El tejido empresarial gallego está viviendo un momento delicado en materia de ciberseguridad: aproximadamente una de cada seis compañías con sede en Galicia ha sufrido algún incidente digital en el último año analizado. El fenómeno afecta de forma desigual según el tamaño y el sector, pero deja claro que los ciberdelitos se han convertido en una preocupación cotidiana para pymes y grandes empresas; casos como el de Iberia ilustran la dimensión de estos incidentes.
Los datos proceden de distintas encuestas e informes elaborados por el Instituto Galego de Estatística (IGE) junto con organismos como el OSIMGA y la Amtega, que cruzan información de miles de sociedades gallegas. En conjunto, estos estudios dibujan un escenario en el que la ciberseguridad ya es un factor clave de competitividad, aunque todavía hay un número significativo de empresas que reconocen carecer de medios o formación suficientes para protegerse.
Cuántas empresas gallegas sufrieron incidentes de ciberseguridad
Las diferentes fuentes coinciden en una cifra muy similar: en torno al 15,5 % de las empresas gallegas registró al menos un incidente de ciberseguridad en el último ejercicio estudiado. Dicho de otra forma, casi dos de cada diez compañías reconocen haber sido objeto de algún tipo de ataque o problema informático con impacto en su actividad.
El porcentaje de empresas afectadas aumenta de forma clara a medida que crece la plantilla. Mientras que las microempresas con menos de 10 personas empleadas presentan tasas de incidentes más moderadas, en el grupo de 10 a 49 trabajadores la proporción de compañías con problemas de seguridad digital se incrementa de manera notable, y entre las firmas de 50 o más empleados casi la mitad declara haber sufrido al menos un incidente a lo largo del año.
Por ramas de actividad, el comercio destaca como uno de los sectores más castigados, especialmente entre las empresas de mayor tamaño. En las compañías comerciales con más de 50 empleados, los estudios sitúan la tasa de incidentes de ciberseguridad por encima del 50 %, superando ligeramente a la industria y a la construcción, que también muestran niveles elevados de exposición. La hostelería, por su parte, registra porcentajes algo inferiores, pero sigue situándose en un nivel de riesgo relevante dentro de las grandes empresas.
En términos generales, si se agrupan todos los sectores, las compañías con más de medio centenar de trabajadores concentran los porcentajes más altos de ciberataques, seguidas por las de tamaño medio y, por último, las pequeñas, que aun así no quedan al margen del problema.
Tipos de ciberataques que más afectan a las compañías
Entre todas las amenazas que ponen en jaque a las organizaciones gallegas, el phishing se ha consolidado como el principal incidente de ciberseguridad. En torno a un 10 % de las empresas declara haber sufrido intentos de suplantación de identidad externa, normalmente a través de correos electrónicos o mensajes que simulan proceder de bancos, administraciones públicas o proveedores de confianza, con el objetivo de robar credenciales o datos financieros.
Además del phishing “clásico”, los informes recogidos apuntan a otros patrones de ataque recurrentes. Destacan la suplantación de identidad dentro de la propia empresa —por ejemplo, correos que aparentan proceder de directivos o empleados para conseguir información o aprobar pagos—, las infecciones por virus informáticos, los ataques de denegación de servicio que dejan webs y plataformas internas fuera de uso, los accesos no autorizados a sistemas corporativos y la instalación de software malicioso diseñado para cifrar, robar o manipular datos.
En una pequeña proporción de casos, los incidentes acaban derivando en situaciones de especial gravedad, como el secuestro de datos o el bloqueo total de determinados servicios. Aunque estos episodios más extremos afectan a un número reducido de compañías, tienen un impacto muy elevado cuando se producen, tanto a nivel económico como reputacional.
Las consecuencias más habituales de los ciberataques reportados por las empresas gallegas son bastante claras: la indisponibilidad de servicios tecnológicos encabeza la lista, afectando a más de la mitad de las compañías que sufrieron incidentes. A esto se suman la pérdida de productividad, los sobrecostes derivados de la recuperación de sistemas y de la contratación de servicios externos, y en menor medida la pérdida o divulgación indebida de información sensible.
Este escenario sitúa a la ciberseguridad no solo como una cuestión técnica, sino como un factor que condiciona directamente la continuidad del negocio y la imagen de la empresa ante clientes, proveedores y socios.
