Entre su polémica demanda contra SolarWinds —que se topó con una enérgica respuesta legal la semana pasada— y las nuevas normas que exigen una mayor transparencia en materia de ciberseguridad, la Comisión de Valores y Bolsa está poniendo en vilo a toda la comunidad de responsables de seguridad de la información (CISO).
Algunos CISO (directores de seguridad de la información) de empresas que cotizan en bolsa están tan consternados que incluso están pensando en abandonar la profesión. Quienes siguen aguantando están siguiendo los consejos de los expertos y tomando medidas para protegerse.
El mayor escrutinio por parte de la SEC comenzó el pasado mes de julio cuando, en lo que muchos consideraron una medida excesivamente severa , el organismo regulador aprobó nuevas normas que obligan a las empresas que cotizan en bolsa a detallar anualmente cómo gestionan el riesgo.
Con efecto a partir del mes pasado, la normativa exige a las empresas que:
- Se deberán comunicar los incidentes de ciberseguridad en un plazo de cuatro días desde el momento en que se tenga conocimiento de ellos, siempre que sean «relevantes», es decir, que puedan afectar al valor para los accionistas. La comunicación se realizaría mediante un formulario 8-K.
- En sus informes anuales 10-K, Divulge detalla sus procesos para la gestión de los riesgos significativos en materia de ciberseguridad.
- En estos documentos, detallen con qué frecuencia sus consejos de administración abordan o minimizan los riesgos, así como sus conocimientos y experiencia para hacerlo.
La promulgación de estas normas se produjo inmediatamente después de que, en octubre, la SEC presentara cargos contra SolarWinds y su director de seguridad de la información (CISO), Timothy Brown, por presuntamente engañar a los inversores sobre el estado de seguridad de la empresa y por no haber adoptado medidas de seguridad básicas que condujeron al catastrófico ciberataque «Sunburst» , que tuvo lugar entre 2018 y 2020.. Dicho ataque afectó a las cadenas de suministro de más de 30,000 organizaciones públicas y privadas.
SolarWinds, tras negar las acusaciones, presentó una moción para que se desestimara el caso January 26. La empresa sostiene que la SEC se ha extralimitado y califica los cargos de «absurdos» y «tan infundados como sin precedentes». A continuación, la moción calificaba la actuación de la SEC contra Brown de «injustificada» e «inexplicable», señalando que no existían pruebas que «sugirieran ni remotamente» que hubiera intentado engañar a los inversores. Los propios CISO han expresado opiniones muy diversas sobre la demanda y la responsabilidad de su compañero, el responsable de seguridad.
Estos cargos suponen la primera vez que la SEC ha actuado contra un responsable de seguridad de la información (CISO) concreto o le ha considerado personalmente responsable de acciones relacionadas con una filtración de datos de gran envergadura. (El responsable de seguridad de Uber, Joe Sullivan, fue condenado a tres años de libertad condicional tras ser declarado culpable de obstruir una investigación de la Comisión Federal de Comercio sobre una filtración que dejó al descubierto los datos de 57 millones de clientes y conductores en 2016).
Irónicamente, la SEC, mientras investigaba a SolarWinds por no haber tomado, supuestamente, las medidas suficientes para reforzar sus redes ( ), fue a su vez víctima de un ataque informático ( ) a principios de enero, después de que, según se informa, el personal de TI desactivara () las protecciones de autenticación multifactorial ( ).
«Evidentemente, no fue el momento más adecuado», afirma Shaun Marion, antiguo director de seguridad de la información de McDonald’s. «Esto solo demuestra que estas cosas le pueden pasar a cualquiera». «La gestión de un programa de seguridad a gran escala es compleja».
Los CISO se ven sometidos a una gran presión
Marion afirma que muchos de sus homólogos en el cargo de CISO «están de acuerdo, en realidad», con los esfuerzos de la SEC por mejorar la transparencia para los accionistas, pero discrepan rotundamente de sus tácticas, lo que les está llevando a replantearse o incluso a abandonar sus carreras en el ámbito de la ciberseguridad —especialmente en el caso de quienes trabajan en empresas que cotizan en bolsa—. Y esto ocurre en un momento en el que ya resulta muy difícil encontrar CISO cualificados.
«Saber que podría ser considerado personalmente responsable por una decisión que otra persona tomó sin contar conmigo… Vaya, ese no es el trabajo al que me dediqué.»Shaun Marion, antiguo director de seguridad de la información (CISO) de McDonald’s
El riesgo de que se le culpe personalmente por un incidente de seguridad es especialmente preocupante, afirma, ya que los CISO no son los únicos que participan en la ejecución o la comunicación de las medidas de seguridad. Según él, los empleados de todas las organizaciones toman con frecuencia decisiones que afectan al nivel de seguridad y de las que los CISO nunca se enteran ni tienen conocimiento.
