El presupuesto cibernético finalmente ha salido de la casilla “por negociar”, pero el SI a veces parece un escaparate de soluciones superpuestas. ¿El desafío en 2026? Clasifique sin perder posición, evitando bloqueos y eligiendo SaaS versus on-premise en base a un análisis de riesgo real.
La ciberseguridad ha cambiado. Puncif? Tal vez. Pero, ¿estamos seguros de saber cómo medir todas las implicaciones de este sorprendente acontecimiento? Quizás no. Desde las últimas directivas de la estrategia europea de ciberseguridad, los CISO finalmente han obtenido, casi de la noche a la mañana, toda la atención de su dirección. Hasta ahora, ¿no era necesario trabajar duro para garantizar que el presupuesto cibernético siguiera el ritmo de las amenazas? ¿Para que las decisiones de compra o suscripción dejen de estar guiadas por la moda? Obviamente, este tipo de trampas todavía ocurren.
Dicho esto, cada vez menos, ya que ahora se toma muy en serio a los profesionales de la ciberseguridad empresarial. Si bien los intercambios entre CISO y profesiones son aún breves y varían según las organizaciones y su madurez, una sinergia entre seguridad (a través del CISO) y profesiones (negocios, infraestructuras o incluso producción) está tomando forma, en particular, en marcos comunes como el reglamento DORA o el enfoque basado en riesgos. Esta escucha atenta y sus efectos no se realizan sólo a nivel interno y afectan a toda la actividad de consultoría e integración de soluciones de ciberseguridad. El papel del CISO está creciendo, su función se vuelve estratégica, su presupuesto se está expandiendo lo suficiente como para despertar su interés y su apetito por más recomendaciones y nuevas soluciones, más acordes con el estado actual de amenazas y riesgos.
Regulaciones en el trabajo
¿Los impulsores de esta importante evolución? Los ciberataques y su corolario, la regulación. Cabe señalar que las primeras medidas importantes en este ámbito ya no datan de ayer. Ya sea la ley de programación militar n° 2013-1168 del 18 de diciembre de 2013, que ya estableció un marco regulatorio para proteger las infraestructuras críticas contra los ciberataques, o la directiva NIS 1 (directiva europea 2016/1148 sobre seguridad de la información de redes), transpuesta en 2018 a la legislación francesa, las empresas han ido tomando conciencia de la amenaza, transmitiendo así con los pies, cada vez más insistentes, las llamadas de los responsables de la seguridad informática.
Una carrera armamentista cibernética
Con la democratización de los servicios en línea, el valor creciente de los datos, el aumento de los intercambios digitales, la informatización masiva de la empresa y la difusión de los sistemas de información, el aumento de los incidentes de seguridad no ha hecho más que seguir el curso normal de la evolución de los métodos de trabajo. También más publicitada, esta tendencia hacia el riesgo cibernético ha transformado profundamente el equilibrio y contribuido a una distribución diferente del esfuerzo financiero en las organizaciones.
La consecuencia general predecible del aumento del presupuesto del departamento de sistemas de información es una pila de soluciones de ciberseguridad muy heterogéneas que contribuyen menos a la seguridad general que a una pérdida de visibilidad de los activos de la empresa y a una falsa impresión de seguridad.
El deseo de consolidación
Hoy, sin embargo, las organizaciones están entrando en una fase de estabilización, impulsada en particular por una caída de los presupuestos de TI, en la que los CISO buscan racionalizar el stock de soluciones de ciberseguridad. El ejercicio sigue siendo complejo: la rapidísima evolución de los usos no siempre permite diferenciar el accesorio de lo imprescindible.
El esfuerzo de consolidación también choca con la hiperespecialización de los actores franceses y europeos en ciberseguridad. Naturalmente, las organizaciones todavía tienen la opción de confiar su ciberseguridad a uno u otro cibergigante estadounidense (o posiblemente israelí), cuyo crecimiento externo, generalmente ofensivo, le permite cubrir casi todos los temas considerados. Sin embargo, esto no resuelve los problemas relacionados con la soberanía y los límites presupuestarios y aumenta considerablemente el riesgo de bloqueo de propiedad, que las empresas intentan evitar en la medida de lo posible.
Racionalizar, consolidar, desmantelar
Navegue por el laberinto de la TI en constante evolución
Para aliviar la culpa de todos, señalemos que, aparte de algunos sectores que han sido conscientes y limitados durante mucho tiempo, como la banca/finanzas y las grandes OIV, la ciberseguridad corporativa sigue siendo un área donde persiste mucha incertidumbre, que se acumula con el tiempo y el crecimiento. Una fusión de filiales y son nuevas soluciones de ciberseguridad que se suman a las existentes, nuevos equipos, nuevos métodos con los que debemos lidiar.
En la práctica, más allá de algunas convicciones generales como la urgencia de racionalizar, de lograr la previsibilidad de los costes y de disponer de una seguridad eficaz y suficiente, la empresa rara vez es capaz de definir objetivos más precisos, una hoja de ruta y menos aún de elaborar una lista de herramientas a conservar.
Seríamos menos. El ejercicio de la elección informada requiere dominar múltiples parámetros, tener un amplio conocimiento de la oferta cibernética disponible, conocer el alcance cubierto y, por supuesto, el coste real en el que se incurrirá. En general, este enfoque también se ve obstaculizado por los silos comerciales tradicionales que nos esforzamos por atenuar y que parecen disfrutar reformando tan pronto como les damos la espalda. No hay elección informada sin disponer de un mapa exhaustivo. En otras palabras, la consultoría, el análisis y la auditoría externa siguen siendo conocimientos totalmente beneficiosos, en más de un sentido.
¿Por dónde empezar?
La certificación ISO 27 001 es el lienzo ideal para tomar el pulso a la empresa, evaluar el nivel de riesgo en función de la actividad y el sector y definir objetivos. También es un punto de entrada adecuado para todos los empleados, ya que establece todas las normas de ciberhigiene, base básica que la empresa debe dominar.
Más allá de los conceptos y las mejores prácticas compartidas, la ciberseguridad de una empresa está hecha a su medida, es importante recordar esto. Por eso cuestionaremos la actividad de la empresa, sus objetivos a corto y medio plazo, sus previsiones de crecimiento que necesariamente afectarán a las normas establecidas y que deberán evolucionar según una agenda.
Además, la ISO 27 001 no es una certificación reservada a unos pocos. Está dirigido a todo tipo de empresas, desde las más pequeñas hasta las más grandes. Prepara de manera muy efectiva el terreno para otras regulaciones, como NIS 2, que resultan mucho menos difíciles de implementar una vez que se ha adquirido la certificación y se ha construido el proceso de mejora.
Por último, la certificación tampoco es un fin en sí misma. La empresa puede optar por simplemente seguir el proceso para tener una guía de implantación de seguridad adaptada a su actividad y a su gestión.
Deje espacio para la simplificación
Cuando se trata de ciberseguridad, elegir soluciones SaaS no siempre es obvio. On Premise sigue considerándose más seguro. Sin embargo, incluso las grandes instituciones financieras están optando por la nube pública para muchas de sus cargas de trabajo.
Es una cuestión de análisis riesgo/beneficio y, seamos honestos, de psicología. Si bien el hardware sigue considerándose un elemento de ciberseguridad, también es muy caro y carece gravemente de flexibilidad. Todas las organizaciones han vivido esto cuando han tenido que aumentar de forma urgente el número de concentradores VPN para permitir a sus empleados seguir trabajando desde casa.
Si la imprevisibilidad sigue siendo el talón de Aquiles de la ciberseguridad, las decisiones históricas y la cultura corporativa también influyen cuando se trata de cambiar las prácticas. Así, la red es un ejemplo común de resistencia a la modernización hacia soluciones como servicio. Respaldadas por editores que reúnen experiencias de miles de clientes, contextos y sectores, estas soluciones se benefician de una experiencia enriquecida al servicio de la ciberseguridad que es inalcanzable para una organización por sí sola.
A menos que sea un experto y evolucione en el sector en cuestión, no hay razón para no equiparse con herramientas facilitadoras cuya seguridad es tarea del editor. Esto se aplica a la red, pero también a la estación de trabajo, o incluso al almacenamiento y la copia de seguridad.
_____________________________
Par Simón AmiotConsultor de Preventa Cibernética en Grandes datos
Lea también:
Ciberseguridad: para acabar con la ilusión del castillo fortificado…
DORA: resiliencia digital y reducción de la huella de carbono
DORA e IA: hacer de la mayor resiliencia una ventaja de mercado
Ciberevaluación de terceros: el requisito clave de DORA para las finanzas
NIS 2: nuevas obligaciones y desafíos para la ciberseguridad
Infografía: Ciberresiliencia de las empresas en 2025
[