Cómo responden las empresas gallegas ante un incidente
Cuando se produce un ataque o se detecta una brecha, una parte significativa del tejido empresarial opta por buscar ayuda fuera de la organización. Según los datos disponibles, más de un tercio de las empresas afectadas recurre a algún tipo de asistencia externa para gestionar el incidente, ya sea para contener el problema, restaurar sistemas o reforzar las medidas de protección.
Dentro de este grupo, alrededor de un 17 % contrata los servicios de compañías especializadas en ciberseguridad, que se encargan del análisis forense, la recuperación de información y la implantación de soluciones técnicas adicionales. Otro segmento menor acude a los cuerpos y fuerzas de seguridad del Estado, al INCIBE u otros organismos públicos, aunque este tipo de apoyo sigue representando una fracción reducida del total de respuestas.
Más allá de la asistencia puntual, los informes muestran que las grandes empresas son las que más se mueven para reforzar sus defensas después de un incidente. En el grupo de compañías con más de 50 empleados, alrededor de ocho de cada diez tienen previsto implementar nuevas medidas de ciberseguridad en el corto plazo, con porcentajes todavía más elevados en la industria. Esto incluye desde la renovación de hardware y software hasta la implantación de sistemas avanzados de monitorización y respuesta.
Sin embargo, no todas las organizaciones reaccionan del mismo modo. Una parte relevante de pymes, especialmente en sectores como la hostelería o algunos servicios, reconoce que las medidas adoptadas son todavía escasas o insuficientes, bien por falta de presupuesto, de personal especializado o de tiempo para abordar cambios de calado en sus sistemas informáticos.
Este contraste entre compañías grandes y pequeñas se traduce en una brecha de protección que, a medio plazo, puede convertir a las empresas con menos recursos en objetivos preferentes para la ciberdelincuencia, al percibirse como eslabones más débiles de la cadena.
Inversión en ciberseguridad: cuánto gastan las empresas gallegas
Uno de los puntos más llamativos de los estudios realizados es la diferencia entre el gasto medio en ciberseguridad según la fuente y el tipo de empresa analizada. En los trabajos centrados específicamente en Galicia, la inversión media anual se sitúa en torno a los 1.285 euros por empresa, aunque esta cifra esconde una enorme disparidad entre pequeñas y grandes compañías.
En el extremo inferior, las empresas con menos de diez personas empleadas destinan de media unos pocos cientos de euros al año —en torno a 350-370 euros— a licencias, servicios y equipos relacionados con la protección digital. En el otro extremo, las entidades con plantillas superiores a 50 trabajadores alcanzan niveles de gasto que se miden en decenas de miles de euros anuales, con medias que superan ampliamente los 20.000 euros e incluso se acercan a los 30.000 o 40.000 euros en ciertos segmentos de servicios avanzados.
Si se amplía el foco a otras encuestas de referencia, centradas en empresas que declaran explícitamente haber invertido en este ámbito, la media de gasto anual puede superar los 3.200 euros. La diferencia se explica porque, en estos estudios, se considera únicamente a las compañías que efectivamente realizan algún tipo de desembolso en ciberseguridad, excluyendo a quienes no destinan recursos a esta partida.
Por sectores, el industrial encabeza de forma consistente la inversión en protección digital, con medias por empresa sensiblemente superiores a las de la hostelería o la construcción. El sector servicios presenta una situación más heterogénea: mientras que determinadas actividades intensivas en tecnología elevan su presupuesto de seguridad, otras ramas, especialmente las de menor tamaño, mantienen cifras modestas.
En la parte baja del ranking aparecen las pequeñas empresas de hostelería y construcción, donde el gasto medio anual en soluciones de ciberseguridad apenas supera, en algunos casos, el umbral de los 150-200 euros. Esta menor inversión, unida a una digitalización creciente (reservas en línea, TPV conectados, facturación electrónica…), plantea un escenario de riesgo que puede pasar desapercibido hasta que se produce un incidente serio.
