Creo que fue el economista Aaron Levenstein quien dijo aquello de que “las estadísticas son como los bikinis, lo que revelan es sugerente, pero lo que ocultan es vital”. Hice mía esta idea y siempre intento leer de manera crítica las estadísticas y usarlas con prudencia, pero en este caso acudo a ellas porque distintos estudios sobre el estado de la ciberseguridad en España coinciden en puntos clave: de manera general, existe una conciencia elevada y una inversión creciente en ciberseguridad, pero persisten desafíos significativos, especialmente en la gestión de la seguridad de terceros. Aunque, es lógico pensar que la llegada de normativas europeas de ciberseguridad, como DORA y NIS2, que inciden en la seguridad de la cadena de valor, debería ser un revulsivo para mejorar.
El sector empresarial español muestra una preocupación constante y considerable por la ciberseguridad, con un 90,1 por ciento de las organizaciones manifestando una “muy alta preocupación”. Esta inquietud se ha ido traduciendo en un aumento de la inversión, con un 69 por ciento de las empresas incrementando sus presupuestos en ciberseguridad, el porcentaje más alto registrado desde 2018, año en que comenzamos a realizar el estudio Empresas y Ciberseguridad en España de Leet Security, de cuya edición más reciente, la de 2024, han salido estos datos. A pesar de esta inversión, el 57,7 por ciento de los encuestados percibe que el riesgo sigue en ascenso, lo que subraya la necesidad de una estrategia que amplíe el ámbito más allá de las fronteras de la propia entidad.
En cuanto a la gestión del riesgo de terceros, casi la mitad de los incidentes reconocidos por empresas españolas en el último año (48,6%) se originaron en proveedores, y subiendo. Este dato es especialmente relevante teniendo en cuenta que la digitalización ha integrado a los proveedores como extensiones críticas de la infraestructura empresarial (el 63,6% de las empresas tienen proveedores conectados a sus sistemas internos y el 60,5% dependen de proveedores no conectados que gestionan su información en sistemas externos). Esto posiciona a la cadena de suministro como el principal vector de ataque, evidenciando una vulnerabilidad sistémica.
Casi la mitad de los incidentes reconocidos por empresas españolas en el último año se originaron en proveedores
Normativas europeas, ¿cambio de paradigma?
Las nuevas normativas europeas, NIS2 y DORA, han llegado para marcar un antes y un después en la gestión de la ciberseguridad, especialmente en lo que respecta a la cadena de suministro. Ambas elevan la gestión del riesgo del proveedor a una prioridad estratégica ineludible para las empresas, en España y en toda la Unión Europea.
Lo que cabe entonces plantearse es: ante las diferentes opciones con las que cuentan las entidades frente a este panorama normativo para reforzar la seguridad de sus cadenas de valor, ¿elegir opciones de mínimos para el cumplimiento o continuar mejorando en los sistemas utilizados? ¿Son igual de útiles las distintas opciones para la gestión del riesgo de terceros? Yo creo que no, pero que no hay soluciones universales y cada caso es diferente. Al final, es una cuestión de nivel.
Volvamos a los datos. Es cierto que la conciencia sobre el riesgo de terceros ha ido creciendo y, por un lado, se ve un aumento en el grado de supervisión anual de proveedores (55,3%) y una disminución en las organizaciones que no los evalúan en absoluto (7%). Por otro lado, hay también una mejora en los mecanismos de evaluación usados, pasando de utilizar mayoritariamente el cuestionario de autoevaluación como mecanismo favorito a otra situación en la que los cuestionarios se han emparejado con las evaluaciones documentales y con las auditorías/certificaciones de terceros.
En este sentido, se ve que los procesos de gestión de riesgo de terceros aumentan su nivel de madurez, ampliando los mecanismos utilizados, a la par que decrece la confianza que se deposita en las certificaciones de sistemas de gestión (en un 28,7%, que supone el mínimo de la serie).
Pero esta situación, desde mi punto de vista, tiene todavía mucho margen de mejora, porque los cuestionarios de autoevaluación no garantizan la veracidad de las respuestas, las auditorías propias son costosas y difíciles de reutilizar (lo que potencia la fatiga auditora) y las certificaciones solo indican el cumplimiento de requisitos mínimos estáticos.
Ante esto, la calificación de ciberseguridad, o rating, emerge como una buena solución, aportando una visión más ágil, eficiente y objetiva del estado de la seguridad, y porque sus resultados son comparables y proporcionan información comprensible que se puede compartir con la dirección. Aunque no es recomendable para todos ni para todos los casos.
El rating ofrece información de nivel… de nivel de riesgo y de nivel de cumplimiento con los requisitos de la norma con la que esté mapeada. No es de extrañar que su uso haya aumentado un 55 por ciento, aunque no todas las calificaciones son iguales. A la hora de clasificarlas, a grosso modo las hay de dos tipos:
- Las que se hacen desde fuera, que para elaborar su calificación utilizan información pública disponible y análisis perimetrales.
- Las que se hacen desde dentro, que auditan los procedimientos y medidas de seguridad de una organización, a menudo in situ, y comparten los resultados.
Ambas opciones aportan objetividad, monitorización continua y mayor eficiencia, pues están basadas en el principio de “evaluar una vez, utilizar múltiples veces”. Pero las que se realizan desde dentro aportan, además, una visión exhaustiva y verificada de las capacidades de seguridad del proveedor al implicar una revisión in situ de las medidas implementadas, identificación de aspectos de mejora que sirven tanto al usuario como al proveedor para adoptar una mejora continua y, quizá el aspecto más interesante, un incentivo natural para el incremento de los niveles de ciberseguridad gracias a la transparencia que aportan. Esta transparencia del nivel de ciberseguridad incentiva a las organizaciones a mejorar su situación, ya que se convierte en un factor de negocio más. A diferencia de los sistemas que solo buscan el cumplimiento de requisitos mínimos, los ratings incentivan la mejora continua.
Conversación de nivel
Para concluir, me permito hacerlo con una pregunta: en un contexto en el que la ciberseguridad en la empresa española se enfrenta a un escenario donde la cadena de suministro es uno de los puntos de mayor vulnerabilidad, con casi la mitad de los ciberataques originándose en proveedores, en el que la regulación europea de ciberseguridad no solo eleva los estándares de ciberseguridad y resiliencia operativa, sino que impone una responsabilidad indelegable a la alta dirección, y estableciendo que los métodos tradicionales de evaluación de terceros son ineficientes… ¿Estás esperando a que ocurra una brecha de seguridad en alguno de tus proveedores para tener una conversación de nivel con ellos?
