Crear un presupuesto de ciberseguridad: consideraciones principales

El presupuesto de ciberseguridad es un tema candente en la actualidad. Los titulares sobre violaciones de datos dejan muy claro que una ciberseguridad sólida es vital para todas las organizaciones, pero los equipos de liderazgo no pueden simplemente emitir un cheque en blanco con el memorando “¡Mejore la ciberseguridad! “En cambio, necesitan establecer un presupuesto de ciberseguridad eficaz.

Este artículo puede ayudar. Explora los factores que impactan los costos de ciberseguridad y cuánto del presupuesto más amplio de TI están asignando actualmente las organizaciones a la ciberseguridad, brinda orientación sobre cómo justificar las solicitudes de presupuesto y establece tendencias clave a considerar para la planificación a largo plazo.

¿Cuánto cuesta la ciberseguridad a las organizaciones?

El costo de la ciberseguridad para una organización puede variar dramáticamente. Los componentes clave de un presupuesto de ciberseguridad incluyen los siguientes:

Software: las partidas más obvias de su presupuesto de ciberseguridad son las soluciones de software. Estos suelen incluir aplicaciones antivirus, cortafuegos, herramientas de auditoría y gestión de cambios, y soluciones de copia de seguridad y recuperación. De hecho, las grandes empresas cuentan ahora con una media de 76 herramientas de seguridad diferentes.
Personal: Sin embargo, el mayor costo de ciberseguridad es en realidad el personal, ya que representa un enorme 38 % del presupuesto general de seguridad. El talento cualificado en ciberseguridad ha tenido una gran demanda durante años, y tendencias como el aumento de la jubilación de TI no han hecho más que agravar el problema. Pero es importante comprender la compleja relación entre el software y el personal. Demasiadas organizaciones contratan talentos costosos en ciberseguridad y luego les asignan tareas repetitivas. Pero si invierte en las soluciones automatizadas adecuadas, puede liberar a su limitado equipo de TI para que pueda centrarse en cuestiones más estratégicas. Además, esta estrategia puede, a su vez, mejorar la satisfacción laboral y la retención del talento.
Servicios: las organizaciones suelen contratar servicios de ciberseguridad de terceros para tareas específicas, como evaluaciones de vulnerabilidades y pruebas de penetración, así como para servicios de seguridad administrados continuos.
Hardware: la mayoría de las organizaciones todavía tienen una huella local, por lo que necesitan asignar un presupuesto de ciberseguridad para mantener actualizados sus servidores, enrutadores y otra infraestructura de TI. Además, deben planificar estaciones de trabajo, portátiles y otras inversiones en hardware.
Programas de formación: la formación periódica sobre concienciación sobre ciberseguridad, mejores prácticas y amenazas emergentes es fundamental para todos los usuarios. Idealmente, la capacitación debería adaptarse a audiencias específicas. Asegúrese de cubrir a todos los empleados, incluidos los equipos directivos, así como a los consultores y cualquier otra persona con acceso a la red. Considere realizar pruebas periódicas de la eficacia de la capacitación, como enviar correos electrónicos similares a phishing y verificar quién los denuncia y quién es víctima de ellos.
Costos de cumplimiento: las organizaciones que están sujetas a mandatos regulatorios, como HIPAA, GDPR o PCI-DSS, probablemente tendrán costos relacionados con el cumplimiento, desde la preparación de informes y auditorías hasta la contratación de un Oficial de Protección de Datos (DPO). .
Respuesta a incidentes: el objetivo de un presupuesto de ciberseguridad, por supuesto, es evitar filtraciones de datos y otros incidentes. Pero las organizaciones deben estar preparadas para la posibilidad de que se produzcan ciberataques exitosos. Los costos pueden incluir investigaciones forenses, costos legales, sanciones por cumplimiento y esfuerzos de relaciones públicas y medidas de compensación como el monitoreo del robo de identidad.
Seguro de ciberseguridad: muchas organizaciones compran un seguro de ciberseguridad para mitigar el impacto financiero de una filtración de datos. Como se explica a continuación, asegúrese de considerar si sería mejor gastar este dinero en controles de ciberseguridad.
Contingencias y costos inesperados: algunas organizaciones incluyen cierta protección para gastos inesperados en su presupuesto de ciberseguridad. Por ejemplo, periódicamente se descubren vulnerabilidades graves y algunas requieren un esfuerzo significativo para mitigarlas. Por ejemplo, se descubrió una vulnerabilidad en Log4j que permite a actores malintencionados ejecutar casi cualquier código que deseen en sistemas vulnerables. Log4j, una biblioteca de software de código abierto, es ampliamente utilizada por proveedores como Microsoft, Apple, Cloudflare y muchos más. Como resultado, las organizaciones todavía están trabajando para identificar sistemas vulnerables, probar e instalar parches y otras medidas de mitigación, y verificar si esas correcciones se implementaron correctamente.

