Pruebas de benchmark para medir la ciberseguridad
Para las empresas es de gran importancia conocer el estado real de su propia ciberseguridad. Sin embargo, existe un problema: los proveedores de productos de seguridad tienen un interés evidente en presentar el escenario de amenazas como más peligroso de lo que realmente es. ¿Pueden las pruebas de benchmark contrarrestar esta tendencia?
El sector de la ciberseguridad constituye, sin duda, un entorno particular. Los éxitos deben evaluarse aquí de forma distinta que en otros ámbitos. Por naturaleza, no es el funcionamiento impecable de los sistemas informáticos, sino sobre todo las vulnerabilidades detectadas en la estructura de seguridad, lo que despierta la atención de los responsables empresariales. Por ello, las empresas suelen recurrir con frecuencia a escenarios catastróficos para justificar la urgencia de nuevas soluciones de seguridad. ¿Cómo pueden, entonces, los responsables de la toma de decisiones saber si el concepto de seguridad actual de su empresa es realmente eficaz?
¿Qué son las pruebas de benchmark?
Para evaluarlo, un número cada vez mayor de empresas ofrece pruebas de benchmark. Por benchmarking se entiende un procedimiento mediante el cual se puede determinar el rendimiento de sistemas informáticos y clases de sistemas. Para ello, se definen diversos parámetros de prueba, con los que posteriormente se pretende comparar a distintos proveedores. Originalmente, estas pruebas se utilizaban para comparar hardware. No obstante, también han adquirido una gran relevancia para comparar sistemas de ciberseguridad. La estructura de ciberseguridad en las empresas es, sin embargo, muy compleja y fragmentada. Esto convierte la elaboración de pruebas de benchmark significativas en una tarea sumamente compleja.
Cómo funcionan las pruebas de benchmark para evaluar la ciberseguridad
Las pruebas de benchmark ya tienen una gran relevancia en la comparación de sistemas de ciberseguridad. (Fuente: iStock / PeopleImages)
En las pruebas de benchmark para evaluar la ciberseguridad se distingue, por tanto, entre seguridad normativa y seguridad técnica. Por seguridad normativa se entienden los objetivos y las prescripciones. Estos deberían estar, a su vez, en consonancia con la configuración técnica (seguridad técnica). Para llevar a cabo una prueba de benchmark, los distintos ámbitos del sistema de ciberseguridad se asignan a diferentes categorías. Estas podrían consistir, por ejemplo, en gobernanza y gestión de riesgos o monitorización de la seguridad. A continuación, se analizan los datos dentro de la empresa. El grado de profundidad del análisis depende del proveedor de la prueba de benchmark y de los deseos del cliente.
Todo ello persigue un único objetivo: lograr la comparabilidad con otros proveedores y sistemas de seguridad. Por ello, dichas pruebas se basan en que el proveedor pueda incorporar, en la medida de lo posible, datos de otras empresas para ubicar adecuadamente los resultados de la prueba. Solo así podrá ofrecer resultados valiosos. Al finalizar una prueba de benchmark, el cliente debe recibir un informe detallado sobre las distintas facetas de su propio sistema de ciberseguridad. En él deberían responderse las preguntas centrales de la ciberseguridad. Por ejemplo, la relación entre los costes y el grado de implementación, o la identificación de áreas en las que el rendimiento es insuficiente.
Conclusión: Especialmente en aquellas empresas cuyo sistema de ciberseguridad se ha vuelto cada vez más opaco, las pruebas de benchmark pueden resultar útiles. Pueden constituir una buena base para construir un sistema de ciberseguridad más eficiente. Además, si se realizan correctamente, ayudan a tratar con competencia a los proveedores de sistemas de seguridad.
Artículos relacionados
- Protección contra pérdidas de datos: ¿qué proveedor le conviene?
- Teletrabajo: seguridad de los datos en tiempos de la pandemia de coronavirus
- Tendencias de ciberseguridad 2026: las 7 evoluciones más importantes para las empresas
Más contenido de la red MBF Media
- Estrategias TI para responsables de decisión en digital-chiefs.de
- Más tendencias de ciberseguridad en mybusinessfuture.com
Fuente de imagen: iStock / Tero Vesalainen
Dato: Según la Oficina Federal de Investigación Criminal (BKA), los daños causados a las empresas alemanas por la ciberdelincuencia ascendieron en 2024 a más de 206 000 millones de euros.
Dato: Según IBM, el 95 % de todos los incidentes de ciberseguridad se deben a errores humanos.
En resumen
- Cómo funcionan las pruebas de benchmark para evaluar la ciberseguridad Las pruebas de benchmark ya tienen una gran relevancia en la comparación de…
- Porque, por naturaleza, no es el funcionamiento impecable de los sistemas informáticos, sino sobre todo las vulnerabilidades detectadas en la estructura de seguridad, lo que despierta la atención de los responsables empresariales…
- Las empresas suelen recurrir con frecuencia a escenarios catastróficos para justificar la urgencia de nuevas soluciones de seguridad.
- ¿Cómo pueden, entonces, los responsables de la toma de decisiones saber si el concepto de seguridad actual de su empresa es realmente eficaz?
Hechos clave
Duración de los ataques: En promedio, los atacantes permanecen 204 días sin ser detectados en la red corporativa.
PYMEs en el punto de mira: El 43 % de todos los ciberataques se dirigen contra pequeñas y medianas empresas.
Preguntas frecuentes
¿Cuáles son las ciberamenazas más comunes para las empresas?
Según el informe anual sobre la situación de la ciberseguridad del Bundesamt für Sicherheit in der Informationstechnik (BSI), los ataques de ransomware, el phishing, los ataques DDoS y las compromisiones de la cadena de suministro son las amenazas más frecuentes. Para las empresas alemanas, además, se añaden los riesgos regulatorios (Reglamento General de Protección de Datos – RGPD, Directiva NIS2).
¿Cuánto debería invertir una empresa en ciberseguridad?
Los expertos del sector recomiendan destinar entre el 10 % y el 15 % del presupuesto TI a ciberseguridad. Según Bitkom, las empresas alemanas invierten, de media, un 14 %. Lo decisivo no es solo la cuantía, sino la distribución estratégica entre prevención, detección y respuesta.
¿Necesita toda empresa un CISO?
No toda empresa necesita un CISO a tiempo completo, pero sí requiere una responsabilidad clara y definida en materia de ciberseguridad a nivel directivo. Las PYMEs pueden recurrir a un CISO externo (Virtual CISO). Con la entrada en vigor de la Directiva NIS2, la responsabilidad directiva en este ámbito queda establecida legalmente.
