El ataque a la cadena de suministro de SolarWinds en 2020 fue más que grave. Esto supuso la filtración de datos confidenciales de 100 empresas de l , así como de organismos gubernamentales, y provocó que las acciones de la empresa de gestión de redes se desplomaran. Pero lo que afectó a la empresa más adelante resultó igualmente preocupante —y personal—.
Los inversores demandaron a antiguos y actuales miembros del consejo de administración en November 2021, alegando que no habían supervisado adecuadamente los riesgos de ciberseguridad que dieron lugar al ataque informático.
La demanda sirvió de llamada de atención para los miembros del consejo de administración que se limitan a quedarse de brazos cruzados y a delegar la supervisión de la ciberseguridad en los directivos de la empresa. Los nuevos requisitos legales y normativos, entre los que se incluyen las nuevas normas sobre gobernanza de los consejos de administración y presentación de informes —que actualmente se encuentran en fase de revisión por parte de la SEC—, están haciendo que ese enfoque de «no intervención» resulte tan obsoleto como confiar en los cortafuegos para la seguridad corporativa.
En la actualidad, la supervisión de la ciberseguridad por parte del consejo de administración es muy deficiente. De hecho, muchos consejos de administración no están preparados para hacer frente a un ciberataque, según una encuesta reciente de « » realizada por el consorcio Cybersecurity at MIT Sloan (CAMS) y publicada en «Harvard Business Review»: el 23 % de los encuestados afirma que no existen planes ni estrategias del consejo de administración en materia de ciberseguridad.
Y aunque el 88 % de los consejos de administración consideran que una brecha de seguridad supone un riesgo empresarial importante, solo el 12 % cuenta con un comité de ciberseguridad a nivel del consejo de administración , según
Gartner.
Entre los problemas se encuentra la falta de conocimientos técnicos entre los miembros del consejo de administración, algo que las normas propuestas por la SEC pretenden resolver. El desconocimiento de la tecnología de seguridad dificulta la comprensión de los informes dirigidos a los directivos, que suelen estar repletos de jerga y acrónimos.
Lo que es peor, los miembros del consejo de administración a menudo no saben qué preguntas formular para evaluar la seguridad de la red de una empresa y de sus activos frente a las amenazas cibernéticas.
He aquí una pregunta que sí se plantean, justo después de que se haya dado a conocer un fallo que acapara titulares, como el de « Log4j»: ¿Estamos protegidos contra esto? Aunque la respuesta sea afirmativa, la pregunta no da en el clavo: los delincuentes, que siempre están buscando nuevas vulnerabilidades y ideando métodos cada vez más eficaces, avanzan más rápido de lo que se tarda en decir «transferencia de bitcoins».
En materia de ciberseguridad, siempre se está jugando al «Whac-A-Mole». Así es como se lo explico a los miembros de la junta directiva con los que me reúno y que están deseosos de aprender cómo dar un paso al frente y ayudar. Tras haber dedicado mi carrera profesional a la ciberseguridad, luchando contra los malhechores —incluidos unos 21 años en Wells Fargo—, puedo afirmar que, cada vez que surge un problema, los profesionales de la seguridad de todos los sectores quieren invertir grandes sumas de dinero en una nueva herramienta. Pero ese martillo solo sirve para un topo similar que salga por un agujero del mismo tipo.
Entonces, ¿qué preguntas deberían plantear los miembros del consejo de administración de ? A continuación les presento seis que considero más útiles para los consejos de administración que deseen mejorar el gasto, la planificación y la gobernanza en materia de seguridad de su empresa.
1. ¿Qué activos estamos protegiendo?
La visibilidad de los activos es una cuestión básica, pero fundamental. Al fin y al cabo, no se puede proteger lo que no se ve.
«. En materia de ciberseguridad, siempre se está jugando al “Whac-A-Mole”. Así es como se lo explico a los miembros de la junta directiva con los que me reúno y que están deseosos de aprender cómo dar un paso al frente y ayudar.»
Sin embargo, , solo el 30 % de los profesionales de TI se muestran muy seguros de su capacidad para supervisar más del 85 % de los terminales de su organización en cualquier momento, según una encuesta realizada por la empresa de investigación IDG Connect.
¿Cuántos dispositivos están conectados a la red de la empresa y qué software se ejecuta en dichos dispositivos? ¿Cómo saben los responsables de seguridad lo que saben? Las cifras exactas no resultarán significativas para los miembros del consejo de administración, pero pueden indagar más a fondo para comprobar que los responsables de la empresa cuentan con sistemas fiables de detección de activos y de inventario .
2. ¿Cómo protegemos nuestras «joyas de la corona»?
Ejemplos de las «joyas de la corona» de una empresa: el código fuente de los productos clave; las claves de cifrado y las estrategias de seguridad; y las deliberaciones confidenciales de carácter financiero, jurídico y normativo. Los miembros del consejo de administración deben comprender plenamente los controles que la empresa tiene establecidos para garantizar la seguridad del acceso a estos y otros datos de carácter altamente sensible.
[Lea también: 5 pasos para proteger los datos más valiosos de su organización]
Por ejemplo, ¿qué nivel de seguridad ofrecen las plataformas en la nube de ? ¿Sabe la empresa qué empleados tienen acceso privilegiado a determinados datos?
¿Con qué frecuencia lleva a cabo una organización evaluaciones de amenazas y pruebas de penetración para detectar vulnerabilidades en los datos de mayor valor? ¿Ha aplicado alguna de las conclusiones extraídas de
dichas pruebas?
