La gestión del riesgo cibernético se estanca pese al aumento de inversión

Un nuevo estudio global de Qualys pone de relieve una tendencia preocupante: aunque crece la inversión en ciberseguridad, más del 70 % de las organizaciones admite que su exposición al riesgo se mantiene o incluso ha aumentado.

La investigación, que recoge las respuestas de más de un centenar de líderes de TI y seguridad, muestra que el 49 % de las compañías ha adoptado programas formales de gestión del riesgo. Sin embargo, en la mayoría de los casos estos marcos tienen menos de dos años de antigüedad, lo que revela una madurez aún limitada en muchas organizaciones.

A pesar de los avances, el 51 % de las empresas señala que su nivel de exposición está creciendo, mientras que solo un 6 % afirma haberlo reducido. El desfase entre recursos y resultados apunta a desafíos estructurales, como la falta de automatización en los procesos clave.

Uno de los puntos críticos es la gestión de activos, fundamental para evaluar el riesgo real. Aunque el 83 % realiza inventarios con cierta regularidad, solo el 13 % lo hace de forma continua, y el 47 % aún depende de procesos manuales. Esta situación genera vacíos que limitan la visibilidad sobre vulnerabilidades y posibles impactos.

En cuanto a la priorización del riesgo, el 68 % de las organizaciones ya incorpora inteligencia de amenazas o estimaciones de pérdida en sus análisis. No obstante, cerca del 20 % sigue utilizando únicamente métricas técnicas como CVSS para clasificar vulnerabilidades, sin conectar estos datos con el contexto del negocio.

El informe también destaca la importancia creciente de la comunicación del riesgo con la alta dirección. El 97 % de las empresas asegura que reporta hallazgos a los equipos ejecutivos, aunque solo un tercio incorpora estimaciones de impacto económico. La mayoría se centra en amenazas críticas, planes de ciberseguridad y niveles de exposición general.

Qualys concluye que el principal obstáculo no es la falta de tecnología, sino la dificultad de traducir la ciberseguridad en valor de negocio. Para avanzar, recomienda evolucionar hacia modelos de gestión del riesgo que hablen el lenguaje financiero, facilitando decisiones estratégicas más alineadas con las prioridades corporativas.