La ciberseguridad nunca ha sido sencilla. Las amenazas evolucionan a una velocidad vertiginosa. Las superficies de ataque corporativas continúan expandiéndose con cada nueva inversión digital. Los requisitos regulatorios añaden presión adicional a equipos ya sobrecargados. Y detrás de todo esto, la imprevisibilidad de la naturaleza humana significa que no existe algo como el 100% de seguridad. Sin embargo, el mercado de las soluciones de seguridad no facilita las cosas para las PyMEs.
Las organizaciones más pequeñas suelen contar con menos recursos y menos experiencia para afrontar este desafío que las grandes empresas. Pero comprenden perfectamente la necesidad de contar con protección avanzada. Lo que sucede es que también quieren que esta sea simple, guiada y fácil de gestionar. Las soluciones y servicios que priorizan este enfoque son escasos. Pero existen.
Las PyMEs entienden la importancia de la ciberseguridad
Una seguridad "suficientemente buena" simplemente ya no es suficiente en una época marcada por la incertidumbre geopolítica persistente y el rápido cambio tecnológico. Los datos de ESET revelan que tres cuartas partes (75%) de las PyMEs están preocupadas por los conflictos globales y la ciberguerra. Y casi la mitad ha experimentado al menos un incidente de ciberseguridad durante el último año.
Ya sea por actores de amenazas vinculados a Irán que apuntan contra el sector energético británico y plantas de tratamiento de agua en Estados Unidos, o, como muestran investigaciones recientes de ESET, por atacantes alineados con Rusia que atacan instalaciones energéticas en Polonia, los ataques respaldados por Estados son hoy más frecuentes y ambiciosos que nunca. Las PyMEs se encuentran claramente en la mira, ya sea como proveedores de infraestructura crítica o como proveedores de empresas que operan infraestructura crítica.
Pero esa es solo una parte de la historia. Los grupos motivados financieramente continúan representando una amenaza significativa, generalmente a través de ransomware o extorsión mediante robo de datos. A menudo operan con impunidad desde Estados hostiles, donde permanecen fuera del alcance de las agencias de seguridad occidentales. Cada vez hay más evidencia que sugiere que incluso colaboran con actores gubernamentales en algunas campañas.
Sin embargo, la identidad del adversario es posiblemente menos importante que las tácticas que utilizan para atacar a las PyMEs a nivel global. La IA está permitiendo a actores de amenazas de todo tipo mejorar sus capacidades y escalar ataques de forma más rentable que antes. Se desplazan rápidamente a lo largo de la cadena de ataque, desde el reconocimiento hasta la exfiltración de datos, reduciendo la ventana de explotación de vulnerabilidades y creando mensajes de phishing altamente convincentes y personalizados.
La próxima etapa será una nueva ola de ataques autónomos impulsados por agentes de IA. Sabemos de lo que son capaces porque ya han escapado de entornos de pruebas de sus proveedores para realizar ingeniería social contra víctimas, crear identidades falsas, explotar contraseñas débiles y desplegar código malicioso. Si agentes fuera de control pueden hacerlo, entonces una IA agéntica manipulada deliberadamente también puede.
La IA también se ha convertido en un objetivo. A medida que las PyMEs adoptan agentes de programación, chatbots y flujos de trabajo asistidos por IA, estas herramientas crean una nueva superficie de ataque. ¿Sabe qué se está ejecutando en su organización? ¿Puede estar seguro de que no está siendo manipulado por terceros maliciosos? ¿Y sus usuarios siguen las políticas establecidas cuando interactúan con esta tecnología? Un tercio (32%) de las organizaciones norteamericanas y aún más (42%) de las europeas admiten no tener reglas para restringir el uso de aplicaciones de IA fuera de los procesos o plataformas aprobadas.
Abrumadas y con costes excesivos
En este contexto, quizás no sorprenda que ESET haya encontrado que el 58% de las PyMEs considera que es más vulnerable a los ciberataques que las grandes empresas. No solo se enfrentan a un panorama de amenazas sin precedentes. La presión también es operativa, además de técnica.
Las PyMEs suelen tener dificultades para orientarse en un mercado saturado de jerga del sector, mensajes de marketing contrapuestos y soluciones puntuales que solo resuelven problemas específicos. Compran más tecnología, pero los resultados no mejoran.
