El pasado 17 de octubre finalizó el plazo para que España y los otros estados miembros de la UE aprobaran las leyes nacionales de implementación de La Directiva NIS2, con medidas que pretenden mejorar significativamente la seguridad de las infraestructuras críticas.
Más de 350.000 organizaciones en toda la UE y cerca de 1.500 en España entran en su ámbito de aplicación, incluyendo organizaciones medianas y grandes con más de 50 empleados y las de sectores críticos como atención sanitaria, energía, agua o transporte con más de 10 millones de euros en ingresos.
El incumplimiento de la Directiva NIS2 no es una opción. Más allá de las multas -hasta 10 millones de euros o el 2% de su facturación anual global-, hay que considerar cómo incentivar. Su cumplimiento reforzará la resiliencia cibernética general de la UE y proporcionará unas sólidas bases para generar confianza y seguridad en las tecnologías digitales.
Escasa preparación
Adherirse a NIS2 proporciona una base, pero la ciberseguridad debe entenderse como una cuestión crítica y cotidiana para las empresas. Los avances en IA están facilitando la proliferación de ciberataques más sofisticados y dirigidos. Y todas las estrategias de seguridad requieren una aproximación continua para responder a este panorama de amenazas en constante evolución.
Según el último informe Cybersecurity Readiness de Cisco, sólo el 2% de las empresas españolas están completamente maduras para hacer frente a los actuales riesgos de ciberseguridad, incluyendo desde phishing y ransomware hasta ataques a la cadena de suministro y de ingeniería social.
Según los datos del estudio, el 77 % de las empresas consultadas en España esperan que un incidente grave de ciberseguridad afecte a su negocio en los próximos 12 a 24 meses. Y el enfoque tradicional de adoptar múltiples soluciones puntuales de ciberseguridad no funciona: el 86 % admiten que ralentiza la capacidad de su equipo para detectar, responder y recuperarse frente a los incidentes.
Mantenerse a la vanguardia
En la era de la hiperconectividad, entornos de trabajo distribuidos y actores de amenazas avanzados, Cisco ofrece a las organizaciones un enfoque de ciberseguridad cohesivo e integrado, en consonancia con los objetivos de NIS2, con medidas integrales diseñadas para proteger los terminales, las redes, las nubes y las aplicaciones.
A principios de este año, Cisco lanzó Hypershield, la primera arquitectura de seguridad verdaderamente distribuida y nativa de IA con una visión clara de situar la seguridad donde sea necesario: en cada componente de software de cada aplicación que se ejecuta en la red, en cada servidor y en implementaciones de nube pública o privada. Y con Splunk y Cisco uniendo fuerzas y capacidades, los clientes ahora tienen una visibilidad incomparable de toda su huella digital para una protección completa.
Además, el equipo de Cisco Talos gestiona diariamente más de 800.000 millones de eventos de seguridad para organizaciones, pero también más de 60 asociaciones gubernamentales e industriales. Al alertar a los clientes y al público sobre nuevas amenazas y tácticas de mitigación, Cisco puede incorporar rápidamente protección a sus productos y ayudar a las organizaciones con la respuesta a incidentes, la búsqueda de amenazas y las evaluaciones de vulnerabilidad.
Pero el enfoque de seguridad de Cisco abarca mucho más que su oferta de productos, siendo uno de los mayores contribuyentes a la formación, capacitación y calificación en ciberseguridad. Cisco pretende capacitar en habilidades digitales a 2,6 millones de personas durante la próxima década en Europa a través de su programa Cisco Networking Academy, habiendo formado ya en ciberseguridad a 224.000 europeos, alcanzando el 90% de su objetivo trienal (250.000 formaciones) anunciado en marzo de 2023. En España, la iniciativa ha formado a más de 330.000 estudiantes en habilidades digitales (incluyendo seguridad) hasta la fecha.
Consejos para cumplir con la Directiva
Aunque las organizaciones pueden consultar los conocimientos detallados de Cisco para una hoja de ruta optimizada y cumplir con NIS2, algunos consejos clave son:
- Conocer las reglas. Las organizaciones deben notificar al regulador pertinente del Estado miembro de la UE que su organización está operando dentro del alcance de la NIS2, de conformidad con las leyes nacionales que transponen la Directiva.
- Los datos son clave. La seguridad es un juego de datos y, a menudo, gana quien tiene los mejores datos. Las organizaciones necesitan soluciones fáciles de implementar que les proporcionen datos y capacidad para detectar, investigar y priorizar amenazas e incidentes, así como las herramientas para remediarlos rápidamente.
- Adoptar acceso remoto de confianza cero. La autenticación continua y multifactor es una de las mejores formas de frustrar a los actores maliciosos que usan credenciales robadas. Reduce el riesgo de vulneración de cuentas en un 99,9%.
- Aprovechar las herramientas del marco de control de seguridad. Cisco creó un marco de control de la nube (CCF) para adaptar sus ofertas de SaaS a los estándares internacionales clave, incluyendo los requisitos de seguridad NIS1 y NIS2 (una vez implementados). El CCF no sólo respalda los esfuerzos de cumplimiento de Cisco, también está disponible para que todos lo aprovechen.
- Detectar e informar sobre incidentes. NIS2 requiere contar con las herramientas necesarias para detectar incidentes rápidamente y poder actuar con rapidez. Cisco XDR agrega información de todas las herramientas de seguridad implementadas en el entorno para brindar una vista de 360° en un panel unificado. Junto con Splunk ES, Cisco XDR agiliza la detección y la investigación en los dominios de IT y OT, mejorando la búsqueda y remediación de amenazas.
- Apoyar un cambio cultural. Muchas empresas ya están avanzando en el cambio de su cultura interna para tomarse en serio los ciberataques y las interrupciones de servicio. Eta cultura debe extenderse desde la sala de juntas hasta la planta de producción, inculcando un compromiso en toda la empresa con la educación y el desarrollo de habilidades en materia de ciberseguridad.
Invertir en ciberseguridad no es sólo un requisito de cumplimiento normativo, sino un imperativo estratégico. Una mejor higiene cibernética tiene un efecto multiplicador para las organizaciones en términos de mitigación de riesgos, mejora de la reputación y confianza de los clientes.
Ángel Ortiz, Director de Ciberseguridad en Cisco España
