Ciberseguridad 2024: Tendencias y estrategias de protección

El año 2024 se caracterizó por un fuerte aumento en las actividades de los ciberdelincuentes. Los daños para la economía alemana son más elevados que nunca. El proveedor de servicios de TI y soluciones de centros de datos de alta gama, synaforce, hace un balance de los mayores desafíos, así como de sus propios logros en materia de ciberseguridad, al tiempo que ofrece motivos para la esperanza de cara a 2025: con las medidas adecuadas, cualquier persona puede protegerse de manera efectiva.

¿Qué es Ciberseguridad?

Ciberseguridad es una prioridad concreta para las empresas en 2024, porque influye directamente en la capacidad de datacenter, la eficiencia energética y el cumplimiento. Este artículo utiliza el ejemplo de synaforce para mostrar qué requisitos, cifras y pasos operativos importan en la práctica.

Lo más importante en breve

• A lo largo de 2024, se registraron diariamente alrededor de 309.000 nuevas variantes de malware, lo que supone un aumento del 26 por ciento respecto a 2023.
• Los sistemas en la nube, las infraestructuras críticas y los dispositivos móviles fueron objetivos preferidos de los ciberdelincuentes.
• La inteligencia artificial generativa se utiliza cada vez más para el phishing, la creación de código malicioso y la elusión de contraseñas.
• La transposición de la Directiva NIS2 al derecho alemán se ha retrasado; a fecha de diciembre de 2024, la ley aún no ha sido aprobada.
• En 2024, synaforce obtuvo la certificación BSI-C5 y colabora con TEHTRIS para ofrecer seguridad XDR impulsada por IA.

Según el Informe de Situación sobre Seguridad TI del Bundesamt für Sicherheit in der Informationstechnik (BSI), en 2024 se identificaron diariamente aproximadamente 309.000 nuevas variantes de malware, lo que representa un incremento del 26 por ciento en comparación con el año anterior. Los ataques dirigidos a sistemas en la nube, a las infraestructuras críticas (KRITIS) y a dispositivos móviles ocuparon un lugar destacado. Al mismo tiempo, los ciberdelincuentes continuaron profesionalizando sus métodos, aprovechando vulnerabilidades de día cero y recurriendo de forma estratégica a herramientas modulares de ataque, como el Malware-as-a-Service. Asimismo, el avance en el ámbito de la inteligencia artificial ejerció una influencia decisiva en el panorama de las amenazas: la IA generativa facilita los ciberataques al generar, por ejemplo, mensajes de phishing extremadamente realistas, programar código malicioso o superar contraseñas.

Desde el punto de vista regulatorio, también se produjeron desarrollos significativos. La Directiva NIS2, que establece estándares más elevados de ciberseguridad en sectores críticos, debía haber sido incorporada al derecho alemán antes de octubre de 2024. Sin embargo, hasta la fecha (diciembre de 2024), la legislación correspondiente aún no ha sido aprobada, lo que mantiene la incertidumbre para las empresas.

synaforce se posiciona en 2024 como un socio de confianza para soluciones avanzadas de ciberseguridad

En 2024, synaforce ha dado pasos decisivos para reforzar su posición como proveedor de soluciones avanzadas de ciberseguridad. El objetivo era ofrecer a los clientes servicios integrales y seguros, al tiempo que adaptaba sus propios sistemas a los desafíos cada vez mayores. Un hito central fue la certificación C5 otorgada por el BSI en marzo de 2024. Esta certificación confirma que los servicios en la nube de synaforce cumplen con los más altos estándares de seguridad y están especialmente diseñados para clientes de infraestructuras críticas (KRITIS).

Además, synaforce se preparó de manera específica para la implementación de la Directiva NIS2. La base de certificaciones existente, que incluye ISO/IEC 27001, ISAE 3402 y EN 50600, se vio reforzada aún más con la certificación C5. Gracias a ello, synaforce está capacitado para ayudar a las empresas a cumplir con los estrictos estándares mínimos establecidos a nivel europeo.

