La ciberseguridad ocupa ya un lugar central en la agenda de las empresas de todo el mundo. Sin embargo, entre la voluntad declarada de protegerse y la implementación real de medidas efectivas persiste una brecha que deja a muchas pymes más expuestas de lo que creen. A pesar de que las pymes españolas lideran el ranking mundial de confianza en ciberseguridad, el 47,5% declara sentirse segura en la gestión de las ciberamenazas, los datos revelan que esta percepción positiva oculta déficits en medidas de seguridad básicas y en la formación de sus empleados.

Así lo pone de manifiesto el estudio «Las pymes en la era de la IA: cómo afrontar la complejidad de la ciberseguridad y reforzar la resiliencia«, elaborado por la prestigiosa consultora IDC en colaboración con Sage, empresa mundial en tecnología de contabilidad, finanzas, RR.HH. y nóminas para pymes. A través de él, y basado en una encuesta global realizada a 2.210 pymes, se analizan las principales preocupaciones de las empresas en materia de ciberseguridad y se identifican los cambios estratégicos necesarios para pasar de una defensa reactiva a una seguridad proactiva, además de una ciberresiliencia sostenible y adaptada a los riesgos de las nuevas tecnologías como la IA.

Menos incidentes, pero con falta de prácticas básicas en gestión de ciberseguridad

Las empresas españolas creen disfrutar de tranquilidad en el panorama de las ciberamenazas ya que afirman sufrir menos ciberincidentes que la media europea (38,5% frente al 45,5%), lo que refuerza su percepción de solidez.

Sin embargo, detrás de esta fortaleza se esconden brechas relevantes en las medidas de seguridad más fundamentales. Las pymes españolas presentan menor adopción en áreas clave de protección básica: 

• Protección del correo electrónico (72% frente al 79,2% global) 
• Protección de endpoints (61,5% frente al 66,8% global) 
• Autenticación multifactor o MFA/SSO (57,5% frente al 62,2% global)

Estos datos revelan que las prácticas básicas en materia de ciberseguridad necesitan ser reforzadas.

Aunque muchas pymes hayan declarado que priorizan las medidas básicas de seguridad, el estudio también revela que son muchas menos las empresas que realizan revisiones periódicas de seguridad (50%) o prueban sus planes de respuesta ante incidentes (36%), lo que limita la eficacia real de las inversiones cuando se producen ataques.

A pesar de eso, más de la mitad (52%) de las pymes encuestadas considera la ciberseguridad y la protección de datos como una de sus principales prioridades empresariales para los próximos 12 meses, sólo por detrás del crecimiento (59%) y muy por delante de la ampliación de la adopción de la IA (33%). Además, seis de cada diez pymes (60%) también prevén aumentar el gasto en ciberseguridad durante el mismo periodo.

El factor humano sigue siendo el eslabón más débil

Además de las herramientas, las revisiones y la inversión, el principal punto débil de la ciberseguridad en las pymes españolas siguen siendo las personas. El 36% de las empresas españolas cita la falta de concienciación de los empleados sobre las expectativas de ciberseguridad como uno de sus principales retos, un porcentaje que supera en seis puntos la media global (30,2%). A pesar de esta vulnerabilidad, las empresas españolas demuestran una cultura de concienciación activa, ya que 6 de cada 10 (62%) afirma formar a sus trabajadores para identificar riesgos de ciberseguridad.

Estos resultados cobran especial relevancia en un contexto en el que el marco regulatorio español exige a las empresas un nivel creciente de preparación en materia de ciberseguridad, desde la transposición de la directiva europea NIS2 hasta las directrices del Esquema Nacional de Seguridad (ENS) y las recomendaciones del INCIBE para pymes. 

«Las pymes españolas muestran una confianza notable en su gestión de las ciberamenazas, pero este estudio nos recuerda que, sin una base sólida de protección cotidiana, esa confianza puede convertirse en vulnerabilidad. En Sage, trabajamos para que la seguridad forme parte del día a día de las pymes españolas, integrada en las herramientas de gestión que ya utilizan, sin añadir complejidad a un entorno regulatorio que ya les exige un esfuerzo creciente de adaptación«, afirma José Luis Martín Zabala, Managing Director de Sage Iberia.