¿Qué parte del presupuesto de TI debería destinarse a la ciberseguridad?

En promedio, las organizaciones asignan el 11,6 por ciento de su presupuesto de TI a la ciberseguridad. Sin embargo, alrededor de un tercio dice que es menos del 6 por ciento. Parte del problema a la hora de obtener cifras fiables es que diferentes organizaciones tienen criterios diferentes sobre lo que forma parte del "presupuesto de ciberseguridad" y lo que no. Por ejemplo, la compra de una computadora portátil para un nuevo empleado normalmente saldría del presupuesto regular de TI. Pero esa máquina necesita contar con una variedad de software relacionado con la seguridad, como antivirus y herramientas de monitoreo, que no está incluido con el sistema operativo. Por lo tanto, no sorprende que diferentes organizaciones puedan tener diferentes formas de categorizar el presupuesto para una partida como “computadoras portátiles nuevas”. "

Si bien no existe una respuesta única a la pregunta de cuánto de su presupuesto de TI dedicar a la ciberseguridad, estos son algunos de los factores clave que pueden influir en el porcentaje:

Tamaño y complejidad de la organización: en general, los costos totales de TI y ciberseguridad aumentan con el tamaño y la complejidad de la organización. Pero las empresas más pequeñas pueden asignar un porcentaje mayor de su presupuesto de TI a la ciberseguridad porque reconocen que su personal de TI limitado podría hacerlas más vulnerables.
Sector: la asignación de seguridad dentro de los presupuestos de TI varía significativamente según el sector: tecnología, bienes de consumo y servicios asignan más del 15 por ciento, mientras que las organizaciones en sectores como el legal, la manufactura, la atención médica y el comercio minorista dedican menos del 10 por ciento. .
Requisitos de cumplimiento: si bien algunos mandatos de cumplimiento, como HIPPA y FERPA, dependen del sector, otros se aplican de manera más amplia, por lo que vale la pena mencionar este factor por separado. Por ejemplo, PCI-DSS se aplica a cualquier organización que acepte pagos con tarjeta de crédito, y las regulaciones modernas de privacidad de datos como el GDPR se aplican tanto en industrias como en países. En consecuencia, casi todas las organizaciones deben incluir el cumplimiento en su presupuesto de ciberseguridad.
Madurez de la seguridad: las organizaciones con programas de seguridad maduros pueden dedicar menos parte de su presupuesto a la ciberseguridad en comparación con aquellas que recién comienzan. Esto podría ayudar a explicar por qué las organizaciones sanitarias se encuentran en el extremo inferior del porcentaje presupuestario a pesar de estar en un sector altamente regulado; esas regulaciones han estado vigentes durante mucho tiempo.
Perfil de riesgo: las organizaciones que son objetivos más atractivos para los ciberataques pueden necesitar asignar un mayor porcentaje de su presupuesto a la ciberseguridad. Los ejemplos incluyen organizaciones que tienen una gran cantidad de datos personales valiosos (como Equifax y Twitter), son elementos clave de una cadena de suministro (como Solar Winds) o brindan servicios esenciales (como Colonial Pipeline).
Huella tecnológica: el tamaño y la naturaleza del ecosistema de TI afectan en gran medida la estrategia de ciberseguridad de una organización. En particular, el presupuesto de ciberseguridad será diferente según los sistemas locales y los recursos en la nube que esté utilizando.
Uso de proveedores externos: especialmente en un servidor y capacidad de almacenamiento de datos, las organizaciones a menudo contratan proveedores externos para administrar las tareas de TI. Al hacerlo, las empresas deben asegurarse de que los proveedores cuenten con medidas de seguridad adecuadas. La subcontratación y la diligencia debida requieren tiempo y recursos, lo que puede aumentar los costos. Por ejemplo, sólo en el ámbito de la ciberseguridad, se requerirán medidas como evaluaciones de riesgos de los proveedores.
Incidentes de seguridad anteriores: es probable que las organizaciones que han sufrido una (o más) violaciones de datos en el pasado inviertan una mayor parte de su presupuesto de TI en ciberseguridad. Los tipos de ataques experimentados pueden influir en las líneas de pedido específicas; por ejemplo, una organización que fue víctima de un ataque de phishing podría centrarse en medidas como la capacitación de los empleados y el software de filtrado de correo electrónico.