Otro punto destacado fue la asociación estratégica con TEHTRIS. Juntos, ambas compañías presentaron la TEHTRIS XDR AI PLATFORM, una solución de seguridad impulsada por inteligencia artificial. Esta plataforma monitorea en tiempo real todos los puntos finales, redes y servicios en la nube, y gestiona centralmente todas las medidas de seguridad mediante un panel intuitivo. Las empresas se benefician de una protección integral, garantía de cumplimiento normativo, así como de la modularidad y flexibilidad de esta solución. Por su parte, los proveedores de servicios gestionados pueden aumentar la eficiencia de las medidas y procesos de seguridad que ofrecen, además de ampliar su cartera de servicios con Managed Detection and Response (MDR) proactiva, sin necesidad de invertir ellos mismos en costosas infraestructuras.

TL;DR

¿Qué significa la certificación C5 del BSI?

La certificación C5 otorgada por el BSI (Oficina Federal de Seguridad de la Información) asegura que los servicios en la nube de synaforce cumplen con los más altos estándares de seguridad y están específicamente diseñados para proteger infraestructuras críticas (KRITIS). Esto implica que la empresa ha demostrado su capacidad para manejar datos sensibles y operaciones vitales con un nivel extremadamente alto de protección contra ciberamenazas.

¿Por qué es importante la Directiva NIS2 para las empresas?

La Directiva NIS2 es una normativa de la Unión Europea que establece requisitos obligatorios para mejorar la ciberseguridad en sectores clave, como energía, transporte, salud y finanzas. Su implementación busca garantizar la resiliencia frente a ciberataques y minimizar el impacto de incidentes graves. Para las empresas, esto significa tener que adoptar medidas más estrictas y sistemáticas para proteger sus sistemas y datos, así como informar sobre cualquier brecha significativa dentro de plazos muy cortos.

FAQ

Lo que se avecina para las empresas en 2025

El año 2025 plantea desafíos aún mayores en el ámbito de la ciberseguridad. Los ciberdelincuentes recurren cada vez más a tecnologías de deepfake para, por ejemplo, burlar sistemas de reconocimiento de voz durante los procesos de verificación. Sectores como el financiero se enfrentan al reto de desarrollar nuevas estrategias de defensa para protegerse contra estas sofisticadas técnicas de engaño.

Además, las Amenazas Persistentes Avanzadas (APTs) vuelven a ocupar un lugar destacado en el radar de las organizaciones. Estas se caracterizan por su longevidad y precisión, lo que las convierte en una seria amenaza para las empresas, ya que permiten a los atacantes obtener acceso prolongado a información valiosa. En particular, los objetivos prioritarios son las empresas consideradas parte de las Infraestructuras Críticas de Importancia para la Seguridad (KRITIS).

A estos desafíos tecnológicos se suma la incertidumbre sobre la implementación concreta de la Directiva NIS2. Aunque el plazo para transponer esta normativa a nivel europeo ya ha expirado, el proceso legislativo sigue demorado en Alemania. Las empresas no deberían esperar a que la situación jurídica quede clara; adoptar medidas proactivas seguirá siendo la clave en 2025 para mantener sistemas informáticos seguros.

«La situación de las amenazas ya era enorme en 2024 y, según las previsiones, no mejorará en 2025. Nuestra resiliencia colectiva será fundamental para hacer frente a riesgos cada vez más complejos. La implementación de la Directiva NIS2 juega un papel crucial en este contexto. En synaforce apoyamos activamente a las empresas mediante asesoramiento integral, así como con la planificación e implantación de medidas específicas destinadas a minimizar los riesgos cibernéticos y establecer estrategias de seguridad sostenibles», afirma Andreas Braidt, CEO de synaforce.

