Hace poco más de 10 años, Target contrató a su primer director de seguridad de la información (CISO) de , , como parte de los esfuerzos del gigante minorista por recuperar su reputación, que se había visto gravemente dañada tras una filtración cibernética a gran escala. Unos piratas informáticos se habían hecho con las credenciales electrónicas de un proveedor de sistemas de refrigeración, se habían infiltrado en la red informática de Target y habían sustraído los datos de las tarjetas de crédito y débito de 40 millones de cuentas, así como la información personal de 70 millones de clientes.
Entre las devastadoras consecuencias, las ventas en tienda y por Internet cayeron a su nivel más bajo en tres años; el director ejecutivo y el director de sistemas de información dimitieron; el Senado sometió a un duro interrogatorio al director financiero en el marco de una investigación que tuvo gran repercusión mediática; y la empresa acordó pagar una indemnización sin precedentes de 18.5 millones de dólares para resolver las demandas presentadas por 47 estados y el Distrito de Columbia. Para recuperar la confianza de los consumidores, Target puso en marcha una serie de mejoras en materia de seguridad, entre las que se incluyen un mayor uso de la autenticación multifactorial, una formación mejorada de los empleados sobre la seguridad de las contraseñas y una gestión más eficaz del acceso.
La debacle causó un gran revuelo entre las empresas de todo el mundo. Si Target ha podido ser víctima de un ataque informático, entonces cualquiera podría serlo. La lección para los consejos de administración era clara: No esperen a que se produzca un ataque; comprueben ahora mismo si el sistema presenta puntos débiles.
De eso hace ya una década, y desde entonces hemos sido testigos de decenas de ciberataques de gran repercusión contra empresas minoristas , entre las que se incluyen Ticketmaster, AT&T, Verizon y Dell, solo en el último año. ¿Cuántos consejos de administración se han tomado realmente en serio esta lección y han invertido en mejoras en materia de ciberseguridad?
Al fin y al cabo, desde la filtración de datos de Target y todos los demás casos de gran envergadura, hemos podido comprobar lo devastadoras que pueden ser las consecuencias:
- En primer lugar, está la grave pérdida de confianza de los clientes que se recoge en . Según IDC, si se ve comprometida su información confidencial, el 80 % de los consumidores de los países desarrollados se pasarán a otros proveedores. De hecho, algunos estudios indican que casi el 60 % de las empresas quiebran tras sufrir una filtración de datos.
- Además, está la cobertura mediática negativa, sobre todo cuando hay figuras destacadas implicadas. Esto puede acelerar la pérdida de confianza y las percepciones negativas que suelen surgir tras una gran cobertura mediática, lo que empaña tanto la imagen de la empresa como la de las personas que la integran.
- A medida que la reputación de una empresa se desploma, también lo hace su valor de mercado. Las empresas que se ven afectadas por filtraciones de datos pueden ver cómo el precio de sus acciones registra un rendimiento inferior al del mercado durante varios años. Además, las pérdidas económicas derivadas de un ciberataque —incluidos los costes de recuperación de datos, los gastos legales y las indemnizaciones a los clientes afectados— pueden ser considerables. El coste medio por incidente fue de 4.88 millones de dólares en 2024, lo que supone un aumento del 10 % con respecto al año anterior y el mayor incremento registrado desde el inicio de la pandemia.
- Dependiendo de la gravedad de la infracción, la reputación de una empresa puede verse tan perjudicada que los inversores la eviten, y esta pueda perder oportunidades para establecer nuevas relaciones y participar en iniciativas de colaboración, lo que podría limitar su crecimiento.
- Por último, un ciberataque afectará negativamente a la moral de los empleados de y obstaculizará las iniciativas de contratación. Los trabajadores a quienes se les haya sustraído información pueden —como mínimo— tener la sensación de que la empresa ha sido negligente a la hora de protegerles. Además, las empresas cuya reputación se ha visto empañada pueden encontrarse con que los candidatos más cualificados y de primer nivel prefieran trabajar en otra parte.
«. Puedo asegurarles que resulta realmente duro leer cómo se critica duramente a la empresa en la que uno ha invertido su sangre, sudor y lágrimas.»Meredith Griffanti, directora sénior de FTI Consulting
Meredith Griffanti, que actualmente ocupa el cargo de directora general sénior en FTI Consulting, era directiva de Equifax cuando se produjo la filtración de datos en esa empresa en 2017, y recuerda lo desmoralizante que le resultó aquella experiencia.
«Le puedo asegurar», dijo ella, «que resulta realmente duro leer en la portada de la prensa cómo se critica sin piedad a la empresa en la que uno ha invertido sangre, sudor y lágrimas». «Es conmovedor».
Por qué la ciberseguridad constituye una ventaja competitiva
In the interest of transparency, the Securities and Exchange Commission (SEC) in 2023 added disclosure rules that mandate a more intense process for reporting cyberattacks. La nueva normativa establece que las empresas son responsables de facilitar a los inversores información actualizada, coherente y «útil para la toma de decisiones» sobre sus políticas en materia de riesgos cibernéticos; además, obliga a las empresas a dar a conocer la información relativa a incidentes cibernéticos «relevantes» en un plazo de tres días. Esto ejerce una presión adicional sobre los consejos de administración para que adopten un enfoque más proactivo, ya que la mejor forma de proteger la reputación de la marca es implantar y fomentar una cultura de ciberseguridad.
