- Cuatro de cada diez organizaciones europeas sufrieron más ciberataques este año, y más de la mitad no tiene personal ni presupuesto adecuado.
- La IA se usa tanto para defender como para atacar, pero el 71% de las empresas no ha realizado simulacros ante fallos de IA.
- España impulsa talleres, congresos y contratos de ciberseguridad para pymes y ayuntamientos, como Ciberreg, HoneyCON y Ávila.
- La reforma de la UE (CSA2) genera polémica por su posible discriminación a proveedores extranjeros.
El sector de la ciberseguridad en Europa atraviesa una situación complicada: los ciberataques van en aumento, pero los equipos que deben hacerles frente no reciben los recursos suficientes. Así lo refleja el último informe ‘State of Cybersecurity’ de ISACA, donde cuatro de cada diez profesionales europeos de TI y seguridad reconocen que su organización ha sufrido más incidentes este año que el anterior. Más de la mitad considera que su personal y su financiación son inadecuados, y tres de cada cuatro afirman que su trabajo es ahora mucho más estresante que hace cinco años.
La inteligencia artificial se ha convertido en un factor clave en este escenario. Cada vez más empresas la emplean para automatizar la detección de amenazas, pero al mismo tiempo los delincuentes también la utilizan para lanzar ataques más sofisticados. A pesar de este doble uso, la mayoría de las organizaciones no ha llevado a cabo simulacros de respuesta ante incidentes relacionados con la IA. Mientras tanto, en España se multiplican las iniciativas para acercar la ciberseguridad a pymes y ciudadanos, como los talleres de Ciberreg en Murcia, el contrato de la Diputación de Ávila o el congreso HoneyCON en Guadalajara.
El estrés y la falta de recursos en los equipos de seguridad
El informe de ISACA, elaborado con respuestas de más de 2.000 profesionales, deja cifras preocupantes. El 56% de los equipos de seguridad cuenta con personal insuficiente y el 55% dispone de un presupuesto inadecuado para hacer frente a sus tareas. Esta carencia se traduce en una mayor carga de trabajo y en una sensación de agotamiento generalizada. El 72% de los encuestados asegura que su puesto es ahora más estresante que hace cinco años, una tendencia que no parece tener fin.
Las causas principales apuntan a la creciente complejidad del panorama de amenazas (citada por el 72%), las expectativas poco realistas y el exceso de trabajo (57%) y la falta de formación o competencias entre el personal (35%). A pesar de ello, una de cada cinco empresas todavía no adopta ninguna medida para mitigar el agotamiento profesional. Otras, en cambio, ofrecen horarios flexibles (55%) y animan a sus empleados a tomar descansos y vacaciones (46%) para intentar aliviar la tensión.
La IA, una espada de doble filo
La inteligencia artificial se ha colado en las operaciones de seguridad de forma acelerada. El 37% de las organizaciones ya utiliza la IA para automatizar la detección de amenazas y la respuesta, ocho puntos más que el año pasado. También se emplea para proteger dispositivos finales (29%) y para automatizar tareas rutinarias (35%). Además, los profesionales de la ciberseguridad participan cada vez más en la adopción de IA en el conjunto de la organización: el 54% ha intervenido en el desarrollo o la implementación de soluciones, y el 60% ha colaborado en políticas que regulan su uso.
Sin embargo, la otra cara de la moneda es preocupante. Los ciberataques impulsados por IA permiten a los delincuentes actuar a gran velocidad y automatizar acciones que antes requerían semanas. La preparación para fallos de IA es escasa: el 71% de las organizaciones no ha realizado ningún ejercicio de respuesta ante incidentes relacionados con IA, y solo el 3% tiene procedimientos formales y maduros para abordarlos. Un tercio ni siquiera ha empezado a trabajar en ello. Los expertos insisten en que la gobernanza de la IA es fundamental, y recomiendan marcos como el Modelo de Madurez de IA de CMMI para estructurar los controles.
Iniciativas en España para reforzar la ciberseguridad
Mientras el panorama global es complejo, en España se están dando pasos para mejorar la preparación digital. La Región de Murcia ha puesto en marcha el programa Ciberreg, con 50 talleres gratuitos de formación práctica en ciberseguridad dirigidos a pymes y autónomos. Entre septiembre y diciembre, las sesiones se celebrarán en diez ciudades, como Murcia, Cartagena, Lorca, Yecla y Molina de Segura, y abordarán casos reales como correos fraudulentos de proveedores, accesos no autorizados o la correcta realización de copias de seguridad. Más de 150 empresas ya se han inscrito en esta iniciativa, que cuenta con la colaboración de las cámaras de comercio y el Incibe.
Por su parte, la Diputación de Ávila ha adjudicado un contrato para mejorar la ciberseguridad y la protección de datos en los ayuntamientos de la provincia. La inversión asciende a 129.789 euros y tendrá una vigencia inicial de dos años, prorrogables a uno más. La empresa encargada, CIES Ciberseguridad y Cumplimiento, prestará asistencia a los municipios más pequeños, que muchas veces no pueden contar con un delegado de protección de datos propio. Esta medida permitirá mantener el apoyo especializado a las entidades locales en una materia cada vez más crítica.
Otro ejemplo es HoneyCON, el congreso de seguridad informática que celebra su undécima edición en Guadalajara del 24 al 26 de septiembre. Organizado por HoneySEC, combinará charlas técnicas, talleres prácticos y actividades de divulgación abiertas a profesionales, estudiantes y público general. Entre las ponencias destacan temas como el análisis de firmware, la pericia forense o el impacto de los ciberataques, y habrá incluso una sesión de concienciación para mayores. La cita se ha convertido en un punto de encuentro clave para la comunidad de ciberseguridad en España.
La reforma de la UE y sus críticas
En el ámbito europeo, la propuesta de reforma del Reglamento de Ciberseguridad de la UE (CSA2) también está dando que hablar. Un dictamen jurídico elaborado por el profesor Geraldo Vidigal, de la Universidad de Ámsterdam, concluye que el mecanismo de seguridad de las cadenas de suministro que plantea la Comisión podría ser incompatible con las obligaciones de la OMC. Según este análisis, el sistema discriminaría a los proveedores de terceros países al considerarlos de alto riesgo sin aplicar los mismos controles a las empresas europeas. Esta discriminación podría vulnerar los principios de nación más favorecida y trato nacional, además de afectar al comercio de servicios y a los procedimientos de certificación.
Desde el sector, asociaciones como GSMA y Connect Europe han alertado de que la sustitución obligatoria de equipos de determinados fabricantes podría elevar los costes y afectar a la calidad de las redes. Se estima que reemplazar todos los equipos de proveedores chinos en Europa costaría entre 30.000 y 40.000 millones de euros, y algunos operadores necesitarían hasta diez años para completar el proceso. En el ámbito jurídico, antiguos miembros del TJUE han cuestionado la base legal de la reforma, señalando que la seguridad nacional es competencia de los Estados miembros. Todo apunta a que la discusión sobre la CSA2 continuará en los próximos meses.
En definitiva, la ciberseguridad se enfrenta a un doble desafío: por un lado, un incremento constante de las amenazas y una adopción acelerada de la IA que no siempre va acompañada de preparación; por otro, una falta estructural de recursos y personal que desgasta a los equipos. Mientras las instituciones europeas debaten cómo regular estas cuestiones, en España se multiplican las iniciativas para formar a pymes y ciudadanos, organizar eventos de divulgación y fortalecer la protección de las administraciones locales. La clave estará en combinar inversión, formación y gobernanza para que la tecnología no se convierta en un nuevo frente abierto.