Cómo justificar un presupuesto de ciberseguridad

Justificar un presupuesto de ciberseguridad ante las partes interesadas puede resultar un desafío. De hecho, un asombroso 36% de los CEO y CISO dicen que su junta directiva prestará atención a las amenazas a la ciberseguridad solo después de que se haya producido una infracción u otro incidente. Si busca justificar el presupuesto de ciberseguridad, ya sabe que es esencial salir de ese modo reaccionario. ¿Entonces que puedes hacer?

La clave es centrarse en un mensaje central: El riesgo de ciberseguridad es un riesgo empresarial.

Las investigaciones muestran que entre las organizaciones donde la junta directiva trata la ciberseguridad como un riesgo comercial, hay una mayor propensión a la inversión proactiva, preocupación por los riesgos técnicos y la aprobación del presupuesto de ciberseguridad.

A continuación se presentan algunas estrategias efectivas para transmitir ese mensaje a casa.

Cuantificar el costo de la inacción.

Cuando los riesgos son desconocidos o no están cuantificados, es muy difícil convencer a la gente para que actúe, en particular a quienes controlan el presupuesto. Para sentar las bases de su caso, comience con el hecho de que el costo promedio global de una filtración de datos fue de 4,45 millones de dólares en 2023, un aumento del 15 por ciento en tres años.

Los equipos de liderazgo de organizaciones más pequeñas podrían decir que esta estadística no es relevante, así que tenga esta a mano: el impacto promedio de una violación de datos en organizaciones con menos de 500 empleados es de $3,31 millones.

Para ilustrar por qué las infracciones son tan devastadoras desde el punto de vista financiero, comencemos con el coste del tiempo de inactividad. Señale que el 40 % de las empresas afirma que una sola hora de inactividad cuesta entre 1 y 5 millones de dólares y, en el peor de los casos, las pérdidas pueden alcanzar millones de dólares por minuto.

Luego pase a estos posibles costos directos e indirectos adicionales:

Pérdida de propiedad intelectual y otra información crítica para el negocio.
Gastos de remediación y análisis forense, que posiblemente incluyan costosos conocimientos externos
Pagos de extorsión por ransomware
Multas regulatorias y de cumplimiento: asegúrese de buscar las sanciones para los mandatos específicos a los que está sujeta su organización.
Honorarios legales y de relaciones públicas.
Gastos de notificación, seguimiento crediticio y mitigación de robo de identidad para los afectados
Daño a la credibilidad, la marca y la reputación de la empresa.
Rotación de clientes
Aumento de la prima del seguro o incluso pérdida de elegibilidad para una póliza

Explique por qué el seguro de ciberseguridad no sustituye a la ciberresiliencia.

Es posible que algunos equipos de liderazgo quieran hacer del seguro contra riesgos cibernéticos el centro del presupuesto de ciberseguridad de la organización. Si bien tener una política de riesgo cibernético transfiere una parte del riesgo financiero asociado con una infracción u otro incidente, tiene argumentos poderosos para explicar por qué no es de ninguna manera una panacea que deba desplazar otras partidas presupuestarias de ciberseguridad.

