NIS2: 10 estrategias empresariales para asegurar infraestructuras críticas

La Directiva NIS2 de la Unión Europea, que comienza a aplicarse el 17 de octubre de 2024, obligará a más de 100.000 empresas europeas a fortalecer su ciberresiliencia y optimizar sus mecanismos de respuesta ante las ciberamenazas.

Recientemente, el Instituto Nacional de Ciberseguridad (INCIBE) ha revelado en su Balance de Ciberseguridad relativo al año 2023 que los incidentes incrementaron un 24% respecto al año anterior.

Ante esta situación, Softtek, líder en soluciones tecnológicas globales, destaca que las organizaciones han de adoptar un enfoque proactivo y dinámico no solo para prevenir ataques, sino también para ser capaces de anticipar y responder a las amenazas en tiempo real.

¿Qué es la directiva NIS2?

La Directiva NIS2 establece nuevos y estrictos requisitos de ciberseguridad para las empresas que operan en sectores críticos como la energía, transporte, banca y salud, entre otros. Softtek señala que, para adaptarse a esta normativa, las organizaciones deben implementar las siguientes estrategias:

•  Evaluar los riesgos: valorar ciberamenazas de forma sistemática y continua ayudará a identificar posibles vulnerabilidades. Esto implica analizar todos los activos digitales para determinar dónde pueden producirse estas amenazas. La gestión de riesgos debe ser un proceso dinámico que se ajuste a las nuevas tecnologías y tácticas de ataque. De esta manera, las empresas podrán priorizar las áreas más críticas y diseñar estrategias de mitigación efectivas para velar por sus sistemas.

•  Asegurar la cadena de suministro: las compañías deben garantizar que sus socios y proveedores cumplan con los mismos estándares de ciberseguridad. Es necesario acometer auditorías con regularidad, seguir los protocolos de seguridad y evaluar las medidas de protección. Al asegurar la cadena de suministro, las organizaciones no solo protegen sus propios sistemas, sino también los de sus clientes y partners. Este aspecto es especialmente clave para empresas del sector industrial y del retail.

•  Seguridad general: han de adoptar una estrategia integral de ciberseguridad que abarque no solo protejan activos críticos, sino que también velen por la protección general de toda la infraestructura digital. Esto implica implementar medidas de seguridad robustas como la gestión de identidades y accesos y la monitorización continua de amenazas. La ciberseguridad debe ser una prioridad en todos los niveles de la organización para mitigar riesgos y proteger la integridad de la información y los sistemas.

•  Proteger infraestructuras críticas: las empresas que operan estos sistemas tienen el deber de implementar medidas de seguridad avanzadas si quieren protegerse contra ofensivas que podrían repercutir a nivel nacional o internacional. Esto implica aplicar cifrado, autenticación multifactor y segmentación de red para evitar que los atacantes accedan a sistemas sensibles.

•  Cumplir las normativas: el entorno regulatorio en ciberseguridad evoluciona permanentemente para afrontar las nuevas amenazas digitales. Las compañías han de adaptarse y estar al día de las actualizaciones para ajustar sus políticas y procedimientos. El cumplimiento ayuda a evitar sanciones y proporciona una base sólida para crear una cultura organizacional de ciberseguridad.

•  Realizar auditorías automáticas: los sistemas de ciberseguridad deben funcionar de manera continua y efectiva. Estas herramientas permiten monitorizar y evaluar en tiempo real su cumplimiento con las normativas y sus propios protocolos de seguridad. Al automatizar el proceso, las organizaciones pueden detectar de inmediato cualquier incumplimiento o anomalía en sus sistemas, lo que posibilita una respuesta rápida antes de que se explote una vulnerabilidad. Además, reducen la carga administrativa y mejoran la precisión en la detección de riesgos.

•  Ciberseguridad en el Consejo de Administración: la alta dirección ha de estar involucrada en la estrategia de ciberseguridad para que la protección sea una prioridad en toda la organización. El Consejo de Administración debe estar informado y comprometido con las decisiones clave que afectan a la seguridad de la empresa, desde la asignación de recursos hasta la definición de políticas. Al integrar la ciberseguridad en el nivel más alto de la toma de decisiones, la cultura organizacional en torno a la seguridad queda reforzada. De este modo, la respuesta ante cualquier amenaza es más rápida y coordinada.

•  Monitorización y respuesta en tiempo real: las compañías pueden vigilar constantemente sus redes y sistemas y detectar anomalías al instante. Estas soluciones avanzadas pueden identificar amenazas antes de que se conviertan en ataques graves, lo que permite actuar con rapidez y mitigar el daño. Además, ofrecen una visión completa del estado de seguridad de la organización y contribuyen a prevenir posibles vulnerabilidades. Este enfoque proactivo es clave para mantenerse por delante de los atacantes en un entorno de ciberamenazas que no para de evolucionar.

•  Gestión de incidentes proactiva: implica tener planes de respuesta robustos y bien definidos antes de que ocurra una brecha de seguridad. De este modo, las organizaciones pueden reaccionar rápidamente, contener la amenaza y minimizar el impacto en las operaciones. No se trata solo de detener el ataque, sino de reducir el tiempo de inactividad y evitar pérdidas significativas de datos, que puede derivar en un menoscabo de la confianza de los clientes.

•  Formación sobre riesgos: todos los miembros de la organización deben conocer los riesgos cibernéticos y recibir formación continua en materia de ciberseguridad. Esto incluye educar al personal sobre las amenazas actuales, las mejores prácticas para evitar ataques y los procedimientos a seguir en caso de un incidente. Fomentar una cultura de seguridad en la que cada trabajador se sienta responsable de proteger los activos digitales ayudará a reducir la probabilidad de errores humanos y a mejorar la capacidad de respuesta ante posibles episodios.

Rafael Conde del Pozo, Business Development, Strategy & Innovation director de Softtek EMEA, explica: “El cumplimiento de la Directiva NIS2 no debe ser visto como una carga regulatoria, sino como una oportunidad para que las empresas se posicionen como líderes en ciberseguridad, protejan sus operaciones y fortalezcan la confianza con sus socios y clientes".