En un panorama donde se destacan las amenazas cibernéticas sofisticadas y las vulnerabilidades de día cero, muchas organizaciones siguen subestimando un peligro más inmediato: los riesgos que ya conocen y no han corregido. La evidencia reciente pinta un retrato sobrio de la seguridad empresarial actual. De más de 800,000 activos de TI analizados, una de cada tres carece de al menos un control de seguridad crítico. Casi una de cada cinco usa software ya obsoleto y el 17% opera fuera de las herramientas tradicionales de gestión de vulnerabilidades.

En otras palabras, la superficie de ataque moderna no solo se expande; se fragmenta, se vuelve menos visible y es más difícil de controlar.

Vulnerabilidades basadas en lo básico

Uno de los desarrollos más preocupantes es lo poco que los atacantes necesitan innovar. Cada una de las 10 vulnerabilidades más explotadas en casos recientes ya había sido parcheada por los proveedores, a menudo meses antes. Al mismo tiempo, el 65% de los incidentes involucró abusos de servicios de acceso remoto como VPNs, RDP y herramientas de gestión remota. Estos no son puntos débiles obscuros; son componentes fundamentales de entornos modernos de TI.

La conclusión es clara: los atacantes no están superando tecnológicamente a los defensores. Aprovechan huecos de ejecución. Las organizaciones han aprendido a identificar vulnerabilidades, pero son menos eficaces a la hora de priorizarlas y remediarlas, y la brecha entre saber, priorizar y corregir es donde se acumula el riesgo. Esa brecha es, ahora, el lugar donde comienzan la mayoría de las brechas.

El problema de la visibilidad

En el centro de la cuestión está un desafío más fundamental: la visibilidad. Los entornos de TI empresariales se han transformado en ecosistemas distribuidos que abarcan infraestructuras on-premise, servicios en la nube, aplicaciones SaaS, endpoints remotos e integraciones de terceros.

Cada capa suele ser gestionada por distintas herramientas, cada una con su propio inventario. Ninguna ofrece una vista completa, y el resultado es predecible. Los activos quedan fuera de los ciclos de parcheo. Los dispositivos no están cubiertos por protección de endpoints. Sistemas enteros quedan sin escaneo. El 17% de los activos no está cubierto por herramientas de gestión de vulnerabilidades, lo que los vuelve prácticamente invisibles desde la perspectiva de seguridad.

No es simplemente un fallo técnico. Crea una debilidad estructural que muchos líderes de seguridad ya reconocen: las organizaciones no pueden asegurar lo que no pueden ver.

Para las empresas del Reino Unido, este desafío tiene consecuencias cada vez más relevantes. Marcos regulatorios como el Reglamento NIS2 y la futura Ley de Ciberseguridad y Resiliencia del Reino Unido están dando más énfasis en controles demostrables sobre activos y riesgos. Inventarios inexactos y datos fragmentados dificultan cada vez más la demostración de cumplimiento.

Sistemas heredados: el riesgo que no quiere irse

La persistencia de tecnología heredada agrava el problema de visibilidad. El 19% de los activos de TI ejecutan software o hardware obsoleto, lo que ya no recibe actualizaciones de seguridad.

Estos sistemas son particularmente desafiantes. En sectores como salud, manufactura y servicios financieros, suelen estar incrustados en procesos críticos y no pueden reemplazarse fácilmente. Sin embargo, permanecen expuestos a vulnerabilidades conocidas.

El problema no es solo su existencia, sino su opacidad. No es inusual que las organizaciones crean haber desmantelado sistemas heredados, para descubrir más tarde que siguen activos. Esto genera un punto ciego persistente en la superficie de ataque que los atacantes aprovechan con rapidez.

Una brecha creciente entre percepción y realidad

Quizás lo más preocupante es cuánto las organizaciones desconocen su propio estado de seguridad. Muchos dependen de un único sistema de registro —por ejemplo, una herramienta de gestión de configuraciones— como su fuente de verdad. Sin embargo, estos sistemas suelen ser incompletos.

En un ejemplo, una empresa creía tener cobertura total de protección de endpoints basada en informes internos. Análisis independientes revelaron que una parte de sus dispositivos no estaba incluido en el sistema. Esta desconexión entre percepción y realidad genera una falsa sensación de seguridad, cada vez más insostenible ante una mayor escrutinio regulatorio y gobernanza a nivel de junta directiva.

A lo largo del Reino Unido y la Unión Europea, marcos como el Acta de Resiliencia Operativa Digital en servicios financieros y NIS2 en general están elevando las expectativas. Las organizaciones ya no son evaluadas solo por si existen controles, sino por si son eficaces, verificables y aplicados de forma consistente.

De la gestión de vulnerabilidades a la gestión de exposición

En este contexto, se observa un cambio más amplio en la forma en que las organizaciones abordan la ciberseguridad. La gestión tradicional de vulnerabilidades, centrada en identificar y calificar fallas, ya no es suficiente. El reto no es la falta de datos, sino la claridad sobre qué importa realmente.

La gestión de exposición, por el contrario, adopta una visión más holística. Combina descubrimiento continuo de activos con datos de múltiples fuentes, aplicando contexto de negocio y de amenazas para priorizar el riesgo. Crucialmente, también se enfoca en la verificación: asegurar que las acciones de remediación se completen realmente.

Este cambio ya ofrece resultados medibles. Las organizaciones que adoptan prácticas más maduras de gestión de exposición observan reducciones de más del 40% en categorías de riesgo clave, como controles ausentes y activos obsoletos.

Una nueva línea base para la resiliencia cibernética

Las implicaciones para las organizaciones en el Reino Unido son claras. La ciberseguridad ya no se trata solo de defenderse de lo desconocido. Se trata de gestionar lo conocido —de forma sistemática, continua y a escala.

Esto es especialmente relevante a medida que el riesgo cibernético se vincula cada vez más a cumplimiento regulatorio, requisitos de aseguramiento y gobernanza a nivel de junta. Demostrar control sobre la superficie de ataque —probar qué existe, cómo está protegido y si se han reducido los riesgos— se está convirtiendo en una expectativa básica.

Los atacantes pueden lograr control a nivel de dominio en minutos una vez dentro de un entorno. En ese contexto, los retrasos en la remediación o las brechas de visibilidad no son solo problemas operativos: son riesgos comerciales críticos.

Las organizaciones que tendrán éxito son aquellas que cierren la brecha entre insight y acción. Las que vayan más allá de las suposiciones y desarrollen una comprensión clara y verificable de su exposición. En el panorama de amenazas actual, el mayor riesgo no es lo que las organizaciones aún no saben, sino lo que ya saben y no han corregido.

Este análisis se enmarca en las perspectivas de TechRadar Pro Perspectives, un canal para presentar mentes brillantes de la industria tecnológica actual.

from Latest from TechRadar https://ift.tt/ubTcpIW
via IFTTT IA