Las pymes españolas abrazan la IA con convicción

La implantación de la IA está aumentando la presión sobre la ciberseguridad de las pymes. Sin embargo, España es el país donde las pymes sitúan la IA en una posición alta dentro de su agenda de negocio, ya que casi 4 de cada 10 (37,5%) la considera una de sus principales prioridades empresariales, el porcentaje más elevado de todos los mercados analizados en el estudio. Esta apuesta estratégica va acompañada de una visión decididamente optimista para casi 4 de cada 10 pymes españolas (39,5%), que cree que la IA genera más oportunidades que riesgos, por encima de la media global (37%).

Este entusiasmo se traduce también en cómo las pymes españolas perciben su nivel de preparación. El 30% se considera preparada para hacer frente a las ciberamenazas vinculadas a la IA, seis puntos por encima de la media mundial (25%).

Además de eso, el estudio revela que la IA ha impulsado transformaciones de seguridad más profundas y estructurales en España que en el resto del mundo. De hecho, el 8,5% declara contar ya con una seguridad madura para la IA (frente al 5,6% global) y el 10,5% ha revisado por completo su enfoque de seguridad TI a raíz de la implantación de esta tecnología, superando en más de tres puntos el dato global (7,4%).

Este contraste resulta aún más llamativo cuando se pone en perspectiva con el panorama global. Ocho de cada diez (81%) pymes a nivel mundial no están preparadas o se encuentran en las primeras fases de preparación frente a las amenazas relacionadas con la IA, y casi una cuarta parte (22%) no ha implementado medidas de protección específicas para las aplicaciones de IA.

Herramientas y regulación, principales desafíos de la adopción segura de la IA

Sin embargo, el optimismo español tiene sus puntos ciegos. El estudio destaca que la carencia de herramientas específicas supone un freno a una adopción verdaderamente segura de la IA en las pymes españolas. El 19% señala la ausencia de soluciones para monitorizar y detectar riesgos de seguridad asociados a la IA, más del doble que la media mundial (12,2%).

A estos retos se suma una paradoja, ya que perciben que las regulaciones sobre la IA son una garantía y un freno al mismo tiempo. Las pymes españolas están, en general, mejor preparadas para cumplir con las regulaciones de IA que sus homólogas en otros mercados. Sin embargo, el 35,5% afirma que estas normativas están ralentizando la adopción tecnológica, por encima del 32,4% global.

Para los clientes de pymes, Sage se centra en hacer que la ciberseguridad sea más accesible integrando la seguridad en el diseño del software de uso diario desde el principio, con el respaldo de pruebas continuas, prácticas de programación segura alineadas con los estándares de OWASP y formación continua en seguridad para los ingenieros. Sage también colabora con organismos del sector, partners e iniciativas públicas, incluido el Programa de Embajadores de Seguridad de Software del Gobierno del Reino Unido, para promover enfoques de ciberseguridad prácticos y accesibles que refuercen la resiliencia en todo el ecosistema de las pymes.

Gustavo Zeidan, Chief Information Security Officer en Sage, expresa que “muchas pymes están entusiasmadas con el potencial de la IA, pero buscan formas sencillas y prácticas de adoptarla de manera segura, a medida que las amenazas son cada vez más sofisticadas. Las empresas no deberían tener que elegir entre innovación y seguridad. Al facilitar la implementación de la ciberseguridad mediante productos seguros desde su diseño, orientaciones más claras y la colaboración entre el sector y las administraciones públicas, podemos ayudar a las pymes a desarrollar su resiliencia, innovar de forma segura y crecer al ritmo adecuado”.

Joel Stradling, European Security Senior Research Director en IDC, explica que “el estudio sugiere que muchas pymes siguen creyendo que no son un objetivo prioritario de los ciberataques, a pesar de que las amenazas son cada vez más sofisticadas y generalizadas. IDC recomienda a las pymes que integren la ciberseguridad en sus iniciativas de IA desde el principio y adopten un enfoque global de la ciberresiliencia. Las pymes que logren salvar la brecha entre sus ambiciones de crecimiento y su preparación en materia de seguridad estarán en una posición óptima para generar confianza digital a largo plazo entre clientes, partners e inversores”.