El 67% de las empresas ha sufrido repetidos ciberataques
Dos tercios de las empresas que sufrieron ciberataques volvieron a sufrirlos en el plazo de un año, según un estudio mundial de la empresa de gestión de posturas de seguridad ampliada Cymulate. Según el informe, el 40% de las empresas fueron atacadas en un plazo de doce meses, con una media de 1,3 ciberataques al año. Sin embargo, el 10% de las empresas experimentaron diez o más incidentes en un año. El principal, el ciberataque malware.
Además, los ciberataques tuvieron un impacto más profundo en las medianas empresas que en las grandes, que registraron un 40% menos de daños. Según el estudio Cymulate Data Breaches Study, la mayoría de los ciberataques tienen su origen en la suplantación de identidad del usuario final (56%) y en el pirateo de terceros con acceso a la red corporativa.
Los ciberataques directos a la red de la empresa por parte de actores de amenazas representaron el 34% de los incidentes, mientras que las amenazas internas fueron responsables del 29% de los incidentes, ya fuera de forma intencionada o no.
Los principales tipos de incidentes registrados fueron el ciberataque malware (55%), seguido de los ataques de ransomware (40%) y los ataques DDoS (32%). Las empresas respondieron de forma diferente tras los ciberataques: el 39% lo gestionó todo internamente, sin contratar expertos, relaciones públicas o informes obligatorios.
Sin embargo, en el 35% de los casos, la empresa respondió contratando a consultores de seguridad, mientras que el 12% contrató a consultores de relaciones públicas para proteger su reputación. Otro 12% respondió despidiendo a su personal de seguridad actual, mientras que el 4% despidió a los ejecutivos.
Además, el 22% de las empresas se vieron obligadas a gestionar el mandato reglamentario de divulgación pública, mientras que el 10% pagó multas reglamentarias. El informe afirmaba que la gestión del mandato normativo podría causar más daños si no se gestionaba con sensibilidad y pericia.
Según el informe, en el 39% de los casos, los equipos de seguridad tuvieron que implicar a personal jurídico, financiero o ejecutivo para hacer frente a las consecuencias de los ciberataques. «Sólo el 9% de las empresas limitan la gestión de las violaciones de la ciberseguridad únicamente al personal de seguridad», escribieron los investigadores. «El 91% implica a dos o más miembros diferentes del equipo».
Autenticación en dos pasos
Dos tercios (67%) de los encuestados prefirieron la autenticación multifactor (AMF) para mitigar los ciberataques, seguida de las campañas proactivas de phishing y concienciación corporativas (53%), los planes de respuesta a incidentes bien planificados y practicados (44%) y el privilegio mínimo (43%).
El hecho de que la mayoría de las empresas sufrieran ataques repetidos sugiere que la gestión de vulnerabilidades también debería ser una prioridad en la prevención de ciberataques. Una gestión adecuada de las vulnerabilidades dentro de una organización evitaría que los ciberdelincuentes explotaran el mismo fallo varias veces.
Las reuniones frecuentes sobre ciberseguridad reducen un ciberataque malware
Las reuniones periódicas entre la dirección de la empresa y los equipos de ciberseguridad redujeron el número de ciberataques con éxito. Según el informe, las empresas que celebraron al menos quince reuniones de ciberseguridad o se reunieron más de una vez al mes no sufrieron ninguna violación de datos.
Del mismo modo, las empresas que sufrieron seis o más violaciones de datos tuvieron menos de nueve reuniones de ciberseguridad en un año. La concienciación de los ejecutivos sobre las violaciones cibernéticas también fue un factor atenuante. Por término medio, los ejecutivos conocían el 44% de los ciberataques. Sin embargo, cuando los ejecutivos conocían al menos el 75% de los ciberataques, el número de incidentes descendía.
Los investigadores descubrieron que las empresas más pequeñas incurrían en más gastos tras sufrir ciberataques. Más de la mitad (57%) de las grandes empresas declararon que las interrupciones tras los ciberataques duraron poco tiempo, mientras que el 40% informó de daños menores. Por el contrario, sólo el 33% de las pequeñas empresas declararon interrupciones de corta duración y daños de poca importancia (27%).