«Algunas empresas utilizan la seguridad como ventaja competitiva», afirma Robert Strickland, director ejecutivo y fundador de M37 Ventures y antiguo director de sistemas de información de T-Mobile. «Ser como Fort Knox se convierte en parte de su marca, una forma de atraer y fidelizar a los clientes».
Se aplica el viejo refrán de que «más vale prevenir que curar». De hecho, es posible que esa proporción de 16-to-1 subestime el valor de la proactividad en lo que respecta a la ciberseguridad. No existe una solución válida para todos los casos, pero nuestras fuentes expertas han mencionado (y nosotros hemos recopilado) varios pasos consensuados para elaborar una defensa.
A continuación se exponen siete formas en que los consejos de administración pueden protegerse contra el daño a su reputación:
1. Exija una estrategia de seguridad en varias capas
Piense en cómo se protegería un castillo medieval. «No se trataba de una única defensa», señala Strickland. «Estaban el foso, las púas, el aceite hirviendo y las catapultas».
«Algunas empresas utilizan la seguridad como ventaja competitiva. Ser «Fort Knox» se convierte en parte de su marca, una forma de atraer y fidelizar a los clientes.»Robert Strickland, director ejecutivo y fundador de M37 Ventures
«Asegúrese de que, al igual que ellos, cuente con una estrategia de seguridad por niveles», aconseja. Un nivel nunca es suficiente. Pruébelo constantemente para detectar vulnerabilidades. Forme a las personas para que no caigan en el phishing y no revelen sus contraseñas.
2. Haga buenas preguntas
Aunque pueda parecer obvio, una de las cosas más importantes que pueden hacer los consejos de administración es plantear preguntas realmente buenas y bien reflexionadas, afirma Arvind Swaminathan, socio del bufete internacional Orrick, donde fundó el grupo de práctica especializado en ciberseguridad, privacidad e innovación en materia de datos. Se refiere a la lista de preguntas elaborada por Orrick que todos los consejos de administración deberían plantear a sus empresas, y cita listas similares de la Asociación Nacional de Consejeros de Empresas (NACD) y otras asociaciones de gobierno corporativo .
[Lea también: 4 prioridades de liderazgo críticas para los CISO en la era de la IA]
3. Practique, por favor, practique esas estrategias
La atención prestada a la preparación está aumentando. «Estamos observando que los consejos de administración ejercen una gran presión sobre sus equipos directivos para que estén mejor preparados», afirma Griffanti. Esto implica revisar y reforzar los planes de respuesta ante incidentes , los planes de comunicación en situaciones de crisis y los planes de continuidad del negocio, y asegurarse de que todos ellos funcionen de forma coordinada.
4. Reúna al consejo de administración junto con el CISO
Un consejo de administración no puede obtener una visión suficiente de la situación de la ciberseguridad de una empresa basándose únicamente en las presentaciones trimestrales.
«» El hecho de que exista una relación visible entre el consejo de administración y el CISO deja muy claro a toda la empresa que la ciberseguridad merece su atención.»J.R. Williamson, vicepresidente sénior y director de seguridad de la información (CISO) de Leidos
«Los miembros del consejo de administración deberían organizar visitas al equipo de seguridad y recibir información de primera mano del personal que se encuentra en primera línea de la ciberseguridad», escribe J.R. Williamson, vicepresidente sénior y director de seguridad de la información (CISO) de Leidos, en el Manual para directores sobre la supervisión de los riesgos cibernéticos « » 2023, publicado por la Internet Security Alliance.
Señala que conocer mejor la misión y a los responsables del equipo dará sus frutos en caso de crisis. Además, transmite un mensaje contundente: «El hecho de que exista una relación visible entre el consejo de administración y el CISO deja muy claro a toda la empresa que la ciberseguridad merece su atención».
5. Incluya las redes sociales en su ámbito de competencia
Es aquí donde pueden producirse algunos de los daños más graves. «Si es usted una gran marca y su actividad se centra principalmente en los consumidores o cuenta con una amplia plantilla, debería estar realizando un seguimiento previo del panorama de las redes sociales de », afirma Griffanti.
Esto está cobrando cada vez m e importancia también para las empresas más pequeñas, aunque es posible que no dispongan del personal ni de los recursos necesarios para asumirlo. «Esté al tanto de todo, desde los foros de Reddit hasta los tuits y las publicaciones de YouTube», afirma Griffanti, «para que pueda detectar cualquier polémica antes de que se vuelva viral».
6. Empiece a jugar
Las simulaciones permiten a los miembros del consejo de administración hacerse una idea más clara de la situación. Griffanti señala que su empresa ha diseñado ejercicios para que los consejos de administración puedan ponerse en una «situación de fuego real» y comprender los matices y las decisiones críticas que hay que tomar en una fracción de segundo.
Tal y como ella misma dice: «¿Cuándo se desconecta toda la red?». ¿Qué es lo primero que vuelve a poner en funcionamiento? «¿Qué servicios y aplicaciones son fundamentales para el funcionamiento de la empresa?»
[Véase también: 5 objetivos clave para orientar los presupuestos de ciberseguridad en 2025]
7. Defina sus principios y guíese por ellos.
A pesar de las presiones derivadas de las expectativas del mercado y de los comportamientos del pasado, es importante recordar quiénes son ustedes como organización.
«Debe comprender cuáles son su misión, su visión y sus valores, y cómo los defenderá cuando se encuentre en una situación de crisis», afirma Swaminathan. «Porque así es como se protege la reputación de su marca». «Así es como se genera confianza». «No siempre es fácil definir qué es lo correcto», afirma. Pero es el camino hacia una buena reputación.
