El camino hacia la resiliencia comienza aquí

Puede que su empresa sea pequeña, pero su superficie de ataque no es nada grande. La preparación es el primer paso hacia la resiliencia.

26 de junio de 2026
•
,
Leer durante 5 minutos

La ciberseguridad de las PYMES no siempre recibe la atención que merece, incluso por parte de las propias pequeñas empresas. Esto es preocupante por diversas razones, en particular porque las empresas representan el 90% de los negocios globales, el 70% de los empleados y el 50% del PIB mundial, según el estudio. Foro Económico Mundial (FEM). Dado que hay menos recursos para dedicar a la ciberseguridad, es necesario utilizarlos de la forma más eficaz posible.

Para estas empresas, la dirección debería ser la ciberresiliencia, es decir, la capacidad de continuar las operaciones y recuperarse después de un incidente importante. ¿Pero dónde comienza el viaje? La preparación cibernética consiste en implementar procesos y controles para prevenir, detectar y responder a las amenazas. uno nuevo Informe ESET A continuación se muestra qué tan bien les está yendo a las pymes, cuáles son sus mayores desafíos y qué debería suceder a continuación.

La ciberseguridad como condición operativa

En muchos sentidos, las PYMES no se diferencian de sus competidores más grandes. Se enfrentan a un panorama de amenazas en rápida evolución, en el que los atacantes aprovechan las últimas tecnologías para aumentar el volumen, el alcance y la velocidad de los ataques. La superficie de ataque de las empresas aumenta con cada nueva herramienta digital y cada nueva inversión. Los empleados siguen siendo una fuente de riesgo. Y las empresas deben cumplir un número cada vez mayor de requisitos reglamentarios.

Según el informe de ESET, el 45% de las PYMES sufrieron un ciberincidente el año pasado, y aún más (61%) temen un ataque en los próximos 12 meses. Lo que más les preocupa es la pérdida de datos, la interrupción del negocio y el impacto financiero.

Estas son las preocupaciones que los propietarios de PYME comparten con los CISO y los directorios de las empresas multinacionales más grandes. Ilustran la importancia empresarial de la preparación cibernética. Y por qué la seguridad debe funcionar como una condición operativa, no como una función de TI aislada, sino como algo profundamente arraigado en la cultura y las operaciones comerciales. Este cambio es fundamental porque, si bien muchas PYMES finalmente se recuperan, el 34% todavía necesita de dos a seis semanas para resolver un incidente, una interrupción operativa prolongada que puede ser catastrófica para muchas empresas.

¿Se trata sólo de IA?

El informe también muestra que la mayoría (73%) de las pymes están integrando la IA en sus negocios, aunque reconocen que esto conlleva nuevos riesgos. Sin embargo, también existen preocupaciones sobre su potencial en las manos equivocadas. De hecho, varios encuestados citan el malware impulsado por IA como la “amenaza más preocupante”. ¿Debería ocupar un lugar tan destacado?

La verdad es que, a pesar de los titulares, el malware que utiliza IA de forma automatizada y en tiempo real sigue siendo poco común. Los avistamientos son relativamente rarosEsto lo convierte más en un tema para los investigadores de ciberseguridad que en una preocupación candente para las pymes.

Cuando se analizan los incidentes reales de ciberseguridad, los sospechosos habituales son responsables de la mayoría de los incidentes. El phishing y las vulnerabilidades sin parches se encuentran en la parte superior, de acuerdo con datos de otras fuentes. El último informe de Verizon – identifica la explotación y el phishing como los tres vectores de acceso inicial más importantes para las PYME. Las contraseñas débiles y la falta de monitoreo de seguridad también ocupan un lugar destacado en los datos de ESET.

Cuando se trata de IA, la amenaza más grave proviene de dentro. Según DBIR, la IA en la sombra es la tercera acción interna no maliciosa más común. Si bien el malware impulsado por IA puede no ser la mayor preocupación, la IA y la automatización están ayudando a los actores de amenazas a mejorar sus capacidades y escalar sus esfuerzos de ingeniería social, investigación y explotación de vulnerabilidades y otras amenazas “heredadas”. En este contexto, las PYMES con las que habló ESET están interesadas en utilizar la IA para combatir fuego con fuego, anticipar amenazas antes de que ocurran, detectar y responder a ataques más rápido y detectar ingeniería social.

El desafío es que estas herramientas no existen o las PYME a menudo no pueden beneficiarse de ellas.

Antes y después

Pymes que se hacen cargo Formación en sensibilización en ciberseguridad están en camino de desarrollar una postura de preparación cibernética más sólida. ¿Pero lo están haciendo de forma proactiva? ESET encuentra que la adopción de capacitación es mayor entre las organizaciones con múltiples incidentes (81 % frente a 53 %). Estas organizaciones también demuestran una mayor confianza en su resiliencia, tal vez porque han adoptado reactivamente las mejores prácticas en medidas de seguridad.

En un mundo ideal, las PYMES pasarían de una mentalidad de “más vale tarde que nunca” a una en la que comprendan los beneficios de la preparación cibernética antes de que un incidente les enseñe lecciones difíciles.

la confianza es alta

La buena noticia es que cuatro de cada cinco encuestados creen que su presupuesto de seguridad es suficiente o más que suficiente, mientras que la mitad de ellos espera un aumento el próximo año. Esto sugiere una planificación y asignación inteligente de recursos, incluida la subcontratación cuando tenga sentido financiero y operativo. Esto también indica confianza en el gasto actual, pero no significa que cada PYME haya ajustado el presupuesto para reflejar los riesgos que probablemente pondrán a prueba el negocio.

Entonces, ¿debería ser tan alta la confianza en la resiliencia cibernética, especialmente cuando las empresas todavía están experimentando múltiples impactos? La confianza ha aumentado del 48% en 2022 al 87% este año. La verdad es que no existe un estado final para la preparación o la resiliencia cibernética. En lugar de celebrar lo que han logrado hasta ahora, las PYMES deberían seguir centrándose en:

• Tecnologías y procesos centrados en la prevención, que incluyen capacitación, parches periódicos y una sólida gestión de identidades.
• Evaluaciones de riesgos realistas y periódicas para ayudarle a priorizar las inversiones en seguridad
• Respuesta a incidentes que ayuda a las organizaciones a recuperarse más rápido y reducir el impacto empresarial de los ataques.
• Si es necesario, subcontratar funciones como: B. Detección y respuesta gestionadas (MDR)
• Gobernanza mejorada para reducir la TI y la IA en la sombra

El viaje acaba de comenzar

A pesar de una planificación presupuestaria inteligente, una cuarta parte de las pymes afirma que una mayor financiación les ayudaría a mejorar su postura en materia de ciberseguridad más rápidamente. La complejidad y la integración siguen siendo desafíos continuos para quienes tienen menos recursos. Los encuestados dicen que quieren servicios y soluciones confiables, con muchas funciones y fáciles de usar.

El acceso a estas herramientas no debería ser tan difícil como lo es para muchas PYME. Si realmente quiere mejorar la preparación cibernética de las pequeñas empresas, la comunidad de proveedores debería dar un paso al frente. Sin embargo, no existe una panacea. Las pymes han demostrado que van por buen camino para mejorar su resiliencia. Pero este es un viaje que continuará a medida que la tecnología y las amenazas evolucionen. La vigilancia y la adaptabilidad continuas serán la clave del éxito a largo plazo.