Según el estudio sobre "El Estado de la Seguridad Empresarial 2010", realizado por la compañía Symantec, durante el año 2009, un 75% de las empresas sufrió algún tipo de ciberataque, con un coste medio de 2 millones de dólares al año. Esta situación ha llevado a que el 42 por ciento de las empresas de todo el mundo consideren la seguridad como su principal problema durante este año.
El estudio está basado en las encuestas realizadas en enero de 2010 a 2.100 directores de informática, directores de seguridad informática y directores de TI de empresas de 27 países.
Entre sus principales conclusiones, el informe señala lo siguiente:
* El 42 por ciento de las empresas valoran la seguridad como su principal problema, incluso por encima de los desastres naturales, el terrorismo y los delitos tradicionales combinados. Como reflejo de esa percepción, las TI se están centrando cada vez más en la seguridad empresarial. Como media, las TI cuentan con 120 empleados dedicados a la seguridad y el cumplimiento de las TI. Las empresas afirman que la “mejora de la gestión de los riesgos empresariales de las TI” se ha convertido en uno de sus principales objetivos para el 2010, y el 84 por ciento lo ha valorado como una cuestión absolutamente/bastante importante. Casi todas las empresas encuestadas (94 por ciento) prevén cambios en la seguridad a lo largo de 2010, y casi la mitad (48 por ciento) espera unos cambios importantes.
* Las empresas están sufriendo frecuentes ataques. En los últimos 12 meses, un 75 por ciento de las empresas ha sufrido ciberataques, y el 36 por ciento ha valorado los ataques como bastante/muy efectivos Pero lo que resulta peor es que el 29 por ciento de las empresas ha informado que los ataques han aumentado en los últimos 12 meses.
* Todas las empresas (100 por cien) han sufrido pérdidas por ataques cibernéticos en 2009. Las tres pérdidas principales fueron el robo de propiedad intelectual, el robo de información de tarjetas de crédito de clientes u otra información financiera, además de la filtración de información que puede identificar a los clientes. Estas pérdidas generaron costes en el 92 por ciento de las ocasiones. Los tres costes principales fueron los de productividad, ingresos y pérdida de confianza de los clientes. Las empresas indicaron haber incurrido unos costes medios de 2 millones de dólares.
* La seguridad empresarial se convierte en un proceso más difícil debido a una serie de factores. En primer lugar, la seguridad empresarial cuenta con falta de personal, siendo las áreas más afectadas la seguridad de las redes (44 por ciento), la seguridad de los terminales (44 por ciento), y la seguridad de la mensajería (39 por ciento). En segundo lugar, las empresas están poniendo en marcha nuevas iniciativas que dificultan aún más el suministro de la seguridad. Las iniciativas que las TI han evaluado como más problemáticas desde el punto de vista de la seguridad incluyen la infraestructura como un servicio, la plataforma como un servicio, la virtualización de servidores, la virtualización de terminales y el software como servicio. En último lugar, el cumplimiento de las TI también representa una difícil tarea. La empresa típica está explorando 19 estándares o marcos de TI diferentes y está utilizando en estos momentos ocho de ellos. Entre los principales estándares se incluyen los de ISO, HIPAA, Sarbanes-Oxley, CIS, PCI e ITIL.
El informe detalla, además, algunos consejos para mejorar la seguridad
* Las organizaciones necesitan proteger la infraestructura asegurando los terminales, protegiendo la mensajería y la Web, y defendiendo los servidores internos esenciales, además de contar con la posibilidad de realizar copias de seguridad y recuperar datos. Si ocurre una filtración de datos, las organizaciones necesitan responder rápidamente a este tipo de amenazas.
* Los administradores de TI deberían proteger proactivamente la información adoptando un punto de vista centrado en la información, para proteger la información y las interacciones. La adopción de un punto de vista centrado en los contenidos para la protección de la información resulta esencial para saber dónde se encuentra la información personal, quién tiene acceso a ella y cómo entra o sale la información de su organización.
* Las organizaciones necesitan desarrollar y hacer cumplir las políticas de TI, además de automatizar sus procesos de cumplimiento. La priorización de riesgos y la definición de políticas en todos los emplazamientos, permite a los clientes el cumplimiento de unas políticas mediante la automatización y el flujo de trabajo incorporados y no sólo se identifican amenazas, sino que se solucionan incidentes a medida que ocurren o los anticipa antes de que sucedan.
* Las organizaciones necesitan gestionar los sistemas mediante la implementación de unos entornos operativos seguros, la distribución y el cumplimiento de niveles de aplicación de parches, la automatización de procesos para potenciar la eficiencia y la monitorización y elaboración de informes sobre el estado del sistema.
Symantec (23-03-2010)
http://www.symantec.com/content/en/us/about/presskits/SES_report_Feb2010.pdf
