Informe de riesgos globales del FEM 2024: conclusiones clave

Los líderes empresariales y de TI ya deberían ser conscientes de los riesgos que las amenazas relacionadas con la cibernética suponen para la organización. También comprenden a un alto nivel el daño social y económico más amplio que puede causar un riesgo cibernético elevado y persistente. Pero a veces ayuda contextualizar estos pensamientos en el contexto del panorama de riesgo global.

Ese es el propósito del Foro Económico Mundial (FEM) Informe de riesgos globales, que durante casi dos décadas ha ayudado a los líderes empresariales a tomar decisiones estratégicas mejor informadas.

Se produce a partir de una Encuesta de Percepción de Riesgos Globales (GRPS) de 1490 expertos del mundo académico, empresarial, gubernamental, la comunidad internacional y la sociedad civil, así como de una Encuesta de Opinión Ejecutiva del FEM realizada a 11,000 líderes empresariales. También hay aportes de decenas de expertos del WEF recopilados durante un período de seis meses el año pasado.

En resumen, se trata de una visión lo más completa posible del panorama de riesgos actual. ¿Y las noticias de primera plana? La IA y las ciberamenazas se encuentran entre los mayores riesgos globales de los encuestados para los próximos 2 a 10 años.

¿Cómo se clasifica lo cibernético entre los riesgos globales?

Desde el GRPS, los expertos clasificaron la “inseguridad cibernética”, es decir, amenazas que incluyen guerra cibernética, espionaje cibernético y delitos cibernéticos como ransomware, fraude y robo de datos, de la siguiente manera:

• Número cuatro de 34 posibles riesgos a corto plazo (los próximos dos años), ascendiendo al tercer lugar para los encuestados del gobierno y del sector privado.
• Número ocho de 34 riesgos a largo plazo (la próxima década), llegando al sexto lugar para los encuestados del gobierno (los encuestados del sector privado también lo ubicaron en octavo lugar)
• Una amenaza “persistente”; es decir, uno destacado como una de las 10 principales preocupaciones en el GRPS anterior
• Una preocupación creciente: sube cuatro lugares en la lista de los 10 principales riesgos a corto plazo del año pasado

Otros aspectos destacados del informe relacionados con la cibernética incluyen:

Una amenaza de IA de rápido crecimiento:

La desinformación y la información errónea impulsada por la IA encabezan la lista de riesgos a corto plazo, ocupan el segundo lugar en términos del panorama de riesgos actual (citado por el 52% de los encuestados de GRPS) y ocupan el quinto lugar en la lista de riesgos a largo plazo. El informe advierte de la impacto de los deepfakes aquí. También advierte sobre una dependencia excesiva de un pequeño conjunto de modelos fundamentales de IA, especialmente en los sectores público y financiero, o de un único proveedor de nube subyacente. Esto podría aumentar el riesgo de una interrupción importante de los servicios, incluida la infraestructura crítica, si se atacan esos puntos de estrangulamiento, sostiene el FEM.

El florecimiento del cibercrimen:

Una de las conclusiones menos sorprendentes del informe es que el cibercrimen continúa fortaleciéndose, con “nuevas herramientas y capacidades” que crean nuevos mercados para las redes del crimen organizado. Añade que el cibercrimen ofrece “una fuente de ingresos cada vez más económica y de menor riesgo para el crimen organizado”. Por ejemplo, la IA generativa (GenAI) se utiliza para crear campañas de phishing a gran escala y de gran precisión en varios idiomas. A medida que las organizaciones construyen defensas más sofisticadas para hacer frente a la amenaza, los delincuentes naturalmente recurrirán a “individuos con menos conocimientos digitales o infraestructuras y sistemas menos seguros”.

Líneas borrosas entre los estados y el cibercrimen:

El FEM también advierte sobre un aumento en los ataques patrocinados por Estados, especialmente aquellos diseñados para generar ingresos para regímenes autocráticos y frágiles como Corea del Norte. Dichos estados podrían beneficiarse de una relación más estrecha con el cibercrimen clandestino, específicamente con herramientas de piratería disponibles en el mercado y “servicios de alquiler”. Este desarrollo ampliaría efectivamente el número de organizaciones en riesgo de sufrir compromisos respaldados por el Estado. “Las asociaciones simbióticas entre los Estados y el crimen organizado podrían crecer... a cambio de concesiones y acuerdos bilaterales”, señala el informe.

¿Qué significa esto para la ciberseguridad y el cumplimiento?

Jamie Akhtar, cofundador y director ejecutivo de CyberSmart, sostiene que el informe debería ser un llamado a las armas.

“Vivimos en un mundo donde la cadena de suministro es la reina. Esto significa que las empresas más pequeñas que abastecen al Estado o a las multinacionales más grandes pueden convertirse en objetivos por derecho propio, ya que los ciberdelincuentes buscan explotarlas para acceder a objetivos más grandes”, explica a ISMS.online.

"Todas las empresas, sin importar su tamaño o sector, deben tratar la ciberseguridad como una prioridad".

Erfan Shadabi, experto en ciberseguridad de comforte AG, explica a ISMS.online que las organizaciones necesitan integrar la ciberseguridad en su ADN centrándose en la protección de datos.

"Esto implica monitoreo continuo, integración de inteligencia sobre amenazas y capacitación regular para que los empleados cultiven una fuerza laboral consciente de la ciberseguridad", agrega.

Claramente, los estándares de seguridad de mejores prácticas, como ISO 27001, desempeñan un papel aquí para ayudar a construir una cultura de seguridad por diseño entre las organizaciones. Pero Shadabi también ve una oportunidad más allá de mitigar el riesgo.

“Al contrario de ver la ciberseguridad únicamente como un gasto defensivo, las organizaciones deberían reconocer su potencial para promover el crecimiento empresarial. Una postura sólida en materia de ciberseguridad no sólo salvaguarda la información confidencial, sino que también cultiva la confianza entre las partes interesadas: clientes, socios e inversores”, argumenta.

"Demostrar un compromiso con la seguridad de los datos puede ser una ventaja competitiva, especialmente en industrias donde la confianza y la integridad de los datos son primordiales". Los CISO podrían incluso utilizar el informe del FEM para ayudar a conseguir más financiación de la junta, afirma Shadabi.

“Los hallazgos y advertencias en el WEF Informe de riesgo global pueden ser herramientas poderosas para los CISO que buscan una mayor participación de la junta directiva e inversión en ciberseguridad”, afirma. "Al presentar las elevadas clasificaciones de riesgo global y las tácticas en evolución de los ciberadversarios, los CISO pueden subrayar la urgencia de fortalecer las defensas de la organización".

Akhtar de CyberSmart está de acuerdo en que los líderes empresariales estarán particularmente preparados para tomar nota de los hallazgos del WEF, dado que sus pares contribuyeron al informe.

"Es más vital que nunca que las juntas directivas sigan dando prioridad a la inversión en ciberseguridad", concluye. “Es más, existe la idea errónea de que una buena ciberseguridad tiene que ser cara. De hecho, muchas empresas, especialmente las más pequeñas, podrían mejorar drásticamente sus defensas simplemente implementando mejor los aspectos básicos o, en algunos casos, incluso implementando nada”.