Según el nuevo informe de Kaspersky “Cómo las empresas pueden minimizar el coste de una brecha de seguridad”, las pymes europeas que cuentan con tecnología obsoleta y sin actualizar pueden sufrir un 53 % más daños financieros en caso de una brecha de seguridad, que las que la actualizan a tiempo.
En el caso de las grandes empresas, la diferencia también es significativa, un 23 %. Se trata, además, de un problema bastante común, y una asignatura pendiente para muchas empresas europeas, ya que el 44 % de ellas utilizan algún tipo de tecnología obsoleta dentro de su infraestructura de TI.
Aunque las vulnerabilidades son inevitables en cualquier software, incluir actualizaciones y parches de manera regular puede minimizar los riesgos. Es por este motivo que siempre se aconseja a los usuarios instalar las últimas versiones de software en cuanto estén disponibles, por mucho que las actualizaciones a veces sean complicadas o consuman tiempo. Considerando que más del 44 % de las empresas europeas utilizan alguna tecnología o software desfasados, el informe de Kaspersky deja claro que las organizaciones deben priorizar la renovación del software y estar preparadas para invertir y ahorrar dinero a largo plazo.
Ante una brecha de seguridad en las grandes empresas con tecnología obsoleta, tales como sistemas operativos sin parchear, software antiguo o dispositivos móviles no soportados, la media en daños financieros puede alcanzar un total de 743.000 €, un 23 % más que la media de las empresas con la tecnología completamente actualizada (602.000 €).
En el caso de las pymes europeas, el porcentaje es aún mayor, un 53% de pérdidas adicionales (la media alcanza los 85.000 €) respecto de aquellas pymes cuyas TI están actualizadas (con pérdidas estimadas en 55.000 €) en el caso de una brecha de seguridad.
Entre las razones para no actualizar la tecnología, una de las más comunes es la incompatibilidad con las aplicaciones desarrolladas internamente (46%), un factor que puede resultar crítico para aquellas organizaciones que desarrollan software a nivel interno para responder a sus propias necesidades o cuando utilizan aplicaciones muy específicas con soporte limitado. Otra razón habitual (también el 46% de los encuestados) es la resistencia de los empleados a trabajar con las nuevas versiones de software que ya utilizan. Por otra parte, el 25 % de los participantes en el estudio afirmó que no se actualizaban las tecnologías porque eran propiedad de los miembros de la junta directiva (25 %), y el 17 % alegó que la empresa carecía de los recursos necesarios para actualizar todo a la vez.
Para minimizar el riesgo como consecuencia de vulnerabilidades de software, Kaspersky recomienda adoptar las siguientes medidas:
- Asegurarse de que la organización esté utilizando la última versión de su sistema operativo y sus aplicaciones, con las funcionalidades de actualización automática habilitadas para que el software esté siempre al día.
- Si no es posible actualizar el software, se recomienda a las empresas hacer frente a este vector de ataque mediante la separación de los nodos vulnerables del resto de la red, junto con otras medidas.
- Habilitar la funcionalidad de análisis de vulnerabilidades y administración de parches en una solución de protección de endpoints. Así se pueden eliminar automáticamente las vulnerabilidades en software para infraestructuras, parchearlas de manera proactiva y descargar actualizaciones de software esenciales.
- Es importante aumentar los conocimientos en seguridad y las habilidades en ciberseguridad de los responsables de TI, que están en la primera línea de las actualizaciones de las infraestructuras de TI. También puede ayudar realizar un curso especifico de formación online en seguridad informática.
- En el caso de las TI criticas o los sistemas OT, es importante estar siempre protegido más allá de la disponibilidad de actualizaciones de software. Esto quiere decir que sólo se deben habilitar las actividades predeterminadas para los fines propios de los sistemas. KasperskyOS apoya este concepto de ciberinmunidad que puede utilizarse para diseñar sistemas de TI seguros por diseño.
Artículo publicado en cybersecuritynews.es
