Si no sabes si te vulneraron, mide antes de invertir en seguridad

El tema de tecnología, datos y ciberseguridad es, dentro del instrumento EIS, el que más hallazgos graves acumula por empresa. Un 83% de las empresas con diagnóstico de tecnología tiene al menos un hallazgo de severidad alta, y un 81% tiene además uno de severidad crítica. Son los porcentajes más altos del instrumento completo. Pero antes de leer esto como una alarma de ataques confirmados, vale la pena mirar el dato que lo acompaña.

Hallazgos graves, visibilidad baja

Un 42% de las empresas de la muestra no tiene registro de los incidentes de seguridad ocurridos en los últimos doce meses. Es decir, una parte relevante de esos hallazgos críticos y altos no describe un ataque confirmado, describe la ausencia total de un mecanismo para detectarlo. La empresa mediana chilena no necesariamente tiene más incidentes que otras: tiene menos capacidad de saber si los tuvo.

Medir antes de comprar

Esta distinción cambia el orden de las prioridades. Invertir en una herramienta de seguridad más sofisticada, sin antes tener un mecanismo simple para registrar y revisar incidentes, es como comprar una alarma más cara para una casa donde nadie revisa si sonó. El primer paso razonable no es tecnológico, es de proceso: definir qué cuenta como incidente, quién lo registra y con qué frecuencia se revisa esa lista.

Qué hacer

• Definir en una página qué se considera un incidente de seguridad en la empresa, desde un intento de phishing hasta una caída de un sistema crítico, y quién debe enterarse cuando ocurre.
• Llevar un registro simple, aunque sea una planilla, de cada incidente detectado en los próximos meses: es la base mínima para saber si la situación mejora o empeora.
• Revisar ese registro con el equipo de gestión al menos una vez al trimestre, antes de decidir cualquier inversión adicional en ciberseguridad.