Las infraestructuras de TI demasiado complejas suponen un riesgo para la seguridad

Más de dos tercios de las empresas planean aumentar su presupuesto cibernético en 2022 para proteger mejor sus sistemas y datos, y más de la mitad de los ejecutivos están preocupados por un aumento en los ataques notificables, según muestran nuevos datos de la consultora PricewaterhouseCoopers.

Sin embargo, la mayor amenaza para las empresas es un nivel evitable de complejidad innecesaria que ha resultado en un mayor riesgo. Tres cuartas partes (75%) de los ejecutivos están de acuerdo en que la infraestructura de su empresa se ha vuelto demasiado compleja y casi la misma cantidad está de acuerdo en que la complejidad es demasiado alta en términos de niveles de riesgo, según el informe. En general, los ejecutivos temen que la complejidad conduzca principalmente a brechas de seguridad y pérdidas financieras, pero también inhibe la innovación y socava la capacidad de recuperación operativa.

Según el nuevo informe 2022 Global Digital Trends Insights de PwC, las organizaciones deben centrarse en simplificar sus operaciones e infraestructura y determinar si se requiere complejidad.

«Las consecuencias de un ataque aumentan a medida que las dependencias de nuestros sistemas se vuelven cada vez más complejas», dice el informe. “Las infraestructuras críticas son particularmente vulnerables. Aún así, muchas de las violaciones que vemos todavía se pueden prevenir con prácticas cibernéticas sólidas y controles estrictos «.

La encuesta Global Digital Trust Insights Survey encuesta a más de 3.600 ejecutivos de negocios, tecnología y seguridad anualmente y se enfoca principalmente en (62%) grandes empresas con $ 1 mil millones o más en ingresos. Si bien el 69% de las empresas espera que su presupuesto cibernético aumente en 2022 y el 26% espera un aumento del 11% o más, muchas empresas todavía no ven sus inversiones en seguridad dando frutos.

Más de la mitad de las empresas han invertido en seguridad en la nube, formación en concienciación sobre seguridad o seguridad de terminales, pero solo alrededor de un tercio de estas empresas están obteniendo los beneficios de estas implementaciones, según el informe «2022 Global Digital Trust Insights».

Una razón de esto es la complejidad de sus entornos y, a menudo, también de la tecnología, explicaron dos ejecutivos de PwC en un documento de estrategia publicado a principios de este año.

«[C]La complejidad ha llevado los riesgos y costos cibernéticos a nuevas alturas peligrosas «, dijeron Richard Horne, presidente de ciberseguridad del Reino Unido en PwC Reino Unido, y Sean Joyce, líder mundial y estadounidense en seguridad cibernética y privacidad de PwC Estados Unidos, en una carta publicada en febrero. Los ciberataques en todo el mundo están aumentando e incluyen ataques de «ransomware» delictivos potencialmente devastadores y actividades de estados nacionales dirigidas a agencias gubernamentales, defensa y sistemas de alta tecnología, por ejemplo, violando software de administración de redes de TI y otros proveedores.

En general, las empresas más maduras que se ocupan de la complejidad tienen 12 veces más probabilidades de tener un CEO dedicado, 11 veces más probabilidades de comprender el riesgo que representan los terceros para sus puestos de ciberseguridad y privacidad, y una probabilidad 10 veces mayor de tener un fideicomiso de datos formal. proceso de prácticas, según el informe.

Sin embargo, solo alrededor de un tercio de las empresas han tomado medidas para optimizar sus negocios y operaciones en los últimos dos años, según la encuesta.

Simplifica para reducir la superficie de ataque.
Como era de esperar, a medida que avanzaba la pandemia, el 35% de las organizaciones definieron una nueva combinación de trabajo remoto, virtual y en el sitio, mientras que el 33% reorganizó sus funciones comerciales y el 32% consolidó sus proveedores de tecnología.

Para simplificar las cosas, las empresas distribuyen sus presupuestos de manera uniforme en nueve iniciativas diferentes, incluido un 36% estimado del presupuesto de manera uniforme en «Integración de controles y procesos en todas las disciplinas», «Reducción».[ing] tecnología obsoleta u obsoleta «y» adopción de una estrategia de tecnología basada en la nube «.

El informe sostiene que las organizaciones deben reducir la complejidad y la superficie de ataque para mejorar su seguridad y reducir el costo de proteger sus sistemas y datos.

Las operaciones de seguridad y los equipos interdisciplinarios deberían echar otro vistazo a su propia infraestructura para encontrar cualquier complejidad disminuida, dice el informe. Encuentre soluciones técnicas que no puedan funcionar en conjunto y equipos que no colaboren en la resiliencia o la gestión de riesgos de terceros, que no tengan un proceso de gestión de datos y no involucren a los equipos comerciales en la discusión de medidas y tecnologías de ciberseguridad.

«La complejidad no es mala en sí misma, a menudo es un subproducto del crecimiento empresarial», dice el informe. «El costo de crear una complejidad innecesaria no es evidente y es difícil crear urgencia en la lucha contra la complejidad, es decir, hasta que se produce un ataque».