Predicciones de ciberseguridad para 2025

El equipo de expertos en ciberseguridad de Mimecast supervisa petabytes de datos globales de inteligencia sobre amenazas y comportamiento humano para más de 42.000 clientes de seguridad de correo electrónico y lo ha hecho durante más de 21 años. A medida que cada año se acerca a su fin, muchos de nosotros en la industria de la ciberseguridad reflexionamos sobre lo que hemos visto en los últimos 12 meses e intentamos obtener una comprensión sólida de lo que veremos en los próximos 12 meses.

Esta previsión sobre el año venidero nos proporciona la visión que necesitamos para trabajar duro y adelantarnos a las próximas tendencias en ciberseguridad. Dicho más claramente, nos ayuda a adelantarnos a los malos. Y cada año, compartimos estas predicciones sobre el año venidero con la esperanza de que podamos ayudar a armar a otros con ese conocimiento también.

Lo que vemos que ocurrirá en 2025

Aunque no tenemos una bola de cristal, sí contamos con un montón de gente increíble que sabe mucho sobre ciberseguridad y hacia dónde se dirigirá probablemente el sector en el futuro. Para ello, cada año sondeamos a nuestros expertos internos para conocer sus perspectivas. Esto es lo que esperamos en 2025:

• La continua disminución del tiempo que transcurre entre que se conoce una vulnerabilidad y ésta es ampliamente explotada por los ciberdelincuentes pondrá de relieve la importancia del análisis predictivo a la hora de priorizar las amenazas.
• A la hora de crear nuevas soluciones, o simplemente de reaccionar a la forma en que sus soluciones existentes abordan las nuevas amenazas, las empresas de ciberseguridad tendrán que equilibrar el tiempo de comercialización con la volatilidad, la incertidumbre, la complejidad, la hiperconectividad y la ambigüedad, a veces, de las amenazas.
• La inteligencia artificial (IA) significativa se integrará en la tecnología, superando el ciclo del bombo publicitario para convertirse en una parte importante de las soluciones que realmente funcionan.
• La gestión de los riesgos humanos será el tema del año.
• Las empresas de ciberseguridad confiarán más en los socios estratégicos externos para cubrir la continua falta de competencias.
• Los reguladores se moverán en una fina línea entre mantener el mundo seguro y no ahogar la innovación. 

El tiempo desde el descubrimiento hasta la explotación seguirá disminuyendo

Las amenazas de día cero -amenazas que se desconocen antes de que vulneren las defensas de un sistema- están aumentando y son las cadenas de suministro de software las que corren mayor riesgo. De hecho, las investigaciones de Mandiant posteriores a las violaciones han descubierto que la principal causa de las violaciones es la explotación del software y las configuraciones erróneas, y que una alta proporción de éstas son ataques de día cero. 95% de las empresas británicas se han visto afectadas por violaciones cibernéticas en la cadena de suministro y más de un tercio no evalúa regularmente a sus proveedores externos. La fijación de parches o la reconfiguración puntual resultan redundantes en estos casos. En 2025, las organizaciones van a darse cuenta rápidamente de que, a medida que siga disminuyendo el tiempo que transcurre desde que se descubre una amenaza hasta que los ciberdelincuentes la explotan ampliamente, el análisis predictivo será especialmente importante para proteger su superficie de amenazas.

Equilibrar el tiempo de comercialización será imperativo

A medida que aumentan los ataques y el tiempo que transcurre desde que se descubre una vulnerabilidad hasta que es ampliamente explotada sigue disminuyendo en 2025, las empresas de ciberseguridad van a tener que equilibrar las prisas por sacar sus soluciones al mercado con la volatilidad, la incertidumbre, la complejidad, la hiperconectividad y la ambigüedad, a veces, de las amenazas. La palabra "complejo" es clave, y no debe confundirse con complicado. Desplegar controles sin someterlos a pruebas o asumir que los controles seguirán funcionando en un panorama de amenazas en constante cambio es una tarea de tontos, pero en la prisa por sacar el producto al mercado, los proveedores de ciberseguridad deben tener siempre presente esta complejidad.