Comience ilustrando el valor decreciente de invertir en seguros contra riesgos cibernéticos con estos hechos:

Las tasas de interés se están disparando. No hace mucho tiempo, se podía decir que las pólizas de seguro contra riesgos cibernéticos a menudo tenían precios bajos porque muchas empresas querían establecerse en el mercado. Pero con los ataques cibernéticos aumentando tanto en frecuencia como en sofisticación en los últimos años, muchos de esos proveedores terminaron teniendo que pagar enormes reclamaciones y están aumentando las tarifas para compensar. Un estudio encontró que las primas directas aumentaron en un 50 por ciento en 2022, mientras que otro artículo fijó el aumento en un 80 por ciento. Algunas organizaciones informan que pagan hasta 1 millón de dólares al año por su póliza.
Tener un seguro puede aumentar el riesgo de ser atacado. Un estudio encontró que las organizaciones con seguro cibernético tenían más probabilidades de verse afectadas por ransomware que aquellas que no lo tenían, y un 70 por ciento más de probabilidades de sufrir un ataque. ser atacado varias veces.
El seguro contra riesgos cibernéticos suele tener exclusiones importantes. En cualquier póliza de seguro, la letra pequeña es muy importante. Las pólizas de seguro contra riesgos cibernéticos suelen tener numerosas exclusiones y su aplicación se está debatiendo actualmente en los tribunales. Algunas de las exclusiones más comunes incluyen las siguientes:

Las cláusulas de actos anteriores eximen al asegurador del pago de reclamaciones por actividades que tuvieron lugar antes de la emisión de la póliza. Dado que la actividad maliciosa a menudo pasa desapercibida durante meses o incluso años, esta es una exclusión crucial a tener en cuenta.
Las exclusiones de no mantener los estándares permiten a la aseguradora negarse a pagar un reclamo si un incidente fue causado por la falta de garantía de la organización para garantizar que se mantuvieran los controles requeridos.
Las cláusulas de actos de guerra excluyen las pérdidas resultantes de ataques de ciberseguridad patrocinados por el Estado. Esta cláusula ha dado lugar a demandas y acuerdos extrajudiciales que dejan, en el mejor de los casos, poco claras las cuestiones fundamentales sobre el alcance de esta exclusión. Pero Lloyd's de Londres, por ejemplo, ahora exige que todas las políticas independientes contra ciberataques incluyan una cláusula que excluya la responsabilidad por las pérdidas que surjan de un ciberataque respaldado por el Estado o de una guerra, declarada o no.
La Limitación de las sanciones por cumplimiento puede dejar a la compañía asegurada con multas elevadas y otros costos, incluso si la póliza cubre otros aspectos de los daños causados por un incidente.

Luego, ofrezca un enfoque más rentable. Tenga en cuenta que muchas aseguradoras ahora exigen que las organizaciones cuenten con tipos específicos de controles de seguridad para calificar para una póliza de seguro de riesgo cibernético o reducir su costo, y explique la razón principal: contar con controles sólidos de seguridad cibernética reduce el riesgo de sufrir una infracción. en primer lugar y ayuda a reducir el daño de los incidentes que ocurren. Señale cómo esos controles requeridos se asignan a las partidas de su presupuesto de ciberseguridad.

Ahora está listo para presentar la conclusión lógica: en lugar de gastar una gran parte del presupuesto de ciberseguridad en seguros costosos con toneladas de exclusiones, reasigne ese dinero para prevenir incidentes y recuperarse rápidamente de los ataques. Es posible que esas inversiones sean necesarias de todos modos para calificar para una póliza y, al implementar una estrategia integral, es posible que se elimine la necesidad de comprar un seguro.

Presente el riesgo actual de su organización y una estrategia para mitigarlo.

Brindar visibilidad de los riesgos comerciales es una forma poderosa de generar un sentido de urgencia para mitigarlos, lo que puede impulsar a los equipos de liderazgo a aprobar el presupuesto de ciberseguridad. En consecuencia, profundice lo mejor que pueda en su postura de riesgo actual. Busque herramientas que aumenten la visibilidad de su riesgo, como configuraciones mal configuradas, derechos de acceso excesivos y actividad de amenazas. Además, si su organización está sujeta a regulaciones o estándares de la industria, resalte cualquier forma en la que no pueda cumplir con los requisitos aplicables y demuestre el cumplimiento.

Una medida especialmente clara y cuantificable es la cantidad de rutas de ataque en su Active Directory que los adversarios podrían abusar para obtener el control total de su dominio. Con una evaluación de riesgos de AD rápida y gratuita, las organizaciones a menudo descubren miles o incluso millones de rutas de ataque y detalles sobre cómo cerrarlas.

