El ransomware puede paralizar por completo a una empresa en cuestión de minutos, y las estafas de phishing —que se basan en la IA generativa — son más sigilosas que nunca, logrando eludir incluso a los ojos más atentos y a las defensas más vigilantes. A medida que se acerca el año 2025 , los responsables de seguridad de la información de se enfrentan a un dilema: cómo defenderse de unas amenazas implacables con presupuestos modestos.
No es que estos CISO no cuenten con una financiación adecuada . La mayoría de los expertos del sector afirman que el gasto en ciberseguridad representa entre el 9 % y el 20 % de los presupuestos de TI más elevados. Hace tan solo unos años, esos presupuestos crecían a tasas de dos dígitos, ya que las organizaciones se esforzaban por garantizar que sus empleados, que de repente se habían visto obligados a trabajar a distancia, lo hicieran de la forma más segura posible.
Es evidente que esa época ya ha quedado atrás, ya que los presupuestos de ciberseguridad ponen de manifiesto nuevos y graves retos para los equipos de seguridad .
Este año, por ejemplo, los CISO han visto cómo sus presupuestos de ciberseguridad aumentaban una media del 8 %, frente a los incrementos del 16 % y del 17 % registrados en 2021 y 2022, respectivamente, según una reciente encuesta de IANS + Artico Search titulada « » ().
Ante unos aumentos tan modestos y la incertidumbre económica, los responsables de seguridad han tenido que ser mucho más selectivos a la hora de asignar los fondos. Según la encuesta, los gastos de personal representaron aproximadamente un tercio (37 %) del presupuesto medio en 2024. Sin embargo, la encuesta reveló que el aumento de la plantilla se redujo este año del 31 % al 12 %. Los costes de software externo y de externalización representan otro 43 %. En comparación, la formación sobre « » ( ) —una línea de defensa fundamental en una era en la que el phishing se basa en la inteligencia artificial— representó el 4 %, según reveló el estudio de IANS + Artico Search.
Para muchos CISO, la directriz ha sido clara: defender la fortaleza, pero mantener bajos los costes, un reto que exige rendir cuentas por cada dólar.
«El gasto en seguridad constituye una parte fundamental de los presupuestos de TI, pero seguimos observando cómo los CISO se ven obligados a justificar el retorno de la inversión de cada dólar que gastan», señala Frank Dickson, analista de ciberseguridad de IDC.
Where to allocate cybersecurity budget in 2025
Entonces, ¿están actuando correctamente los CISO? Sí, en general —al menos desde el punto de vista de la gestión del dinero—. Sin embargo, si los equipos de seguridad no adaptan sus inversiones a unas cuantas tendencias clave, podrían tener dificultades para hacerles frente en el futuro, y ello les supondría un coste mucho mayor.
«El gasto en seguridad constituye una parte fundamental de los presupuestos de TI, pero seguimos viendo cómo los CISO se ven obligados a justificar el retorno de la inversión de cada dólar que gastan.»Frank Dickson, analista de ciberseguridad de IDC
A continuación se exponen cinco aspectos que deben servir de guía para todas las decisiones presupuestarias de cara al nuevo ejercicio fiscal:
1. Soluciones de autenticación multifactorial (MFA) resistentes al phishing y sin contraseñas
Los métodos tradicionales de autenticación multifactorial (MFA) de « » se ven cada vez más amenazados. Los ataques de tipo «MFA bombing», los ataques de tipo «man-in-the-middle» y las novedosas tácticas de ingeniería social de tipo « » han puesto de manifiesto las vulnerabilidades de lo que solía ser la solución de seguridad por excelencia.
, de Forrester, recomienda a las organizaciones de la lista « » que utilicen aplicaciones de autenticación multifactorial (MFA) con capas de «coincidencia de números» además de las contraseñas de un solo uso (OTP,) como medida provisional. La autenticación mediante código numérico es una función de seguridad de autenticación multifactorial (MFA) mediante la cual los usuarios reciben una notificación push para introducir una serie de números con el fin de autenticarse.
Forrester recomienda asimismo adoptar soluciones de autenticación multifactorial (MFA) resistentes al phishing basadas en esquemas de criptografía de clave pública, como FIDO2, un estándar abierto para la autenticación sin contraseña que sustenta las «passkeys» —credenciales digitales que permiten a los usuarios iniciar sesión en sitios web sin necesidad de nombres de usuario ni contraseñas—.
[Lea también: Las nuevas ideas sobre la seguridad de las contraseñas podrían sorprenderle]
Una estrategia eficaz de MFA requerirá una mayor parte del presupuesto, pero la reducción del riesgo de robo de credenciales y la prevención de ataques exitosos deberían justificar fácilmente dicho gasto.
2. Integración de plataformas y consolidación de herramientas
La proliferación de herramientas es un efecto secundario costoso derivado de la rápida inversión en seguridad. Dado que cuentan con múltiples herramientas en diversas áreas funcionales, los equipos de seguridad suelen necesitar ayuda para gestionar y optimizar su conjunto de herramientas. Según una reciente encuesta de Gigamon titulada « » (), el 76 % de los CISO se sienten desbordados por el volumen de amenazas a las que se enfrentan a diario. Como consecuencia, seis de cada 10 CISO señalaron la consolidación y optimización de las herramientas como su principal prioridad para subsanar los puntos ciegos.
