A medida que las tensiones geopolíticas continúan aumentando a nivel mundial, en 2025 veremos... un aumento dramático en gasto de defensa no visto desde la Guerra Fría.

En las últimas semanas, los miembros de la OTAN de acuerdo Destinar el 5% de su producto interior bruto a gasto militar para 2035. Muchos, incluido el Reino Unido, ya gastan más del 2% en sus ejércitos. El nuevo objetivo de la OTAN se divide en dos partes: el 3.5% en el ejército convencional y el resto en otras iniciativas destinadas a reforzar la seguridad nacional, como la ciberseguridad.

Aunque estos tiempos de incertidumbre son alarmantes, un mayor gasto en defensa puede ser positivo, ya que inyecta más dinero al sector privado y, como resultado, mejora la situación económica. Las empresas de ciberseguridad, en particular, se beneficiarán del nuevo objetivo de gasto de la OTAN. Pero ¿qué más se debe hacer para mejorar nuestras ciberdefensas contra las crecientes amenazas de los Estados-nación?

Las empresas son daños colaterales

En medio de crecientes tensiones geopolíticas y amenazas cibernéticas crecientes de los Estados nacionales, la seguridad informática es ahora un “problema de primera línea” para los países de la OTAN, sus aliados y las organizaciones de infraestructura crítica.

Así lo afirma James Lei, director de operaciones de la empresa de pruebas de seguridad de aplicaciones Sparrow. Lei argumenta que las empresas que proporcionan servicios y recursos críticos para el funcionamiento de las sociedades modernas, como las telecomunicaciones, las finanzas y la energía, son ahora blanco directo de los enemigos de la OTAN.

Lei explica que, al atacar a estas organizaciones, los adversarios de la OTAN no solo intentan robar datos confidenciales para venderlos al mejor postor. También buscan perturbar las economías y socavar la confianza pública, buscando infligir el máximo daño a sus objetivos. Añade: «Eso convierte a las empresas en objetivos directos y daños colaterales».

Con estos riesgos en mente, Lei insta a los gobiernos nacionales a asignar “una porción significativa” de sus crecientes presupuestos de defensa para ayudar a las pequeñas y medianas empresas a contrarrestar el creciente riesgo de ciberataques por parte de los estados nacionales.

Lei afirma que las pymes, especialmente las clasificadas como proveedores de infraestructura nacional crítica, podrían no contar con el presupuesto necesario para invertir en sistemas de ciberseguridad sofisticados o especialistas internos en ciberseguridad, lo que crea "puntos débiles en el ecosistema cibernético nacional". Declara a ISMS.online: "La financiación podría ayudar a las pymes a acceder a mejores herramientas de seguridad, capacitación e información sobre amenazas, lo que beneficia la resiliencia de todo el país".

Estas preocupaciones las comparte Adam Brown, consultor de seguridad gerencial de la empresa de seguridad de aplicaciones Pato negroExplica que, hace 30 años, los ciberataques habrían tenido un impacto mínimo en la población general.

Pero, dado que la infraestructura digital desempeña un papel fundamental en la vida moderna, afirma que los ciberataques pueden ser extremadamente dañinos. Y, dado que los servicios e infraestructuras digitales de los que dependemos son creados y vendidos principalmente por empresas comerciales, se han convertido en objetivos prioritarios de los ciberataques de los estados-nación.

Ante la guerra que azota Ucrania y Oriente Medio, Chris Binnie, consultor de seguridad nativo de la nube, prevé que los ciberataques lanzados por los estados-nación seguirán aumentando. En particular, le preocupa la proliferación de ataques a la cadena de suministro.

Dice que los estados nacionales pueden ver esto como una forma “más fácil” de hackear los sistemas de proveedores de infraestructura crítica porque sus proveedores de TI pueden no poseer las “mismas prácticas de seguridad rigurosas”.

Abordar estos riesgos

Los estados nacionales aprovechan cada vez más las debilidades de la cadena de suministro para comprometer la infraestructura crítica y los organismos gubernamentales e industriales están tomando nota.

La Unión Europea, en particular, adopta una postura firme en materia de ciberseguridad en la cadena de suministro a través de leyes como la Ley de resiliencia operativa digitalLey de Resiliencia Cibernética y Directiva de seguridad de redes e información 2.

Brown explica que, bajo dichas leyes, las empresas que suministran servicios cibernéticos a organizaciones de infraestructura nacional críticas están obligadas a cerrar cualquier debilidad de ciberseguridad siguiendo estrictos procedimientos de ciberseguridad.