Combine su evaluación de riesgos con un plan detallado que muestre cómo su presupuesto de ciberseguridad mitigará esos riesgos. Como se señaló anteriormente, asegúrese de explicar cómo la reducción de los riesgos de TI se traduce directamente en una reducción del riesgo empresarial. Por ejemplo, describa cómo las inversiones que propone pueden evitar pérdidas financieras al reducir las posibilidades de filtraciones de datos e infecciones de ransomware, además de reducir los costos de respuesta a incidentes detallados anteriormente. Cuantifique estos ahorros siempre que sea posible.

Este enfoque proporciona a la dirección pruebas convincentes para financiar su presupuesto de ciberseguridad. De hecho, las investigaciones muestran que las organizaciones con mayor eficacia en la gestión de riesgos empresariales priorizan un presupuesto de ciberseguridad mayor que las organizaciones con menor eficacia. En pocas palabras, proporcione visibilidad y es muy probable que se produzcan acciones.

Cuente historias y adáptelas a sus distintos públicos.

Al presentar los argumentos a favor de su presupuesto de ciberseguridad, recuerde que los humanos responden bien tanto a los números como a las historias. Por lo tanto, junto con cifras concretas, comparta ejemplos del mundo real de organizaciones que sufrieron violaciones de seguridad debido a inversiones inadecuadas en ciberseguridad y haga todo lo posible para cuantificar el daño que sufrieron. Siempre que sea posible, adapte sus narrativas a su audiencia actual, eligiendo historias que resuenen con su experiencia, como los roles que desempeñaron durante su carrera o los sectores en los que trabajaron.

Por otro lado, busque también historias que ilustren cómo la inversión en ciberseguridad ha proporcionado a una organización una ventaja competitiva u otro beneficio empresarial. Por ejemplo, tanto los clientes como los socios tienden a preferir hacer negocios con una empresa que demuestra compromiso con la seguridad. De hecho, las evaluaciones de riesgos o controles de seguridad específicos pueden incluso exigirse en los contratos, por lo que vale la pena explorar si alcanzar ciertos hitos de ciberseguridad brindaría a su organización oportunidades comerciales más amplias.

Identifique sus activos más críticos para enfocar su estrategia.

Su presupuesto de ciberseguridad debe priorizar la protección de los activos de mayor valor de su organización, conocidos como Nivel 0. Estos activos incluyen servidores críticos y cuentas privilegiadas. Debido a que brindan acceso a datos críticos y son peldaños para el control del ecosistema de TI, los activos de Nivel 0 son los principales objetivos de los actores de amenazas.

En un entorno de Active Directory, los activos de Nivel 0 incluyen controladores de dominio (DC), que almacenan información de identidad crucial y brindan los servicios vitales de autenticación y autorización necesarios para que se ejecuten los procesos comerciales. De hecho, a menudo el 90 por ciento o más de los procesos comerciales dependen de Active Directory y Entra ID (anteriormente Azure AD). El nivel 0 también incluye todas las cuentas que tienen control administrativo sobre el entorno, como miembros de grupos altamente privilegiados como administradores de dominio y administradores empresariales. Tenga en cuenta que esto incluye no sólo cuentas de usuario asignadas a seres humanos, sino también cuentas de servicio y cuentas de computadora.

Es importante destacar que el nivel 0 también incluye todas las cuentas que podrían obtener privilegios elevados. Tenga en cuenta que la herramienta de código abierto BloodHound establecerá claramente los pasos exactos que debe seguir un adversario para pasar de usuario común a administrador con privilegios elevados, utilizando una combinación de permisos ocultos, membresía en grupos anidados y brechas de seguridad inherentes en la arquitectura AD. Por lo tanto, es vital identificar proactivamente esas rutas de ataque, mitigarlas rápidamente y monitorear aquellas que aún no haya abordado.

Los CISO dicen que su principal preocupación en materia de seguridad es el crecimiento de los canales digitales para la interacción con clientes y socios, por lo que centrarse en la protección de las identidades de clientes, socios y empleados probablemente resonará con las prioridades de su equipo de liderazgo. Reducir el riesgo de comprometer las credenciales ayuda a evitar que los atacantes se afiancen en la organización y se muevan lateralmente para comprometer sus activos de Nivel 1.

Amplíe su pensamiento desde la ciberseguridad hasta la ciberresiliencia.

