En su calidad de presidente del consejo de administración de Cinturion Group, Richard Marshall participa activamente en garantizar la seguridad de la red de fibra óptica que su empresa está construyendo desde la India, pasando por Oriente Medio, hasta Europa.
La construcción del monumental Sistema Trans-Europa-Asia (TEAS) resultará ya de por sí bastante difícil, dado que quedará enterrado bajo miles de millas terrestres y marítimas. Lo que complica aún más las cosas es el hecho de que muchos de los países por los que discurrirá el cable no se llevan precisamente bien entre sí, lo que plantea posibles problemas de ciberseguridad.
Según Marshall, cuando comenzó su carrera en los consejos de administración hace 15 años, él y sus compañeros consejeros probablemente habrían delegado la responsabilidad de garantizar la seguridad de esta infraestructura en los «propeller-heads» del ámbito de la seguridad informática. Sin embargo, hoy en día, dado que los costosos ataques de ransomware , y , así como las filtraciones de datos , están mermando cada vez más los resultados financieros, afirma que los miembros del consejo de administración y sus comités de auditoría reconocen que ya no pueden seguir ignorando dichas responsabilidades.
Los directores saben que deben estar más atentos e implicarse de forma más directa. De hecho, el 88 % de ellas consideran ahora la ciberseguridad como un riesgo empresarial, en lugar de un problema tecnológico, según la consultora Gartner.
«He sido testigo de ese cambio», afirma Marshall, quien además preside otros dos consejos de administración y ejerce como consultor en ciberseguridad. «Los tableros son cada vez más sofisticados». «Además, son más jóvenes, por lo que suelen tener mayores conocimientos técnicos y son más propensos a darse cuenta de que deben implicarse en la mitigación de riesgos».
Para echar más leña al fuego: la probabilidad de que se intensifique la presión reguladora por parte del Gobierno . El año pasado, por ejemplo, la Comisión de Valores y Bolsa (SEC) presentó nuevas normas que obligarían a las empresas que cotizan en bolsa a dar a conocer sus prácticas de gobernanza en materia de ciberseguridad, incluyendo la forma en que los consejos de administración supervisan el riesgo cibernético. El anuncio ha suscitado un considerable debate y controversia en . Y aunque las organizaciones no están obligadas a nombrar a miembros con conocimientos en materia de tecnología o ciberseguridad, las normas propuestas por la SEC les obligarían a revelar si lo han hecho.
Esto podría suponer un problema para muchas organizaciones, ya que los miembros del consejo de administración suelen proceder del ámbito empresarial y no del de las tecnologías de la información. De hecho, aunque el porcentaje de empresas cotizadas que cuentan con consejeros especializados en tecnología ha aumentado recientemente, sigue situándose en torno al 17 %, según Deloitte. Es más, un estudio reciente de DHR Global titulado « » ( ) reveló que solo el 1.4 % cuenta con un director de seguridad de la información (CISO), ya sea en activo o que haya ocupado el cargo anteriormente, en sus consejos de administración, y que el 65 % delega la responsabilidad de dirigir e informar sobre la ciberseguridad en los comités de auditoría.
Es cierto que cada vez resulta más difícil encontrar buenos CISO , pero eso no es suficiente, afirma la SEC.
«La ciberseguridad ya figura entre las principales prioridades de muchos consejos de administración, y los incidentes de ciberseguridad y otros riesgos se consideran una de las mayores amenazas para las empresas», explicó la Comisión al promover su modificación normativa. «Por consiguiente, los inversores pueden considerar importante que se revele si alguno de los miembros del consejo de administración cuenta con conocimientos especializados en ciberseguridad a la hora de valorar su inversión en la sociedad registrada, así como a la hora de votar en la elección de los consejeros de dicha sociedad».
Entonces, ¿cómo pueden los miembros del consejo de administración con dificultades en materia tecnológica ponerse al día en materia de ciberseguridad? Los expertos afirman que no es necesario contar con una certificación de la Asociación Internacional de Profesionales de la Seguridad de la Información ( , CISSP) ni ponerse en la piel del responsable de seguridad de la información (CISO) durante un día (aunque ninguno de estos enfoques vendría mal). Más bien, proponen una serie de medidas para hacer frente a la normativa que se avecina y garantizar una mejor supervisión.
1. Nombren al menos a un experto en ciberseguridad para formar parte del consejo de administración
La Dra. Keri Pearlson, directora ejecutiva de Ciberseguridad en el MIT Sloan (CAMS), lleva más de 30 años estudiando la relación entre la tecnología y los negocios y ha publicado numerosos artículos sobre ciberseguridad. Por lo tanto, era lógico que el TMF Health Quality Institute, que buscaba expertos en ciberseguridad para hacer frente a las crecientes amenazas en ese sector, le pidiera a Pearlson que se incorporara a su consejo de administración.
«[Los consejos de administración] son más jóvenes, por lo que suelen tener mayores conocimientos técnicos y son más propensos a darse cuenta de que deben implicarse en la mitigación de riesgos.»Richard Marshall, presidente del consejo de administración de Cinturion Group
Aunque otros miembros del consejo tienen interés, puntos de vista y cierta experiencia en ciberseguridad, la Sra. Pearlson afirma que su función consiste en aportar perspectivas más profundas y orientación sobre cuestiones clave.
«Creo que los consejos de administración están adquiriendo mayor madurez y que sus miembros comprenden esa responsabilidad», afirma. «Se encargan de gestionar los riesgos empresariales, y la ciberseguridad es un riesgo empresarial. «Pero no son lo mismo, por lo que parte de mi trabajo consiste en analizar las decisiones que toman en materia de ciberseguridad para asegurarme de que sean acertadas».