Una empresa promedio puede utilizar decenas de herramientas de seguridad aisladas entre sí, cada una generando alertas y paneles aparentemente sofisticados. Esto solo crea más carga operativa, fatiga por alertas y brechas de capacitación. Sin el tiempo, las habilidades y la confianza necesarios para gestionar toda esa tecnología, las PyMEs pueden verse rápidamente sobrepasadas. Las amenazas reales pasan desapercibidas mientras los equipos pierden tiempo valioso investigando falsos positivos. Las actualizaciones de seguridad críticas quedan sin implementar mientras se parchean sistemas no esenciales. Herramientas importantes terminan mal configuradas.
Reducir la carga
Las organizaciones más pequeñas quieren mejor protección, no otro rompecabezas de seguridad que resolver. Necesitan herramientas y servicios que comprendan, que sean simples de operar y que proporcionen orientación y explicaciones en lenguaje claro sobre cómo funcionan y qué hacen internamente. Buscan monitoreo continuo para garantizar que cualquier amenaza pueda detectarse y contenerse lo antes posible, reduciendo así el impacto para la organización. También necesitan ayuda experta para entender qué amenazas priorizar cuando las alertas se acumulan y el contexto es escaso.
Para muchas de ellas, esto significa externalizar parte de la función de seguridad a un socio de confianza. Aunque quizá no estén familiarizadas con el término, la respuesta suele encontrarse en los servicios de detección y respuesta administrada (MDR), que reducen la carga sobre los equipos internos y ayudan a garantizar que ninguna alerta pase desapercibida.
Sin embargo, históricamente el mercado PyME no siempre ha estado bien atendido por los proveedores de MDR. Muchas organizaciones más pequeñas se han sentido excluidas de un segmento que suele cobrar una prima por estas capacidades. Después de todo, el monitoreo 24/7 y la búsqueda proactiva de amenazas requieren recursos especializados, algo especialmente costoso en un contexto de escasez de talento en ciberseguridad.
Luego está el proceso de implementación. A pesar de prometer simplicidad en la superficie, muchas ofertas de MDR no resultan tan sencillas en la práctica. Requieren integraciones con múltiples sistemas y fuentes de datos, la asignación de los permisos adecuados al SOC externo, el ajuste de reglas de detección, la planificación de la respuesta a incidentes y muchas otras tareas complejas y demandantes.
En esencia, lo que la mayoría de las PyMEs busca es monitoreo continuo, detección de actividad sospechosa, orientación clara sobre los próximos pasos y expertos disponibles para colaborar con la contención y remediación cuando sea necesario. Sin embargo, en la práctica, todo puede resultar mucho más complicado.
Para las PyMEs, se trata de obtener una buena relación entre costo y beneficio: una seguridad que cumpla con los resultados prometidos. Esto es más importante que nunca en un momento de incertidumbre empresarial continua y ante la amenaza de interrupciones causadas por incidentes de ciberseguridad que podrían tener consecuencias duraderas.
Todas las organizaciones deben asumir que, en algún momento, sufrirán una brecha de seguridad, independientemente de la eficacia de sus controles preventivos. La clave para evitar daños financieros y reputacionales potencialmente devastadores es contener y recuperarse de cualquier ataque lo más rápido posible. Eso implica encontrar soluciones de seguridad que ayuden a tomar mejores decisiones, no que generen más trabajo.
Lo que buscan las PyMEs
En este contexto, las PyMEs buscan varias capacidades complementarias en sus socios de seguridad. Buscan productos y servicios que les ayuden a:
- Reducir la carga operativa absorbiendo el trabajo diario que los equipos internos tienen dificultades para gestionar. Un proveedor puede lograr esto automatizando procesos rutinarios, como la remediación de incidentes comunes; ofreciendo asistencia basada en IA para mejorar la productividad; y garantizando siempre la disponibilidad de expertos para tareas como la implementación inicial o para intervenir cuando la IA y la automatización no sean suficientes.
- Detectar y contener amenazas más rápidamente para mantener la resiliencia. Esta capacidad debe funcionar las 24 horas del día, ya que los actores de amenazas cada vez eligen más los fines de semana y feriados para maximizar el impacto de sus ataques. Al reducir el tiempo de permanencia de una amenaza en el entorno comprometido, las organizaciones pueden disminuir los costos asociados a un incidente. IBM calcula que las brechas de datos que el año pasado fueron identificadas y contenidas en menos de 200 días generaron costos de USD 4,32 millones, mientras que aquellas cuyo ciclo de vida superó los 200 días tuvieron un costo promedio de USD 5,65 millones.
