El estudio “Estado de la Ciberseguridad en Uruguay” cumple su décimo año. Datasec lo elabora con datos generados por Grupo Radar y, según De la Fuente, esa continuidad permite observar avances, pero también aspectos en los que las mejoras son limitadas. Entre los avances, citó el uso de un segundo factor de autenticación para el acceso remoto, que pasó del 14% en 2023 al 27% en la última medición. En cambio, las empresas que tienen políticas de ciberseguridad (15%) o que evalúan regularmente su situación (8%) se mantienen en niveles bastante estables. “La preparación es desigual. La transformación digital avanza, pero las capacidades para gestionar sus riesgos no evolucionan al mismo ritmo”, afirmó.

Sobre el contraste entre el 63% de empresas preocupadas y el 20% que actúa, precisó que ese 20% considera haber tomado medidas suficientes, mientras que el 44% entiende que lo hizo parcialmente. Para De la Fuente hay “una brecha entre la preocupación y lo que las propias empresas consideran necesario hacer”, en la que inciden las prioridades cotidianas, los recursos y la dificultad para saber qué medidas tomar, “pero también falta un sentido de urgencia”.

A su juicio, la ciberseguridad se ve a veces “como un gasto extraordinario, algo que el dueño debe sacar de su bolsillo”, cuando “es parte del costo de hacer negocios, al igual que los insumos, la infraestructura, el personal o la conectividad”.

Responsables y riesgos

El 21% de las compañías cuenta con un responsable formal de ciberseguridad y en el 44% esa función recae en el dueño, socio o gerente general. De la Fuente consideró razonable que así sea en las micro y pequeñas, que son la gran mayoría en Uruguay, siempre que cuenten con el apoyo adecuado.

Más preocupante, dijo, es el caso de las medianas y grandes: el 46% declara haber designado un responsable y, al consultar quién cumple esa función, el 17% identifica a un jefe de seguridad de la información. Asignar la responsabilidad “no necesariamente implica contar con una función específica para atenderla”, y en organizaciones complejas quien la ejerce debe tener “tiempo, capacidades y autoridad” para gestionar los riesgos e informar a la dirección.

Entre los principales riesgos mencionó el fraude contra la empresa y sus clientes, el acceso no autorizado a cuentas y sistemas, el robo o secuestro de información sensible y el bloqueo de datos e infraestructura, con interrupción de servicios y daño a la imagen.

No todo pasa por vulnerabilidades tecnológicas, aclaró: las fallas en los procesos operativos y la falta de concientización facilitan los incidentes, y una solicitud falsa de pago o de cambio de cuenta bancaria genera una pérdida sin comprometer los sistemas. La inteligencia artificial facilita esos engaños, incluso con suplantación de voz e imagen.

Consultado sobre si las pymes están más expuestas, respondió que el tamaño, por sí solo, no determina la exposición, aunque hay diferencias en las medidas: el 47% de las micro y pequeñas hace respaldos externos, frente al 71% de las medianas y grandes. Los recursos limitados pueden llevar a mantener equipos sin actualizaciones ni soporte del fabricante, pero una empresa pequeña también puede manejar información valiosa o tener acceso a los sistemas de sus clientes. Agregó que las grandes, además de exigir seguridad a sus proveedores pequeños, deberían apoyarlos.