El informe de situación del BSI en detalle

El informe de situación del BSI de 2024 marca un punto de inflexión en el debate sobre la ciberseguridad. Además de registrar la cifra récord de 309.000 variantes diarias de malware, el BSI documenta por primera vez ataques dirigidos específicamente contra pequeñas y medianas empresas (PYME). Hasta ahora, estas eran consideradas daños colaterales de campañas más amplias. En 2024, sin embargo, se han convertido en objetivos principales, ya que los grupos de ransomware han comprendido que los proveedores del sector medio suelen ser el camino más sencillo para acceder a las redes de grandes corporaciones. Las amenazas basadas en la cadena de suministro, mediante proveedores de servicios de TI y distribuidores de software comprometidos, han aumentado considerablemente.

Paralelamente, la brecha de cualificación en el mercado alemán de la seguridad informática sigue siendo un freno estructural. Según Bitkom, en 2024 faltaban alrededor de 149.000 profesionales especializados en TI, una proporción desproporcionadamente alta de ellos en el ámbito de la ciberseguridad. Esto implica que incluso las empresas que evalúan correctamente el nivel de amenaza no disponen de recursos internos suficientes para implementar medidas de defensa adecuadas. Los proveedores de servicios gestionados de ciberseguridad, como synaforce, se benefician de este déficit, ya que externalizar estas tareas suele ser la única opción viable.

Qué significa concretamente la certificación C5

BSI-C5 (Catálogo de Criterios de Cumplimiento en Computación en la Nube) no es un sello de marketing, sino un catálogo de evaluación que abarca 17 áreas y examina a los proveedores de nube en materia de controles técnicos, organizativos y procesales. Un certificado C5 proporciona tres elementos fundamentales: un informe de auditoría independiente conforme a ISAE 3000, transparencia sobre los subproveedores y los flujos de datos, así como una base sobre la cual los clientes pueden establecer sus propias exigencias de cumplimiento.

Para las entidades operadoras de infraestructuras críticas (KRITIS), la certificación C5 resulta especialmente relevante, ya que el catálogo recoge explícitamente los requisitos establecidos por la Ley del BSI y el Reglamento sobre Infraestructuras Críticas. Al optar por un proveedor de nube certificado C5, estas organizaciones ahorran tiempo y costos en su propia auditoría de KRITIS, puesto que muchos de los puntos de control ya quedan cubiertos por dicho certificado. De este modo, synaforce se posiciona en el mercado clave de servicios de nube soberanos alemanes, un sector impulsado y al mismo tiempo complejizado por el Reglamento General de Protección de Datos de la UE, la Directiva NIS2 y las leyes nacionales de seguridad informática de Alemania.

Recomendaciones de acción para responsables de TI en 2025

El panorama de las amenazas en 2025 obliga a los responsables de TI a establecer cuatro prioridades concretas: preparación para la Directiva NIS2 incluso sin su implementación definitiva en Alemania (la autoadhesión al texto de la UE es suficiente para la mayoría de los requisitos de auditoría), una estrategia basada en plataformas XDR en lugar de herramientas aisladas, fortalecimiento contra deepfakes en los procesos de verificación (incorporando desafíos adicionales fuera del canal habitual en la autenticación por voz) y la realización periódica de formaciones de concienciación sobre la inteligencia artificial generativa como vector de ataque. A su vez, la certificación C5 del BSI se está convirtiendo cada vez más en un criterio de compra para las licitaciones de entidades KRITIS, dejando de ser un mero “nice-to-have”.

Concretamente, esto implica para 2025 que quienes actúan como contratantes en la adquisición de servicios relacionados con la seguridad deberían incluir, como estándar mínimo en sus pliegos de licitación, certificados C5, certificaciones ISO 27001 y clasificaciones de centros de datos según la norma EN 50600. Por su parte, los proveedores que operan en el mercado alemán deben presentar dichos documentos; de lo contrario, perderán sistemáticamente las licitaciones frente a competidores con una base de cumplimiento regulatorio completa. La inversión en certificaciones suele rentabilizarse entre tres y cinco años, ya que el grado de confianza por parte de los clientes públicos y de las entidades KRITIS aumenta de manera tangible.