- Favorecer una comprensión más clara y una mejor toma de decisiones, evitando bombardear al cliente con demasiada información técnica. Necesitan saber qué ocurrió, cuán grave es el incidente, qué hizo el proveedor para remediarlo y qué acciones adicionales debe realizar la organización. Demasiada información puede obstaculizar la respuesta.
- Garantizar una mayor continuidad operativa mediante un sistema que favorezca la resiliencia, previniendo incidentes cuando sea posible, limitando su impacto cuando ocurran y asegurando que la empresa pueda mantener operaciones mínimas viables mientras se recupera rápidamente. Las PyMEs tienen un margen de error menor que las grandes empresas, por lo que una recuperación rápida resulta esencial para preservar la confianza de los clientes y minimizar el impacto financiero.
- Acelerar el tiempo hasta obtener valor mediante procesos de implementación y despliegue rápidos, permitiendo que la PyME comience a beneficiarse del servicio lo antes posible. La IA y la automatización pueden ayudar en esta tarea y mantener la ventana de exposición lo más reducida posible.
- Impulsar una adopción más segura de la IA, garantizando que toda la IA utilizada dentro de la organización esté gestionada y gobernada de forma segura. Esto implica comprender primero qué soluciones se utilizan, qué datos se les suministran y, en el caso de los agentes, a qué recursos tienen acceso. Luego, establecer políticas y controles para minimizar riesgos. Una capa adicional de protección ayuda a reducir los riesgos de filtración, prompt injection o data poisoning, evitando que sistemas existentes sean secuestrados por terceros maliciosos.
- Incrementar la protección en toda la superficie de ataque corporativa, incluyendo identidades, herramientas de colaboración, acceso remoto, uso de IA, aplicaciones SaaS, infraestructura cloud y más. Un proveedor de confianza ayudará a gestionar el riesgo en este entorno TI distribuido y complejo, que puede abarcar desde laptops de empleados remotos hasta servidores en la nube. Los actores de amenazas son expertos en encontrar brechas de protección, por lo que la cobertura debe ser integral.
- Ofrecer el enfoque adecuado para cada organización, porque no existen dos PyMEs iguales. Tienen perfiles de riesgo, superficies de ataque, niveles de madurez tecnológica y presupuestos diferentes. Para algunas, la protección automatizada será suficiente. Para otras, una relación de seguridad más personalizada y con soporte integral será más adecuada. La clave está en ofrecer opciones sin generar confusión y en alinear los servicios con el apetito de riesgo de cada cliente.
El argumento a favor de una seguridad supervisada
Lo que esto implica es una ciberseguridad supervisada y sin fricciones para la era de la IA.
Sin fricciones porque debería reducir las barreras innecesarias en términos de compra, implementación y uso. Y ofrecer una protección sólida sin necesidad de interpretar alertas técnicas complejas ni integrar soluciones puntuales desconectadas entre sí. Supervisada porque debería ofrecer una combinación de IA, automatización y supervisión humana especializada, garantizando que el cliente mantenga el control, pero con un experto a su lado para orientarlo. Y "ciberseguridad para la IA" porque debería aprovechar la IA para mejorar la prevención, detección, respuesta, correlación, investigación y eficiencia. Pero también debería contar con capacidades para reducir el riesgo en toda la superficie de ataque de IA del cliente.
La IA está cambiando las reglas del juego de la seguridad. Pero nunca debería tratarse como una funcionalidad o un mensaje de marketing. Debería estar integrada en la esencia de lo que ofrece un socio de seguridad de confianza. No para reemplazar la experiencia humana, sino para potenciarla cuando sea necesario, haciendo que los equipos sean más productivos y detectando amenazas que podrían pasar desapercibidas.
En última instancia, las PyMEs quieren tener la confianza de que están mejor protegidas, respaldadas y preparadas. Que están haciendo todo lo posible para minimizar una intrusión. Y que, si se produce una brecha de seguridad, podrán recuperarse lo más rápido posible. Más allá de esto, necesitan sentir esa confianza sin la carga operativa que afecta a tantas organizaciones más pequeñas. Porque, al final, la seguridad debería ser un habilitador del negocio, no una carga para el crecimiento y la innovación.
El mercado está evolucionando. Existe una mejor alternativa para las PyMEs. Solo hay que encontrar a los socios de seguridad adecuados: aquellos enfocados específicamente en satisfacer las necesidades del mercado medio con soluciones más simples que ofrezcan resultados de ciberseguridad supervisada.