En lugar de centrarse exclusivamente en la ciberseguridad, amplíe su pensamiento a la ciberresiliencia. Después de todo, su objetivo principal no es simplemente evitar incidentes de ciberseguridad. Más bien, se trata de mantener los sistemas de TI (y, por lo tanto, el negocio) en funcionamiento tanto como sea posible y volver a ponerlos en funcionamiento rápidamente cuando se produzca una interrupción. Y las perturbaciones no son causadas sólo por ataques deliberados; también pueden ser el resultado de eventos no maliciosos como errores de administradores de TI, cortes de energía y fallas de equipos.

En consecuencia, un presupuesto de ciberseguridad verdaderamente eficaz debería cubrir los cuatro pilares de la ciberresiliencia:

Anticiparse: planifique tantos tipos de adversidad como sea posible, incluidos ataques cibernéticos, desastres naturales, fallas estructurales como cortes de energía, tensiones como cargas inesperadamente altas en los sistemas, errores cometidos por administradores con exceso de trabajo y actividades maliciosas por parte de empleados o contratistas.
Resistir : tomar medidas para garantizar que las funciones esenciales puedan continuar frente a la adversidad. Esto requiere identificar esas funciones esenciales, junto con todos los procesos, sistemas, servicios e infraestructuras de soporte. Luego, tome medidas para minimizar el riesgo de que esas funciones se vean afectadas por los tipos de adversidad que identificó.
Recuperar: asegúrese de poder restaurar funciones esenciales durante y después de la adversidad.
Adaptar: sus necesidades comerciales, su ecosistema de TI y el panorama de las amenazas cibernéticas cambian constantemente, así que asegúrese de evaluar periódicamente su inventario de funciones comerciales críticas y sus capacidades de soporte, así como su mitigación, respuesta y estrategias de restauración.

Habilite la recuperación rápida de Active Directory.

El tercer pilar de la ciberresiliencia merece un debate más profundo. A menudo, la estrategia de copia de seguridad y recuperación se limita a pensar en datos, como contenido de correo electrónico, bases de datos y documentos. Y es ciertamente importante poder restaurar estos datos si se eliminan o se dañan, ya sea por accidente o como parte de un ataque deliberado. Pero observe que el pilar Recuperar se centra en restaurar “funciones” en lugar de “datos”. "Esto se debe a que incluso si restaura todas sus bases de datos, mensajes de correo electrónico y hojas de cálculo, no sirven de nada si Active Directory no está en funcionamiento para brindarles acceso.

Active Directory es a la vez una base de datos y un conjunto de servicios vitales, por lo que una simple copia de seguridad y recuperación de datos no los devolverá a la vida después de un desastre. Más bien, la recuperación ante desastres de Active Directory consiste en hacer que los controladores de dominio vuelvan a funcionar para que puedan ofrecer servicios esenciales como autenticación y autorización. En pocas palabras, sin al menos un DC operativo, su ecosistema local o híbrido de Microsoft no puede funcionar.

La recuperación de los DC requiere una coordinación meticulosa de numerosos pasos en múltiples fases: prepararse para el proceso, realizar la restauración, sincronizar el DC con sus socios de replicación y volver a ponerlo a disposición, y más. Eso ya es bastante complicado si el desastre ha destruido todos los DC en un dominio AD; Si todo su bosque de Active Directory se ve afectado, el proceso de recuperación es aún más largo y complejo. Y recuerde, cada segundo que Active Directory no funciona, su negocio también falla.

Por eso es vital invertir en una solución dedicada de copia de seguridad y recuperación de Active Directory. Con la solución adecuada, puede provocar dramáticamente tiempos de inactividad de AD y, por lo tanto, tiempos de inactividad del negocio y pérdidas financieras. Los informes de experiencias de la vida real incluyen una organización que redujo el tiempo de restauración de AD de 6 días con procesos manuales de solo 1 hora y 15 minutos, y otra que cambió las herramientas de recuperación de AD y redujo el tiempo de recuperación de AD de 1 a 2 días a solo 1 a 4 horas. — generando 19,7 millones de dólares en ahorros potenciales durante tres años gracias a una recuperación más rápida de los ataques de ransomware. Estos números seguramente resonarán en la alta dirección cuando revisen su presupuesto de ciberseguridad.