Mediante la consolidación de herramientas y la inversión en plataformas bien integradas con la infraestructura existente, las empresas pueden reducir la complejidad operativa, mejorar los tiempos de respuesta, agilizar la detección y la corrección de incidencias, aumentar la eficacia de la automatización y liberar al personal para que se centre en proyectos o tareas de mayor prioridad.
«Muchos responsables de seguridad de la información (CISO) están estudiando cómo optimizar su conjunto de herramientas», afirma Nick Kakolowski, director sénior de investigación de IANS. «Las presiones financieras han suscitado un interés por la consolidación». Al mismo tiempo, la escasez de personal para sacar el máximo partido a las herramientas está obligando a los equipos a buscar formas de reducir la dispersión y automatizar los procesos.
3. Automatización: hacer más con menos
Las limitaciones de personal son una realidad, y los CISO lo saben. La automatización es esencial para que los equipos de seguridad puedan mantener el mismo nivel de protección con menos personal.
«Las presiones financieras han suscitado interés por… formas de minimizar la expansión urbana y automatizar los procesos.»Nick Kakolowski, director sénior de investigación de IANS
Dickson recomienda centrarse en herramientas que mejoren las capacidades de detección y agilicen las respuestas, reduciendo así el tiempo medio de detección (MTTD) , y el tiempo medio de reparación (MTTR) . «La automatización no consiste únicamente en invertir en herramientas, sino en invertir en herramientas que le permitan ahorrar en otros ámbitos, como frenar el crecimiento de la plantilla», afirma.
La IA general es un ámbito en el que la automatización se presenta prometedora. Desde la automatización del análisis de amenazas y hasta la clasificación de alertas, las herramientas de inteligencia artificial pueden ayudar a los equipos de seguridad a gestionar las amenazas sin necesidad de aumentar su plantilla. No obstante, los CISO deben actuar con cautela. Las herramientas de IA general deben integrarse cuidadosamente en los entornos de seguridad existentes, ya que su eficacia depende de una interacción fluida con otras plataformas.
4. Priorice la formación y la sensibilización sobre las amenazas internas
Dado que los atacantes utilizan la inteligencia artificial para crear estafas de phishing ultrarrealistas y automatizar su envío a direcciones de correo electrónico a gran escala, una inversión insuficiente en la gestión humana de riesgos podría constituir un fallo fatal en la estrategia de una organización. Al fin y al cabo, las personas suelen ser el eslabón más débil en materia de seguridad de cualquier organización.
«La formación debe ser un aspecto importante de cualquier presupuesto de ciberseguridad», afirma Dickson.
Ahora más que nunca, las simulaciones de phishing, el análisis de comportamiento y las herramientas de gestión de riesgos humanos deberían llevarse a cabo de forma periódica en todas las organizaciones. Los programas de formación mejorados que se centran en identificar y evitar las estafas de phishing impulsadas por la inteligencia artificial pueden convertir a los empleados en la primera línea de defensa. La aplicación de políticas para supervisar las actividades del personal interno y el uso del análisis de comportamiento para detectar acciones inusuales también pueden ayudar a detectar amenazas internas antes de que se agraven.
5. Seguridad en la nube y observabilidad avanzada
La adopción generalizada de entornos de nube híbrida y « » hace que la visibilidad de todos los flujos de datos sea fundamental, pero la mayoría de las organizaciones necesitan gestionar mejor este aspecto. Por ejemplo, ocho de cada 10 CISO señalan los puntos ciegos en la infraestructura de nube híbrida como una de sus principales preocupaciones, según la encuesta de Gigamon.
Por supuesto, los CISO son plenamente conscientes de la verdad fundamental sobre la nube: una observabilidad profunda resulta costosa.
Sin embargo, cada vez se considera más como una capa fundamental de seguridad para los entornos híbridos. Casi el 85 % de los CISO que participaron en la encuesta de Gigamon hicieron hincapié en la importancia de los datos a nivel de paquete para identificar ciberamenazas en tiempo real, y destacaron la necesidad de contar con soluciones de supervisión sólidas dentro de los presupuestos del 2025 .
Conceptos básicos sobre el presupuesto de ciberseguridad: armonizar el riesgo cibernético con los objetivos empresariales
Ningún responsable de seguridad de la información (CISO) debería elaborar su presupuesto sin tener en cuenta estas prioridades a corto plazo. De hecho, uno de los errores más graves que cometen los responsables de seguridad es considerar los presupuestos como asignaciones anuales, en lugar de integrarlos en planes estratégicos plurianuales, afirma Dickson. Pensar en ciclos de planificación de entre tres y cinco años permitirá a los CISO ajustar mejor las inversiones en seguridad a los objetivos empresariales, de modo que cada dólar aporte un valor cuantificable, añade.
Para el ejercicio fiscal 2025, los CISO deben encontrar un equilibrio entre las necesidades inmediatas y las estrategias a largo plazo, reasignando recursos a la autenticación multifactorial (MFA) resistente al phishing, la integración de plataformas, la automatización, la formación de los empleados y la seguridad en la nube, no solo para defenderse de las crecientes amenazas, sino también para demostrar que las inversiones en ciberseguridad respaldan la resiliencia y el crecimiento futuro de la empresa.
