El auge de la tecnología desafía a los CISO

A diferencia de otros líderes tecnológicos, los directores de seguridad de la información (CISO) han evitado en gran medida los recortes presupuestarios, motivados por una mezcla de presiones normativas, expectativas de los clientes y requisitos de los ciberseguros.

Sorprendentemente, más de un tercio de los presupuestos de seguridad se destinan hoy en día a software, dejando en un segundo plano los gastos en hardware y personal, lo que apunta a un importante reto al que se enfrentan muchos CISO: la hinchazón tecnológica, según el estudio «Budget Planning Guide 2025: Security And Risk», publicado este mes por Forrester.

De cara a 2025, la mayoría de los responsables de las tecnologías de seguridad prevén aumentos presupuestarios. Y los recursos se destinarán principalmente a tres áreas principales:

1 – Inversiones estratégicas para aumentar la seguridad

De cara a 2025, se anima a los CISO a aumentar los presupuestos en áreas que afectan a la generación de ingresos y ayudan a mitigar las amenazas en evolución. Aquí es donde recomendamos centrarse:

• Seguridad de las API y de la cadena de suministro de software: proteja las aplicaciones que generan ingresos
• Gestión del riesgo humano: proteger a las personas que dirigen su empresa
• Plataformas de capacitación y formación: capacite a sus profesionales
• Superficie de detección ampliada: incluye dispositivos OT e IoT para una visibilidad total

2 – Explorar las tecnologías emergentes

La naturaleza dinámica de las ciberamenazas exige la aplicación de tecnologías de ciberseguridad emergentes. He aquí las áreas listas para la experimentación en 2025:

• Gestión de la exposición y cuantificación de los ciberriesgos
• Seguridad poscuántica
• Seguridad del lago de datos
• Seguridad de IA y ML

3 – Sustitución de soluciones obsoletas

A medida que evoluciona la ciberseguridad, algunas soluciones antaño esenciales no consiguen adaptarse. Es hora de decir adiós a las tecnologías que ya no combaten eficazmente las tácticas, técnicas y procedimientos de los adversarios.

Los profesionales y proveedores de seguridad suelen caracterizar la ciberseguridad como una «carrera armamentística», y con razón. Los defensores mejoran, los atacantes evolucionan y el ciclo se repite. Por desgracia, muchas de las soluciones de ciberseguridad en las que todavía confían las organizaciones no han conseguido seguir el ritmo de la carrera armamentística de la ciberseguridad y, como resultado, deben ser retiradas en favor de soluciones que satisfagan mejor sus modelos de amenazas y requisitos de control actuales y futuros.

Invirtiendo estratégicamente, experimentando con tecnologías emergentes y descartando soluciones obsoletas, los CISO podrán mantenerse a la vanguardia y demostrar el valor de sus inversiones en seguridad.

Después de todo, como cualquier nivel C, los líderes de seguridad y riesgo no han superado los recientes vientos en contra macroeconómicos sin enfrentarse a retos presupuestarios. Sin embargo, la combinación de una mayor presión regulatoria, las mayores expectativas de los clientes y los requisitos de los seguros cibernéticos ha hecho que los CISO hayan evitado el apretón de cinturones al que se han enfrentado muchos de sus colegas líderes tecnológicos y directivos.

Chicos, otro punto importante

La rápida adopción de tecnologías emergentes en las organizaciones está generando un cambio en los requisitos de competencias en materia de seguridad y riesgos, pasando de las evaluaciones puntuales de conocimientos que ofrecen la mayoría de las certificaciones de ciberseguridad a competencias y experiencia demostrables y verificables.

A medida que las organizaciones se enfrentan a un aumento de los talentos no probados y a una reducción de los profesionales a mitad de carrera, es fundamental la necesidad de verificar las competencias necesarias mediante laboratorios prácticos como parte del proceso de contratación.

«La falta de empleados con conocimientos de seguridad era un reto clave en muchas organizaciones», explica Jess Burn, analista de Forrester. «Invertir en tecnología en lugar de en formación no hace sino ampliar la brecha de competencias, ya que los profesionales luchan por mantenerse al día aprendiendo nuevas herramientas en lugar de desarrollar competencias en dominios clave.»