Medidas de protección más habituales en las empresas
Junto a los datos de inversión, los informes ponen el foco en las medidas concretas que están implantando las empresas gallegas para protegerse. La más extendida, y casi omnipresente, es el uso de contraseñas consideradas seguras o robustas, que se aplica en torno a dos tercios del tejido empresarial. A partir de ahí, se generaliza también el uso de copias de seguridad periódicas, soluciones antivirus, cortafuegos y diferentes sistemas de control de acceso a redes y equipos.
En los últimos años se aprecia un aumento progresivo de herramientas más avanzadas, como las VPN para cifrar conexiones y ocultar la localización de los usuarios, el modo incógnito para navegar, la autenticación en dos pasos (por ejemplo, combinando contraseña y código enviado al móvil), o el cifrado de datos almacenados en servidores y dispositivos portátiles. Estas soluciones son más habituales en compañías medianas y grandes, que disponen de personal técnico para gestionarlas.
En el ámbito organizativo, cada vez más empresas definen protocolos internos para reaccionar ante posibles incidentes (por ejemplo, a quién avisar, cómo aislar equipos afectados o qué pasos seguir antes de restablecer sistemas). Aunque todavía hay margen de mejora, se percibe una cierta profesionalización en la manera de abordar los ciberataques, alejándose de la improvisación de años anteriores.
Con todo, las encuestas también detectan que una parte del tejido productivo gallego no cuenta con un paquete mínimo de medidas de seguridad. Algunas empresas reconocen carecer de antivirus actualizado, no realizar copias de seguridad con regularidad o no revisar los accesos a cuentas críticas, lo que las sitúa en una posición especialmente vulnerable frente a ataques relativamente simples.
Esta disparidad en el nivel de protección contribuye a explicar por qué, ante amenazas similares, unas organizaciones sufren un impacto limitado y otras experimentan parones de actividad, pérdidas de datos o daños económicos considerables.
Formación, percepción de riesgo y preparación de las empresas
Más allá de la tecnología, los estudios resaltan el papel del factor humano. Alrededor de una de cada cinco empresas gallegas ha impartido formación específica en ciberseguridad a su personal en el último año, con porcentajes que superan la mitad de la plantilla en las compañías de mayor tamaño y en algunos subsectores de servicios avanzados.
El sector industrial y el de “otros servicios” aparecen como los más activos en materia formativa, con niveles de sensibilización por encima de la media. En estos entornos, es más habitual que se organicen talleres, cursos internos o sesiones de concienciación sobre buenas prácticas (gestión de contraseñas, identificación de correos sospechosos, uso de dispositivos móviles, etc.).
Cuando se pregunta directamente por la sensación de seguridad, alrededor del 60 % de las empresas afirma sentirse adecuadamente preparada para hacer frente a los desafíos de la ciberseguridad, aunque los matices son importantes. Entre las grandes compañías, casi nueve de cada diez se consideran bien o muy bien preparadas, mientras que entre las pequeñas este porcentaje desciende de forma notable.
En el lado opuesto, en torno a un 30-40 % del tejido empresarial reconoce que sus medidas, equipos o conocimientos son bajos o insuficientes. Dentro de este grupo, cerca de un 9 % admite que su nivel de preparación es prácticamente nulo, lo que implica que operan en el entorno digital sin una protección mínima frente a amenazas básicas.
Por sectores, la industria y determinados servicios muestran un grado de madurez superior, mientras que la hostelería se sitúa habitualmente a la cola en cuanto a percepción de preparación. Esta situación se debe tanto a la menor disponibilidad de recursos económicos como a la ausencia de departamentos internos especializados, lo que obliga a externalizar casi por completo la gestión de la seguridad, o directamente a no abordarla de forma estructurada.
Los distintos informes sobre ciberseguridad en las empresas gallegas dibujan un escenario en el que los incidentes son cada vez más frecuentes y complejos, pero también aumenta la conciencia sobre la necesidad de protegerse mejor. El phishing y otros ataques digitales ya forman parte del día a día de buena parte del tejido empresarial, y aunque las inversiones, la formación y las medidas técnicas avanzan, todavía persisten brechas notables, sobre todo en pymes y sectores con menos recursos, que seguirán siendo un objetivo prioritario para los ciberdelincuentes si no refuerzan sus defensas.
[relacionado url=»https://foropc.com/dia-mundial-de-la-ciberseguridad-riesgos-al-alza-y-como-protegerse-en-espana/»]