Estándares de la industria como ISO 27001Las normas ISO 22301 e ISO 42001 también proporcionan a las empresas una base que pueden seguir para protegerse de las amenazas cibernéticas geopolíticas y, en última instancia, mantener sus operaciones, datos y cadenas de suministro a salvo de los piratas informáticos de los estados nacionales.

Young, de TSG Training, explica que la norma ISO 27001 cubre la seguridad de la información, la ISO 22301 aborda la continuidad del negocio y, más recientemente, se ha introducido la ISO 42001 para contrarrestar las amenazas cibernéticas impulsadas por IA.

Sugiere que, al adherirse a dichas normas, los proveedores de TI externos que buscan obtener contratos con organizaciones de infraestructura nacional crítica pueden demostrar que toman en serio la ciberseguridad y cuentan con medidas sólidas para mitigar los riesgos de la cadena de suministro.

Una oportunidad para las empresas

Aunque muchas empresas se han convertido en daños colaterales como resultado de los ciberataques de los Estados nacionales, algunas de ellas podrían beneficiarse de un mayor gasto en defensa a medida que los países buscan mitigar ese riesgo.

Los gobiernos nacionales dependen de las empresas para mantener su resiliencia digital y, como parte de sus presupuestos de defensa, sin duda destinarán más fondos a mejorar sus ciberdefensas. Esto significa numerosas oportunidades para el sector privado.

John Young, consultor principal del proveedor de capacitación en TI TSG Training, dice que las empresas del sector privado desempeñarán un papel decisivo a la hora de ayudar a los miembros de la OTAN a fortalecer su ciberseguridad y, en última instancia, su seguridad nacional en general.

En declaraciones a ISMS.online, afirma: “Compartir información sobre amenazas entre empresas, organismos gubernamentales y socios internacionales fortalece la conciencia general y permite respuestas más rápidas a las nuevas amenazas”.

Al igual que Young, Lei de Sparrow opina que la OTAN no puede responder a la multitud de ciberamenazas actuales sin colaborar con el sector privado. Señala que las empresas privadas poseen y operan muchos de los servicios críticos que utilizan los gobiernos. Por ello, afirma que los gobiernos recurren al sector privado para obtener inteligencia sobre amenazas y respuesta a incidentes.

Chris Henderson, director de seguridad de la información en la plataforma de ciberseguridad gestionada Huntress, es otro firme creyente en la colaboración entre el sector público y el privado en la lucha contra las ciberamenazas de los estados nacionales.

Afirma que, a través de estas asociaciones, los gobiernos pueden aprovechar la información sobre amenazas en tiempo real proporcionada por organizaciones del sector privado para mantenerse al día con el panorama de amenazas cibernéticas en rápida evolución.

Para que estas asociaciones sean un éxito, Henderson insta a las organizaciones del sector privado a garantizar que la información que comparten con los organismos gubernamentales esté formateada de modo que los sistemas informáticos operados por el gobierno puedan analizar los datos y extraer rápidamente información útil de ellos.

Los gobiernos también deben contribuir a garantizar la eficacia de estas alianzas. En concreto, Henderson afirma que las organizaciones del sector privado deben poder difundir información sobre ciberamenazas sin verse obstaculizadas por la burocracia regulatoria. Esto, afirma, es esencial para garantizar una respuesta oportuna ante amenazas nuevas y críticas.

Conclusión

Ver cómo los gobiernos aumentan su gasto en defensa es aterrador, ya que uno se pregunta qué saben y qué podría estar ocurriendo en el futuro. Pero es absolutamente necesario para mantener la seguridad de los países en tiempos de rápida evolución. Dicho esto, el gasto en defensa no se limita a comprar más tanques o misiles; nuestros enemigos pueden infligir el mismo daño mediante ciberataques a infraestructuras críticas.

Por lo tanto, es alentador ver que los miembros de la OTAN han acordado asignar una proporción significativa de sus mayores presupuestos de defensa al fortalecimiento de las ciberdefensas. Al mismo tiempo, esto generará oportunidades para las empresas de ciberseguridad del sector privado. Sin embargo, además de invertir más dinero en ciberdefensas, la estrecha colaboración entre los sectores público y privado es esencial para garantizar la eficacia de estos proyectos a largo plazo. Y no olvidemos que muchas empresas se encuentran ahora en situación de daños colaterales en medio de la turbulencia geopolítica, lo que significa que también necesitan apoyo.