A pesar de toda la atención puesta en las sofisticadas amenazas cibernéticas y las vulnerabilidades de día cero, la mayoría de las organizaciones están ignorando un peligro más inmediato: riesgos que ya conocen, pero que no han solucionado.
Presidente de Tecnología y Servicios de Arctic Wolf.
Investigaciones recientes pintan un panorama aleccionador de la seguridad empresarial actual. De más de 800.000 activos de TI analizados, uno de cada tres carecía de al menos un control de seguridad crítico. Casi uno de cada cinco ejecuta software al final de su vida útil y el 17% no utiliza por completo las herramientas tradicionales de gestión de vulnerabilidades.
En otras palabras, la superficie de ataque moderna no sólo se está expandiendo, sino que se está volviendo cada vez más fragmentada, poco comprendida y difícil de controlar.
Último vídeo deTecnologíaRadar
Violación basada en los fundamentos
Uno de los avances recientes es que los atacantes tienen menos necesidad de innovar. Cada una de las 10 vulnerabilidades más frecuentemente explotadas en la respuesta a incidentes recientes ya ha sido parcheada por los proveedores, a menudo hace meses.
Al mismo tiempo, el 65% de los incidentes involucraron el uso indebido de servicios de acceso remoto como VPN, RDP y herramientas de administración remota. Éstas no son debilidades sutiles; Son componentes fundamentales del entorno de TI moderno.
La conclusión es clara: técnicamente los atacantes no están dejando atrás a los defensores. Están aprovechando el ahorcamiento. Las organizaciones se han vuelto expertas en identificar vulnerabilidades, pero son mucho menos efectivas para priorizarlas y remediarlas, y la brecha entre conocer, priorizar y solucionar es donde se acumula el riesgo. Esa brecha es ahora donde comienzan la mayoría de las infracciones.
Problemas de visibilidad
En el centro de la cuestión se encuentra un desafío más fundamental: la visibilidad. Los entornos de TI empresarial han evolucionado hacia ecosistemas altamente distribuidos, que abarcan infraestructura local, servicios en la nube, aplicaciones SaaS, bordes remotos e integraciones de terceros.
Cada capa suele ser gestionada por diferentes herramientas, cada una de las cuales mantiene su propia lista. Nadie ofrece un escenario completo y los resultados son predecibles. Los activos quedan fuera del ciclo de parches. Dispositivos no cubiertos por Endpoint Protection. Se puede dejar de escanear todo el sistema. Casi una quinta parte (17%) de los activos no están ahora cubiertos por herramientas de gestión de vulnerabilidades, lo que los hace invisibles desde una perspectiva de seguridad.
Esto no es sólo un descuido técnico. Esto crea lo que muchos líderes de seguridad reconocen ahora como una vulnerabilidad estructural: las organizaciones no pueden proteger lo que no pueden ver.
Para las empresas del Reino Unido, este desafío es cada vez más importante. Los marcos regulatorios, como el Reglamento de Redes y Sistemas de Información (NIS2), y el próximo Proyecto de Ley de Resiliencia y Seguridad Cibernética del Reino Unido, están poniendo mayor énfasis en controles demostrables sobre activos y riesgos. El inventario inexacto y los datos fragmentados hacen que sea aún más difícil de probar.
Sistemas heredados: riesgos que no desaparecerán
Para agravar el problema de la visibilidad está la persistencia de tecnologías heredadas. El 19% de los activos de TI ejecutan software o hardware que ha llegado al final de su vida útil, lo que significa que ya no recibe actualizaciones de seguridad.
Estos sistemas son particularmente desafiantes. En sectores como la salud, la manufactura y los servicios financieros, a menudo están integrados en procesos críticos y no pueden ser reemplazados fácilmente. Sin embargo, siguen permanentemente expuestos a vulnerabilidades conocidas.
El problema no es sólo su existencia, sino su opacidad. No es raro que las organizaciones crean que los sistemas heredados han sido desmantelados y descubran que todavía estaban activos. Esto crea un punto ciego persistente dentro de la superficie de ataque, que los atacantes pueden explotar rápidamente.
Una brecha creciente entre la percepción y la realidad
Quizás el mayor problema es hasta qué punto las organizaciones malinterpretan su propia postura de seguridad. Muchos confían en un único sistema de registro, como una herramienta de gestión de configuración, como su “fuente de verdad”. Sin embargo, estos sistemas suelen estar incompletos.
En un ejemplo, una empresa cree que tiene una cobertura completa de seguridad de endpoints basándose en informes internos. Un análisis independiente reveló que una parte de sus dispositivos no estaban incluidos en el sistema en absoluto. Esta desconexión entre la percepción y la realidad crea una falsa sensación de seguridad, que es cada vez más insostenible en un clima de creciente escrutinio regulatorio y rendición de cuentas a nivel de las juntas directivas.
En todo el Reino Unido y la UE, marcos como la Ley de Resiliencia Operacional Digital y NIS2 en servicios financieros están generando expectativas en general. Las organizaciones ya no son juzgadas por si existen controles, sino por si son efectivos, verificables y aplicados de manera consistente.
De la gestión de la vulnerabilidad a la gestión de la exposición
En este contexto, hay un amplio cambio en la forma en que las organizaciones abordan la ciberseguridad. La gestión tradicional de vulnerabilidades, centrada en identificar y calificar defectos, ya no es suficiente. El desafío no es la falta de datos, sino la falta de claridad sobre lo que más importa.
La gestión de la exposición, por el contrario, adopta un enfoque más holístico. Combina el descubrimiento continuo de activos con datos de múltiples fuentes, aplicando el contexto empresarial y de amenazas para priorizar el riesgo. Fundamentalmente, también se centra en la verificación, es decir, garantizar que las medidas correctivas se lleven a cabo realmente.
Estos cambios ya están dando resultados mensurables. Las organizaciones que adoptan prácticas de gestión de exposición más maduras ven reducciones de más del 40% en categorías de riesgo clave, incluidos controles perdidos y activos al final de su vida útil.
Una nueva base para la ciberresiliencia
Las implicaciones para las empresas del Reino Unido son claras. La ciberseguridad ya no se trata sólo de proteger contra lo desconocido. Se trata de gestionar lo conocido, de forma sistemática, continua y a escala.
Esto es particularmente relevante a medida que el riesgo cibernético se vincula cada vez más estrechamente con el cumplimiento normativo, los requisitos de seguros y la gobernanza a nivel de directorio. La capacidad de demostrar control sobre la superficie de ataque (probar qué existe, cómo está protegido y si se han mitigado los riesgos) se está convirtiendo rápidamente en una expectativa básica.
Los atacantes ahora pueden obtener control de todo el dominio una vez dentro de un entorno en cuestión de minutos. En ese contexto, los retrasos en la remediación o las brechas en la visibilidad no son sólo problemas operativos: son riesgos comerciales.
Las organizaciones que tienen éxito son aquellas que cierran la brecha entre el conocimiento y la acción. Aquellos que van más allá de las suposiciones y desarrollan una comprensión clara y verificable de su exposición. En última instancia, en el panorama de amenazas actual, el mayor riesgo no es lo que las organizaciones no saben todavía, sino lo que ya saben, pero no han solucionado.
Hemos presentado el mejor software de firewall.
Este artículo fue producido en parte Perspectiva profesional de TechRadarNuestro canal para mostrar las mejores y más brillantes mentes de la industria tecnológica actual.
Las opiniones expresadas aquí son las del autor y no necesariamente las de TechRadarPro o Future plc. Si está interesado en contribuir, obtenga más información aquí:
