El 86% de las pequeñas y medianas empresas (PyMEs) enfrentó al menos un incidente de ciberseguridad durante el último año, según una encuesta global de Kaspersky realizada entre especialistas de seguridad de TI de organizaciones de 18 países[1]. La investigación advierte que los ciberdelincuentes ya utilizan, contra este tipo de compañías, métodos similares a los empleados contra grandes empresas, una tendencia impulsada por su creciente digitalización, la reducción de los costos para ejecutar ataques y el aprovechamiento de nuevas tecnologías y brechas de seguridad.
De hecho, apenas el 14% de las empresas con menos de 500 empleados logró evitar un incidente de ciberseguridad durante ese periodo. La idea de que las organizaciones más pequeñas pueden pasar desapercibidas para los ciberdelincuentes está quedando atrás: a medida que incorporan más herramientas digitales a sus operaciones, también aumenta su superficie de ataque y las oportunidades que los actores maliciosos pueden aprovechar.
El estudio revela que, en el caso de América Latina, las organizaciones experimentaron tres tipos diferentes de incidentes de seguridad durante el último año. Entre las PyMEs, el phishing (24%), la explotación de vulnerabilidades de software (13%) y los accesos remotos externos (15%) fueron los incidentes más frecuentes. Aunque los exploits de día cero y los ataques que aprovechan relaciones de confianza aparecieron con menor frecuencia, cada una de estas amenazas, consideradas especialmente peligrosas, afectó al 8% de las organizaciones.
Si bien la distribución de los incidentes fue similar entre empresas de distintos tamaños, amenazas como el malware masivo, el ransomware, el compromiso del correo electrónico empresarial (BEC, por sus siglas en inglés) y la explotación de vulnerabilidades relacionadas con inteligencia artificial tuvieron una presencia ligeramente mayor en compañías con más de 500 empleados.
Los participantes también identificaron los cinco factores que más aumentan el riesgo de que un ciberataque tenga éxito dentro de sus organizaciones. En el caso de las PyMEs latinoamericanas, los dos principales están relacionados con las personas: la falta de experiencia entre el personal de seguridad de TI (26%) y la falta de conocimientos de ciberseguridad entre los empleados que no pertenecen al área de TI (24%).
A estos desafíos se suman las políticas insuficientes de seguridad de TI (20%), el uso de software y hardware desactualizados (22%) y la elevada carga de trabajo de los departamentos de seguridad de TI (21%), señalados también como factores que pueden incrementar la exposición de las compañías.
Ante este escenario, las organizaciones están destinando más recursos a fortalecer sus defensas. El 82% de las PyMEs ya incrementó su presupuesto de ciberseguridad este año. Entre quienes aumentaron la inversión, el 41% destinó nuevos recursos a ampliar sus equipos de TI y seguridad, mientras que el 30% los utilizó para migrar hacia soluciones más avanzadas, como XDR, NDR y SIEM.
¿Por dónde empezar? Un mapa para priorizar los riesgos de ciberseguridad
Para las PyMEs, que suelen operar con presupuestos y equipos limitados, fortalecer la seguridad también implica saber qué riesgos atender primero y dónde concentrar los recursos disponibles. Para facilitar esta tarea, Kaspersky desarrolló el Cyber Risk Heatmap, una evaluación en línea que permite identificar las principales áreas de exposición de una organización y obtener un mapa de calor personalizado con sus prioridades de seguridad. A través de cerca de 15 preguntas y en menos de 10 minutos, la herramienta analiza aspectos como personas y endpoints, correo y redes, nube, superficie de ataque, monitoreo y gestión de incidentes, y entrega recomendaciones prácticas para orientar las siguientes acciones de protección.
“Para una PyME, fortalecer la ciberseguridad no significa necesariamente invertir más, sino entender dónde están sus principales riesgos y utilizar mejor los recursos disponibles. Muchas organizaciones saben que necesitan mejorar su protección, pero no siempre tienen claridad sobre qué acciones deberían atender primero, especialmente cuando cuentan con equipos pequeños, presupuestos limitados y múltiples prioridades de negocio. Por eso, el punto de partida debe ser identificar las brechas que pueden tener un mayor impacto sobre la operación y, a partir de ahí, construir una hoja de ruta con acciones concretas y alcanzables. Esta priorización permite tomar decisiones más informadas, evitar inversiones aisladas y avanzar de manera progresiva hacia una estrategia de seguridad más sólida. La ciberseguridad debe crecer junto con la empresa, adaptándose a sus necesidades, a su nivel de madurez y a los nuevos riesgos que aparecen a medida que incorpora más tecnología a sus operaciones”, asegura Alicia Colella, Directora de Ventas Internas para SOLA en Kaspersky.
Para reducir su exposición a las nuevas amenazas en estas empresas, los expertos de Kaspersky recomiendan:
- Fortalecer los controles internos y de acceso. Definir permisos claros para los recursos corporativos y servicios en la nube, limitar los accesos según las funciones de cada empleado y revocarlos de inmediato cuando una persona deja la organización. También es clave automatizar las copias de seguridad, mantener software y equipos actualizados y establecer reglas para la instalación de nuevas aplicaciones. Estas medidas reducen riesgos asociados con credenciales robadas, amenazas internas, ransomware y dispositivos perdidos o comprometidos.
- Convertir a los empleados en una primera línea de defensa. Capacitar periódicamente al personal para reconocer amenazas como phishing, vishing, deepfakes y solicitudes sospechosas de credenciales o pagos. La formación debe ser práctica, continua y acompañarse de simulaciones que permitan identificar brechas de conocimiento y reforzar buenos hábitos, como verificar remitentes, proteger contraseñas y reportar rápidamente cualquier actividad inusual.
- Adoptar una protección que pueda crecer con la empresa. Las soluciones de seguridad deben responder al tamaño, nivel de madurez y recursos disponibles de cada organización. Las microempresas con menos de 50 empleados pueden apoyarse en Kaspersky Small Office Security Premium, que integra protección contra malware y ransomware, gestión de contraseñas y copias de seguridad. Para organizaciones con equipos de TI más desarrollados, Kaspersky Next Optimum incorpora capacidades avanzadas de prevención, detección y respuesta, mientras que Kaspersky Next MXDR Optimum añade monitoreo continuo y análisis especializado sin necesidad de ampliar el equipo interno de seguridad.
- Reforzar especialmente la seguridad del correo electrónico. El phishing, el compromiso del correo empresarial y los fraudes relacionados con pagos siguen utilizando el correo corporativo como una de sus principales vías de entrada. Kaspersky Security for Mail Server ofrece protección multicapa en buzones y gateways, apoyándose en machine learning e inteligencia de amenazas para identificar mensajes maliciosos y reducir el riesgo de que un correo fraudulento termine comprometiendo credenciales, información sensible o recursos financieros de la organización.
Para conocer más sobre cómo proteger la seguridad empresarial, visita nuestro blog.
[1] Se realizaron 1.800 entrevistas a nivel global, con representación de 18 países: Brasil, México, Colombia, Francia, Alemania, Italia, España, India, Indonesia, Malasia, China, Tailandia, Vietnam, Egipto, Sudáfrica, Arabia Saudita, Turquía y Rusia.