Algunas empresas están ampliando aún más su plantilla de expertos en ciberseguridad. Una encuesta reciente de Gartner, « » ( ), prevé que el 40 % de los consejos de administración contarán también con un comité específico de ciberseguridad para el año 2025, frente al 10 % actual.
«Muchos consejos de administración están creando comités específicos que permiten debatir cuestiones de ciberseguridad en un entorno confidencial, bajo la dirección de una persona que se considera debidamente cualificada», afirmó Sam Olyaei, director de investigación de Gartner, en un comunicado. «Es probable que este cambio en la gobernanza y la supervisión afecte a la relación entre el consejo de administración y el responsable de seguridad de la información».
2. Haga de la gobernanza de la ciberseguridad un punto clave del orden del día
Los estatutos sociales exigen que los consejos de administración se reúnan al menos una vez al año, aunque la frecuencia suele variar según el estado. En algunos casos, será dos o cuatro veces al año. Según los expertos, en una situación ideal, la frecuencia debería ser de cada seis a ocho semanas.
Esto se debe, en gran medida, a que las cuestiones empresariales y de riesgo pueden cambiar en un abrir y cerrar de ojos, y si un consejo de administración toma decisiones en enero, es posible que estas ya no sean pertinentes unas semanas o unos meses más tarde. Esto es especialmente cierto en el caso de la ciberseguridad, que debe ser un tema recurrente en todas las agendas, afirma Marshall.
«Cuando asesoro a los consejos de administración, les animo a que inviten a un CISO a que acuda y elabore un informe breve en cada ocasión», afirma. «Esto permite a los CISO establecer una buena relación con el consejo de administración». «Además, contribuye a formar a los miembros del consejo de administración, sobre todo si los CISO saben cómo dirigirse a ellos desde una perspectiva empresarial».
3. Mire más allá del riesgo y fíjese en la resiliencia
Pearlson afirma que los miembros del consejo de administración deben adoptar un enfoque diferente respecto a la ciberseguridad: en lugar de considerarla únicamente como una cuestión de mitigación de riesgos tecnológicos, también deberían dar prioridad a la resiliencia, lo que incluye cómo se recuperarían en caso de sufrir un ciberataque.
«¿No sería fantástico que su empresa sufriera un incidente cibernético sin que ello le supusiera ningún perjuicio económico? ¿No se pierden datos? ¿No hay interrupciones en el funcionamiento del sistema? ¿No se ve afectada su reputación? Esa es la visión de hacia dónde deberíamos dirigirnos en materia de ciberseguridad.»Dra. Keri Pearlson, directora ejecutiva de Ciberseguridad en el MIT Sloan (CAMS)
Para ello es necesario estar dispuesto a pasar de creer que los ataques se pueden prevenir en su mayoría a reconocer que se producirán, por lo que es preciso contar con un plan para minimizar los daños, afirma.
«Como miembro del consejo de administración, debe partir de la premisa de que es probable que cualquier empresa sufra alguna vez una filtración o un ataque de algún tipo», afirma Pearlson. «También le interesa saber que su empresa es capaz de absorber y recuperarse rápidamente sin tiempo de inactividad. A ver, ¿no sería fantástico que su empresa sufriera un incidente cibernético sin que ello le supusiera ningún perjuicio económico? ¿No se pierden datos? ¿No hay interrupciones en el funcionamiento del sistema? ¿No se ve afectada su reputación? «Esa es la visión de hacia dónde deberíamos dirigirnos en materia de ciberseguridad».
4. Fórmese: las competencias cibernéticas impulsan una gobernanza cibernética más inteligente
Los expertos afirman que, incluso contando con un responsable de ciberseguridad en el consejo de administración, la mayoría de los miembros desempeñarían mejor sus funciones si recibieran una pequeña formación en esta materia. Pearlson, por ejemplo, señala que su universidad, el Instituto Tecnológico de Massachusetts ( ), ofrece cursos diseñados específicamente para que los miembros de los consejos de administración se familiaricen con los fundamentos de la gobernanza en materia de ciberseguridad. Similar classes are offered by Harvard, Wharton, and Cyber Risk GmbH.
Además, Marshall recomienda plantearse la posibilidad de trabajar con proveedores de seguros cibernéticos que tengan un interés directo en garantizar que sus suscriptores estén lo más protegidos posible. Los consultores externos pueden ser otra opción eficaz, añade.
5. Reúnanse —ahora mismo—
Los miembros del consejo de administración y los CISO no siempre hablan el mismo idioma, pero, según afirma Pearlson, cada vez encuentran más puntos en común. Recomienda a los miembros del consejo de administración que intenten establecer mejores vínculos con los responsables de seguridad de la información (CISO) para estar más al tanto de las cuestiones fundamentales en materia de ciberseguridad.
«Aunque el hecho de que los CISO rindan cuentas ante el consejo de administración contribuye a reforzar su legitimidad, no establece vínculos sólidos entre los miembros del consejo y los responsables de seguridad», afirma.
Pearlson añade que su investigación reveló que algunos miembros del consejo de administración y directores de seguridad de la información (CISO) se reúnen de forma proactiva entre una reunión ejecutiva y otra para analizar las noticias más destacadas sobre ciberseguridad y los incidentes que podrían resultar perjudiciales. Dado que se conocen mejor entre sí, suelen estar mejor preparados para colaborar a la hora de hacer frente a los incidentes de ciberseguridad a medida que surgen.
«Un incidente cibernético no es el momento adecuado para tender puentes», afirma Pearlson. «Eso debería ocurrir mucho antes de que sea necesario mantener conversaciones difíciles».