La IA significativa estará integrada en la tecnología

Google Cloud ha pronosticado que 2025 será el primer año en el que veremos realmente la segunda fase de la IA en acción con la seguridad. Lo que esto significa en la práctica es que la IA reducirá la carga de los defensores que realizan tareas repetitivas mediante la integración de la IA en los procesos y procedimientos, lo que permitirá que las investigaciones se desarrollen con mayor eficacia. 

La gestión de Human Risk será el tema candente

En 2025, el término gestión de los riesgos humanos penetrará en la corriente dominante a medida que las organizaciones vayan sintonizando con esta realidad. Durante años, el sector se mantuvo a la expectativa, sin querer señalar con el dedo la mayor vulnerabilidad a la que se enfrentan las organizaciones -el riesgo humano-, pero el año que viene es de lo que probablemente más se hable. Mimecast realizó tres adquisiciones en 2024 - Elevate Security, Aware y Code42 - todas ellas centradas principalmente en identificar y combatir el riesgo humano, aquellas brechas de ciberseguridad que tienen su origen en personas dentro de las organizaciones que no mantienen una buena higiene cibernética. Elevate Security, ahora una empresa de Mimecast, descubrió que 8% de los empleados son responsables del 80% de los incidentes de seguridad, una estadística que demuestra la importancia de evitar la formación de concienciación sobre seguridad de talla única. También significa que los CISO tendrán que equilibrar la productividad y la innovación por un lado con el riesgo humano por otro - y la aparición de una IA creíble apoyará en este objetivo.

Las empresas de ciberseguridad confiarán más en socios estratégicos externos para cubrir la falta de competencias 

Con un panorama de amenazas en rápida evolución y la velocidad a la que se necesitan nuevas especializaciones, las organizaciones trabajarán cada vez más con socios estratégicos para aprovechar las habilidades que existen en las empresas de nueva creación y en corporaciones como Microsoft. G42, por ejemplo, una empresa de inteligencia artificial de los EAU, ha llegado recientemente a un acuerdo con Microsoft, una asociación estratégica valorada en 1.500 millones de dólares. La inversión reforzará la colaboración de las dos empresas para llevar las últimas tecnologías de IA de Microsoft y las iniciativas de capacitación a los EAU y a otros países del mundo. Estos socios estratégicos, aunque no necesariamente alcancen este tipo de escala, serán una característica destacada de la ciberseguridad en 2025. 

Los reguladores se moverán en una línea muy fina entre la seguridad y no ahogar la innovación 

Apple frenó el despliegue de su IA en la UE por problemas de regulación. Facebook ha tenido preocupaciones similares. Dado que el cumplimiento de las normas no es dominio exclusivo del sector público o privado, el Centro Nacional de Ciberseguridad (NCSC) del Reino Unido y la Agencia de Ciberseguridad e Infraestructuras (CSIA) de Estados Unidos seguirán ocupándose simultáneamente de la seguridad de los usuarios y de las necesidades de la industria de la ciberseguridad para crear los productos más innovadores posibles. Lo más probable, sin embargo, es que en 2025 la regulación siga sin seguir el ritmo de la velocidad del cambio en la industria de la ciberseguridad. En un futuro próximo le informaremos mucho más sobre este tema.

Lo esencial

2025 será testigo de cómo el sector de la ciberseguridad se esfuerza por mantenerse al día en un panorama de amenazas en constante cambio, alimentado por ciberdelincuentes inteligentes, innovadores y audaces, y por los bolsillos, a veces muy profundos, que los respaldan. Los expertos de Mimecast ya se están preparando para tomar las medidas necesarias para mantener a salvo a sus clientes en el próximo año.

La rápida explotación de las amenazas, el equilibrio del tiempo de comercialización, la nueva y significativa IA, la gestión del riesgo humano, las asociaciones estratégicas externas y la normativa de seguridad nos van a deparar lo que parece será un año apasionante.

En las próximas semanas, realizaremos exploraciones más profundas de cada una de estas predicciones para 2025. Mientras tanto, sepa que Mimecast está elevando las defensas de nuestros clientes con nuestra plataforma de gestión de riesgos humanos. Lea aquí para saber cómo podría apoyar sus planes de ciberseguridad para el nuevo año.