Para los proveedores de servicios gestionados, la colaboración con plataformas como TEHTRIS constituye una vía pragmática para ampliar su propio portafolio de ciberseguridad sin necesidad de realizar inversiones propias masivas. Las plataformas XDR, que integran endpoints, redes y servicios en la nube en una única capa centralizada de gestión, se están convirtiendo en el estándar durante 2025. En muchos casos, las soluciones aisladas orientadas a vectores específicos de ataque ya no resultan económicamente viables, puesto que el esfuerzo necesario para su integración y mantenimiento supera con creces los beneficios obtenidos.

Perspectiva: Hacia dónde se dirigen las inversiones en 2025

Los analistas del mercado prevén que, para 2025, las inversiones en ciberseguridad se concentrarán en tres áreas clave. En primer lugar: la gestión de identidades y accesos, con énfasis en la autenticación sin contraseña y en la autenticación multifactor resistente al phishing basada en FIDO2. En segundo lugar: la detección y respuesta extendidas (XDR), como categoría central de plataformas, que sustituirá o complementará las arquitecturas SIEM tradicionales. En tercer lugar: la criptografía poscuántica, que será obligatoria a partir de 2027 para determinados sectores de infraestructuras críticas (KRITIS) y cuya migración requerirá varios años de preparación.

Para el sector medio de Alemania, esto implica una lógica clara de priorización. Quien invierta en seguridad informática en 2025 no debería distribuir su presupuesto entre herramientas individuales, sino destinarlo a una estrategia de plataforma consolidada que ya tenga en cuenta futuros requisitos, como la migración hacia la criptografía poscuántica. Los proveedores de servicios gestionados de seguridad con certificación C5 y alianzas estratégicas con plataformas XDR pueden marcar la diferencia entre una operación de seguridad reactiva y otra proactiva.

La categorización de infraestructuras críticas realizada por el BSI (Oficina Federal de Seguridad Informática) se ampliará significativamente en 2025 debido a la implementación de la Directiva NIS2. Sectores como el suministro de alimentos, la gestión de residuos y algunas áreas de la administración pública quedarán, por primera vez, sujetos al catálogo endurecido de obligaciones. Esto aumentará considerablemente el número de empresas que deberán cumplir auditorías, obligaciones de notificación y estándares mínimos. En consecuencia, las ofertas de servicios gestionados con una base documentada de cumplimiento pasarán de ser un servicio premium a convertirse en un requisito básico para aquellas compañías que no puedan o no deseen establecer su propio centro de operaciones de seguridad.

Un factor a menudo subestimado es la velocidad con la que hoy se explotan las amenazas. Las vulnerabilidades de día cero se integran en herramientas de ataque automatizadas pocas horas después de hacerse públicas. El margen de tiempo para aplicar parches se reduce proporcionalmente. Por ello, los sistemas automatizados de gestión de parches y los escaneos continuos de vulnerabilidades ya no son una opción en 2025, sino una obligación. Quien siga respondiendo manualmente a las alertas de vulnerabilidades comunes (CVE) será sistemáticamente demasiado lento.

La combinación de ataques impulsados por inteligencia artificial, campañas APT de motivación política y el creciente marco regulatorio convierte 2025 en una prueba de estrés para las estrategias de seguridad informática del sector medio alemán. Los proveedores que puedan ofrecer una cadena integral de cumplimiento, desde centros de datos certificados hasta comunicaciones cifradas y monitoreo de amenazas basado en IA, tendrán preferencia. El enfoque se desplaza de soluciones puntuales aisladas hacia plataformas integradas que agrupen la visibilidad, la capacidad de respuesta y la trazabilidad en una única interfaz de gestión común. Para los responsables de TI, esto significa evaluar a los proveedores no solo por listas de características individuales o por comparaciones aisladas de productos, sino por la amplitud de su base de certificaciones y por la profundidad de sus alianzas estratégicas. El nivel de madurez de toda la organización de seguridad será más importante que cualquier componente individual, ya que las cadenas de ataque modernas y automatizadas exploran y ponen a prueba sistemáticamente todos los niveles de la infraestructura informática en un corto período de tiempo.

Preguntas frecuentes

Fuente de la imagen de portada: Pixabay / TheDigitalArtist