críticos se refieren a la administración de terceros, la seguridad de las aplicaciones y la resiliencia empresarial.

Resiliencia

De acuerdo con Carlos Noseda, experto de Aon, en aspectos cibernéticos para la Argentina, “lograr la resiliencia cibernética y empresarial es un esfuerzo desafiante para cualquier organización. En Aon ayudamos a nuestros clientes en la Argentina a minimizar el riesgo financiero, operativo y de reputación ante un ambiente volátil, estableciendo tres puntos concretos a considerar”. Al respecto, el ejecutivo puntualizó:

1) Para tener un mejor control en la administración de terceros, es imperativo alinearlos con las políticas de la empresa, realizar con ellos auditorías de recuperación ante desastres y elaborar predicciones del impacto financiero del riesgo cibernético que definan estrategias de seguridad cibernética.
2) La resiliencia empresarial está presente cuando se garantiza la implementación de planes de continuidad del negocio y recuperación técnica ante desastres. Estos planes permitirán el restablecimiento ante una falla de software o tecnología crítica, falla de un proveedor de tecnología o servicio público crítico, pérdida o modificación de información vital y divulgación de información extremadamente sensible, entre otros.
3) Si todos los desarrolladores completan un curso de capacitación en seguridad de manera frecuente, se mantiene un inventario de las aplicaciones y se elimina el software no autorizado, la seguridad en las aplicaciones podrá elevarse.