Sin embargo, a diferencia de esos altos directivos, a muchos CISO no se les considera realmente directivos, señala. Así pues, aproximadamente uno de cada tres (34 %) CISO de EE. UU. no cuenta con cobertura de seguro de responsabilidad civil para directivos y administradores (D&O), según una encuesta sobre el perfil de los CISO ( ) realizada por Heidrick & Struggles:.
«Esto me ha llevado a replantearme mi trabajo», admite Marion. «Me dediqué a esta profesión porque siempre me ha gustado trastear». Me encantaba ver hasta dónde podía llegar en materia de seguridad. Siempre intentaba hacer lo correcto. «Pero saber que podría ser considerado responsable personalmente por una decisión que otra persona tomó sin contar conmigo… Vaya, ese no es el trabajo al que me dediqué».
No culpe a la SEC —por completo—
Entonces, ¿cómo deberían reaccionar los CISO que tengan la intención de seguir en la profesión tras la denuncia presentada ante la SEC? La clave está en comprender de qué se trata todo esto.
«. Los CISO ya no podrán ocultar por completo sus políticas y prácticas de ciberseguridad para mantener a los hackers en la incertidumbre.»
Según los expertos, en esencia, estos cargos deben considerarse desde una perspectiva más amplia que la de una simple entidad gubernamental que persigue a una empresa o a una persona. Más bien, sostienen, los CISO deberían considerar esto como la primera de lo que podrían ser muchas medidas similares por parte de los organismos reguladores, que exigen una mayor transparencia en materia de ciberseguridad. No debería importar si se trata de la SEC, la FCC, el DHS, la CFPB o cualquier otra agencia de tres o cuatro letras; de ahora en adelante, todas ellas se convertirán en nombres intercambiables en el marco de una campaña gubernamental en curso , según afirman.
«Me sorprendería que esto no volviera a ocurrir», afirma Frank Dickson, analista de ciberseguridad de IDC. «Si no ocurre en EE. UU., es casi seguro que volverá a suceder en Europa».
[Lea también: Cómo pueden los CISO combatir el agotamiento y prolongar sus carreras profesionales]
Según él, la conclusión principal debería ser que los CISO ya no podrán ocultar por completo sus políticas y prácticas de ciberseguridad para mantener a los piratas informáticos en la incertidumbre. Se seguirán exigiendo más obligaciones de divulgación, y los CISO tendrán que aceptarlo.
Procure mantener la coherencia en la comunicación
Del mismo modo, los expertos afirman que los CISO no podrán salirse con la suya presentando internamente una versión de los hechos sobre la situación de seguridad de su organización, mientras que externamente emiten declaraciones diferentes. Una de las principales acusaciones de la demanda presentada por la SEC es que SolarWinds y Brown tenían conocimiento de deficiencias concretas en las prácticas de ciberseguridad de SolarWinds y de los riesgos cada vez mayores a los que se enfrentaba la empresa, y así lo admitieron en comunicaciones internas. Sin embargo, según alega la agencia , la empresa presentó una «imagen falsa» mediante declaraciones erróneas, omisiones y artimañas que ocultaban sus «deficientes prácticas de ciberseguridad» y aumentaban el riesgo.
Este mayor énfasis en las comunicaciones internas y externas podría tener un «efecto disuasorio» en las comunicaciones del CISO, afirma Dickson.
«El papel del CISO ha cambiado radicalmente en los últimos cinco años», afirma. «Los CISO ya no son simples profesionales de la seguridad, sino que se les considera arquitectos de la seguridad corporativa que asesoran activamente tanto a los directivos como a los clientes». Si no son coherentes con los hechos en todo lo que dicen o escriben, podrían encontrarse con personas u organismos que aleguen que están induciendo a error, lo cual es lo último que desean la mayoría de los CISO».
[Lea también: Cómo los CISO pueden hablar de riesgo cibernético para que los CEO realmente escuchen]
Dickson recomienda a los CISO que sigan comunicándose, pero señala que deben esforzarse aún más por ser reflexivos y meditados cada vez que hablen de sus prioridades y medidas en materia de ciberseguridad. Para evitar posibles problemas legales, Dickson añade que los CISO también deberían consultar con sus abogados internos las comunicaciones pertinentes, tanto internas como externas.
Tome notas sin parar
Al mismo tiempo, aunque la mayoría de los abogados de empresa aconsejarían lo contrario, los expertos en seguridad recomiendan a los CISO que mantengan un registro detallado de todas las conversaciones importantes con los altos directivos, especialmente aquellas en las que hayan advertido de problemas de ciberseguridad o hayan recomendado medidas para abordarlos.