3. ¿Quién representa exactamente el mayor riesgo para nuestra seguridad?
Los miembros del consejo de administración deben identificar a los posibles atacantes de la empresa, más allá de los típicos «sospechosos habituales», como Rusia, China, Corea del Norte e Irán.
Una forma clave de lograrlo es mediante la consultoría adversarial, una línea de análisis que va más allá de la simple pregunta «¿quién podría atacarnos?» y se plantea: «¿Cómo nos ve un atacante y cómo podría llevar a cabo un ataque?».
Este enfoque contribuye en gran medida a determinar si la organización está debidamente protegida frente a las tácticas, técnicas y procedimientos más conocidos que utilizan los posibles delincuentes. Dicho esto, entre las amenazas pueden figurar los hacktivistas que buscan sembrar el caos, los competidores que pretenden sustraer propiedad intelectual y la amenaza que más está acaparando los titulares en estos momentos: las bandas de ransomware que persiguen lucrativos rescates.
Un debate abierto y sincero sobre los riesgos debe incluir también las amenazas internas. Según Verizon, el 20 % de las filtraciones de datos están relacionadas con la negligencia o la mala fe de los empleados.
Los directores deberían informarse sobre los protocolos existentes para formar a los empleados en las últimas tácticas de phishing , y otras vulnerabilidades, con el fin de garantizar que la empresa integre la estrategia de «» y «zero trust» en su estrategia de seguridad.
4. ¿Qué grado de confianza tenemos en nuestras estrategias de mitigación de riesgos?
Sí, la «confianza» es un indicador subjetivo, pero es importante que los miembros del consejo de administración pregunten a los directivos sobre los niveles de confianza, como forma de evaluar si el equipo de seguridad considera que cuenta con los recursos y el apoyo adecuados para hacer frente a los retos a los que se enfrenta la empresa. Si los directivos de las empresas indican que su nivel de confianza en una tecnología o un enfoque concretos se sitúa cerca del 100 % o por debajo del 20 %, deberían saltar las alarmas.
«Sí, la “confianza” es un indicador subjetivo, pero es importante que los miembros del consejo de administración pregunten a los ejecutivos sobre [ella].»
Independientemente de las cifras exactas, los mejores directivos de alto nivel presentarán datos en la sala de juntas para respaldar sus estimaciones, tales como: el número de vulnerabilidades críticas, el número medio de días que se tarda en corregirlas y el porcentaje de terceros evaluados en los últimos 12 meses, representados gráficamente a lo largo de varios trimestres.
Los mejores datos incluyen indicadores basados en el valor y alineados con los resultados empresariales, como una reducción del 70 % en los costes de recuperación tras un ataque de ransomware o una reducción del 50 % en las interrupciones no programadas relacionadas con vulnerabilidades sin parchear, según una reciente presentación en una conferencia a cargo de Paul Proctor, vicepresidente y analista distinguido de Gartner.
5. ¿Qué medidas proactivas se han adoptado para prepararse ante una filtración de datos?
Los miembros del consejo de administración suelen abordar la ciberseguridad con una mentalidad defensiva. Sin embargo, dado el aumento vertiginoso del número de ciberataques, los directivos de las empresas deberían anticiparse de forma proactiva a posibles situaciones concretas en las que se produzca una filtración de datos. Para ello, una empresa debe contar con un equipo de respuesta a incidentes de ciberseguridad (CSIRT) bien definido. Asimismo, debe contar con planes de respuesta ante incidentes documentados.
Entre las iniciativas estratégicas que pueden poner en marcha los responsables de seguridad corporativa se encuentran las simulaciones de ciberataques que ponen a prueba dichos planes. De este modo, se pondrán de manifiesto las debilidades y se detectarán de forma proactiva los puntos ciegos. En algunas empresas, como Mastercard, los miembros del consejo de administración participan en simulacros de ataques, lo que puede ayudarles a convertir sus conocimientos teóricos en experiencia práctica.
6. ¿Cuál es la función del consejo de administración en caso de que se produzca un incidente?
Aunque la mayoría de las empresas cuentan con planes de respuesta ante incidentes en caso de un ciberataque, los miembros del consejo de administración deberían plantear preguntas clave sobre su función, así como sobre quién, dentro de la organización, es el «responsable» de los planes críticos de respuesta y recuperación ante incidentes.
¿Es posible que la empresa pague un rescate? ¿Es legal hacerlo? (Debería existir una política de sustitución en caso de que no sea posible convocar al consejo con poca antelación.) ¿Quién se pone en contacto con las autoridades durante un ataque de ransomware?
[Lea también: ¿Cómo puede su empresa sobrevivir a un ataque de ransomware? Váyalo paso a paso.]
Otras preguntas son: ¿Cómo se comunicarán los miembros del consejo entre sí si las redes corporativas quedan paralizadas? ¿Quién se encargará de comunicarse con los empleados, los clientes y los proveedores en caso de que se produzca una filtración de datos a gran escala? ¿Existe alguna estrategia de relaciones públicas para comunicarse con la prensa?
No basta con asegurarse de que exista un plan: los miembros del consejo de administración deben examinar el plan a alto nivel y debatir cuál es su papel en él antes de que se produzca una infracción. En definitiva, deben mantenerse alerta y preparados. Solo así podrán evitar convertirse en el próximo objetivo de una demanda al estilo del caso SolarWinds.