¿Cuánto se gastará en ciberseguridad en 2023?

Finalmente, exploremos las perspectivas de los presupuestos de ciberseguridad y las tendencias clave que probablemente los afectarán en los próximos años. Según un estudio, en nueve de cada diez organizaciones, los presupuestos de ciberseguridad aumentaron de 2022 a 2023 y se espera que aumenten de 2023 a 2024. El aumento de 2022 a 2023 fue del 11 por ciento, y se prevé un aumento promedio adicional del 19 por ciento para el ciclo presupuestario 2023 a 2024. No sorprende que la mayoría de los CEO y CISO digan que podrían destinar más presupuesto a un uso productivo y eficaz: desde el doble hasta de tres a cinco veces más.

Sin embargo, otro informe encuentra que los aumentos del gasto en ciberseguridad están comenzando a disminuir en respuesta a factores como la inestabilidad global y las presiones inflacionarias. Señala que muchos CISO incluso dijeron que sus presupuestos aprobados para 2023 se estaban recortando como parte del ajuste presupuestario general. Entre las organizaciones que aumentaron sus presupuestos de ciberseguridad, el 80 por ciento indicó que el aumento del presupuesto se debió a un incidente de seguridad, una interrupción importante de la industria u otras circunstancias extremas, lo que refleja la tendencia hacia el pensamiento reaccionario discutida anteriormente.

Otras tendencias clave relacionadas con el gasto en ciberseguridad incluyen las siguientes:

Ransomware: los ataques de ransomware continúan disparándose y casi duplican su frecuencia entre 2022 y 2023. Como resultado, las organizaciones deberán incluir soluciones efectivas de detección, prevención y recuperación de ransomware en sus presupuestos de ciberseguridad.
Seguridad en la nube: a medida que las organizaciones migran más datos y cargas de trabajo a la nube, aumentará el gasto en soluciones de seguridad en la nube.
Seguridad de IoT: de manera similar, a medida que las organizaciones adopten dispositivos de IoT, necesitarán asignar presupuesto de ciberseguridad para comprender y mitigar sus vulnerabilidades y monitorear la actividad a su alrededor.
Inteligencia artificial (IA) y aprendizaje automático (ML): estas tecnologías que avanzan rápidamente están siendo explotadas activamente por los adversarios, que ahora pueden lanzar ataques efectivos con menos habilidades técnicas que nunca. , por lo que las organizaciones deben ajustar su estrategia de ciberseguridad para mitigar el riesgo. Al mismo tiempo, la IA y el ML también están permitiendo mejoras en las soluciones de detección y respuesta a amenazas, que los equipos de TI incluirán en sus solicitudes de presupuesto de ciberseguridad.
Cambios regulatorios: se están promulgando nuevas regulaciones de protección y privacidad de datos en todos los niveles de gobierno, y los mandatos existentes se están revisando con requisitos más estrictos y sanciones más severas. Las organizaciones ajustarán sus presupuestos de ciberseguridad para ayudar a garantizar el cumplimiento.
Modelo de seguridad Zero Trust: organizaciones de todo el mundo están adoptando un enfoque Zero Trust para la ciberseguridad. Este modelo de seguridad sostiene que no se debe confiar implícitamente en ningún usuario o servicio y que las organizaciones deben buscar activamente actividades sospechosas. Zero Trust va de la mano con una mentalidad de resiliencia cibernética, ya que implementar un modelo de Zero Trust puede ser la diferencia entre sufrir un ataque limitado con daños insignificantes o un incidente importante que detenga procesos comerciales vitales.

Conclusión

Desarrollar un presupuesto sólido de ciberseguridad y lograr su aprobación no es un proceso sencillo. Para ayudar a garantizar el éxito, asegúrese de obtener datos concretos sobre su postura actual de riesgo de TI y articule claramente cómo esos riesgos de TI se traducen directamente en riesgos comerciales. Concentre su presupuesto de ciberseguridad donde tendrá el mayor impacto: en sus activos de Nivel 0, especialmente Active Directory y Entra ID, ya que administran sus identidades y controlan el acceso a sus sistemas y datos vitales. Por último, amplíe su pensamiento desde la ciberseguridad a la ciberresiliencia y haga que la recuperación ante desastres de Active Directory sea una parte fundamental de su presupuesto de ciberseguridad.