«. Anote más cosas y asegúrese de tenerlo todo documentado en un libro de contabilidad.»Andrew Jaquith, antiguo director de seguridad de la información (CISO) de Covington & Burling
«Anote más cosas y asegúrese de tenerlo todo documentado en un libro de contabilidad», aconseja Andrew Jaquith, antiguo director de seguridad de la información (CISO) del bufete de abogados Covington & Burling. «Si alguna vez se vuelve a abordar un incidente de ciberseguridad, es importante que pueda demostrar que hizo todo lo posible por resolver el problema subyacente y que mantuvo un diálogo al respecto con la alta dirección». «Guarde todos los documentos».
Marion está de acuerdo, pero aboga por medidas defensivas aún más estrictas.
«Por mi propio interés, me aseguro de disponer de un registro escrito de las decisiones que he tomado, de los motivos por los que las tomé, de cuándo me encontré con resistencia y de quién procedía dicha resistencia, ya que debo defender mis propios intereses», afirma. «Voy a pecar claramente por exceso a la hora de notificar incidentes de ciberseguridad, en colaboración con mi asesor jurídico, porque no quiero verme en la situación de no haber notificado algo que deberíamos haber notificado». Asimismo, en lo que respecta a los riesgos de la empresa, voy a adoptar un enfoque mucho más enérgico a la hora de comunicárselos a los altos directivos. ya no voy a ser la única persona que sea consciente del riesgo y que intente gestionarlo. «Voy a compartir ese riesgo con otras personas».
Solicite un seguro de responsabilidad civil para directivos y administradores
Los expertos en seguridad también afirman que ha llegado el momento de que los CISO alcen la voz y utilicen las medidas adoptadas por la SEC contra SolarWinds y Brown para justificar que sus empresas les concedan por fin un seguro de responsabilidad civil para directivos (D&O) y un seguro de errores y omisiones (E&O), aunque se considere que pocos de ellos son auténticos directivos. Como mínimo, debería abordarse en el marco de las negociaciones salariales antes de aceptar un puesto de CISO. Sin embargo, según los expertos, los CISO también pueden negociar este tipo de cuestiones una vez que han sido contratados.
Quizá eso no resulte fácil, ya que ese tipo de cobertura es cara. De hecho, Kirsten Bay, directora ejecutiva de Cysurance —empresa especializada en seguros cibernéticos para pequeñas y medianas empresas—, afirma que estas pólizas oscilan entre 35,000 y 60,000 dólares al año para las organizaciones más pequeñas, y que el importe es aún mayor para las medianas y grandes empresas. Por ese precio, la cobertura suele abarcar a un puñado de agentes. Sin embargo, según afirma, las empresas suelen encontrar la forma de incorporar a otros directivos, como los CISO, con un poco de negociación.
Bay considera que, dado que la creciente responsabilidad personal por incidentes de seguridad se está convirtiendo en un tema cada vez más importante, las aseguradoras podrían empezar a ofrecer paquetes que incluyan pólizas de ciberseguridad, de responsabilidad civil para directivos y administradores (D&O) y de responsabilidad profesional (E&O), y ampliarlos a los responsables de seguridad de la información (CISO), de forma muy similar a como las compañías tradicionales agrupan las pólizas de hogar, vida y automóvil.
«Tiene sentido vincularlas, ya que no todo el mundo sabe que las pólizas de seguro cibernético no incluyen la cobertura de responsabilidad civil de directivos y administradores (D&O) ni la de responsabilidad profesional (E&O) », afirma.
En definitiva, expertos como Marion afirman que esperan que la medida de la SEC resulte ser más bien un punto de partida para mejorar los procesos de presentación de informes en todo el sector que un mero ejercicio de culpabilización y sanción.
«Si pudiéramos reunirnos con un grupo reducido de responsables políticos pertinentes, la SEC y un consorcio de CISO, podríamos empezar a desarrollar un marco para informar sobre los riesgos y las expectativas que se plantean a los propios CISO», afirma. «Eso nos permitiría eliminar la ambigüedad y empezar a aportar claridad. «Sería una situación en la que todos saldrían ganando».
PARA SABER MÁS
No se pierda estas entrevistas exclusivas con directores de seguridad de la información (CISO) y otros responsables de seguridad en nuestra serie «Historias de éxito».
- Historia de éxito de un CISO: predecir (con precisión) el riesgo cibernético resulta más sencillo con la fórmula de este experto
- Historia de éxito del CISO: cómo el condado de Los Ángeles forma (y recicla) a sus empleados para combatir el phishing
- Historia de éxito de un CISO: ¿Cómo ganarse la confianza del consejo de administración? No hable (demasiado) de ciberseguridad
- Historia de éxito de un director de sistemas de información: una mirada a la otra cara del riesgo de terceros
- CISO Success Story – How Zoom Achieved Cybersecurity 2.0 With Cyber Risk Scoring
