Hace poco más de 10 años, Target contrató a su primer director de seguridad de la información (Chief Information Security Officer, CISO) como parte de los esfuerzos del gigante minorista por restaurar su destrozada reputación después de una ciberfiltración masiva. Los hackers habían deslizado las credenciales electrónicas de un proveedor de refrigeración, infiltrado la red de computadoras de Target y robado detalles de crédito y débito de 40 millones de cuentas y la información personal de 70 millones de clientes.
Entre las devastadoras consecuencias, las ventas en la tienda y en línea disminuyeron a su punto más bajo en tres años, el director ejecutivo y el director de Informática renunciaron, el Senado asistió al director financiero en una investigación altamente publicitada y la empresa acordó pagar 18.5 millones de dólares récord para resolver las reclamaciones presentadas por 47 estados y el Distrito de Columbia. Para recuperar la confianza del consumidor, Target instituyó una gran cantidad de actualizaciones de seguridad, incluido el uso ampliado de la autenticación multifactor, la capacitación mejorada de los empleados sobre la seguridad de la contraseña y una mejor gestión de acceso.
La debacle envió ondas de impacto a través de empresas de todas partes. Si Target pudiera ser hackeado, entonces cualquiera podría hacerlo. La lección para los consejos corporativos era clara: No espere un ataque; verifique el sistema para detectar debilidad ahora.
Eso fue hace una década, y hemos visto decenas de ciberataques minoristas de alto perfil desde entonces, incluidos Ticketmaster, AT&T, Verizon y Dell solo el año pasado. Entonces, ¿cuántos tableros realmente han tomado la lección en serio e invertido en mejoras de ciberseguridad?
Después de todo, desde la filtración de Target y todos los demás destructores, hemos visto lo brutal que puede ser la consecuencia:
- Primero, está la pérdida crítica de la confianza del cliente. Con su información confidencial comprometida, el 80 por ciento de los consumidores en los países desarrollados defectarán a otros proveedores, según el IDC. De hecho, algunas investigaciones sugieren que casi el 60 por ciento de las empresas fallan después de una filtración.
- Luego, está la cobertura negativa de los medios, especialmente cuando hay grandes nombres involucrados. Esto puede acelerar la pérdida de confianza y las percepciones adversas que a menudo se acumulan como consecuencia de la exposición importante de los medios, lo que empaña tanto a la empresa como a las personas dentro de ella.
- A medida que la reputación de una empresa se desploma, también lo hace su valor de mercado. Las empresas víctimas de filtraciones de datos pueden ver que el precio de sus acciones tiene un rendimiento inferior al mercado durante varios años. Además, las pérdidas financieras por un ciberataque, incluidos los costos de recuperación de datos, los honorarios legales y la compensación de los clientes afectados, pueden ser significativas. Promediaron 4.88 millones de USD por filtración en 2024, un aumento del 10 % con respecto al año anterior y el mayor salto desde la pandemia.
- Según la gravedad de la filtración, la reputación de una empresa puede caer hasta el punto en que los inversionistas la evitan, y puede perder oportunidades para construir nuevas relaciones y participar en esfuerzos colaborativos, lo que potencialmente limita el crecimiento.
- Finalmente, un ciberataque perjudicará la moral de los empleados y dificultará los esfuerzos de reclutamiento. Los trabajadores cuya información fue robada pueden, al menos, sentir que la empresa no tenía flexibilidad para protegerlos. Y las empresas con reputaciones manchadas pueden descubrir que los candidatos a trabajos talentosos y de primer nivel preferirían trabajar en otro lugar.
“Puedo decirle que es muy difícil leer sobre la empresa a la que le pone la sangre, el sudor y las lágrimas para que se rastrilla sobre los carbónes”.Meredith Griffanti, gerente sénior de FTI Consulting
Meredith Griffanti, ahora directora ejecutiva sénior de FTI Consulting, fue directora de Equifax durante la filtración de seguridad de esa firma en 2017, y recuerda lo desmoralizante que se sintió la experiencia.
“Puedo decirle”, dijo, “es muy difícil leer sobre la empresa que pone su sangre, sudor y lágrimas para ser rastrillado sobre los carbónes en la primera página de la prensa. Es emocional”.
Por qué la ciberseguridad es una ventaja competitiva
En aras de la transparencia, la Comisión de Bolsa y Valores (Securities and Exchange Commission, SEC) en 2023 agregó reglas de divulgación que exigen un proceso más intenso para informar ciberataques. La nueva regla hace que las empresas sean responsables de proporcionar a los inversionistas información actualizada, consistente y “útil para la toma de decisiones” sobre sus políticas de riesgo cibernético; y obliga a las empresas a divulgar información sobre incidentes cibernéticos “importantes” en un plazo de tres días. Ejerce más presión sobre los tableros para que sean más proactivos, ya que la mejor manera de proteger la reputación de la marca es implementar y alimentar una cultura de ciberseguridad.
“Algunas empresas utilizan la seguridad como una ventaja competitiva”, dice Robert Strickland, director ejecutivo y fundador de M37 Ventures y ex director de Informática de T-Mobile. “Ser Fort Knox se convierte en parte de su marca, una forma de atraer y retener clientes”.
Se aplica el antiguo dicho sobre una onza de prevención. En realidad, esa relación 16-to-1 puede subestimar el valor de la proactividad cuando se trata de ciberseguridad. No existe una solución única para todos, pero nuestras fuentes expertas mencionaron (y reunimos) varios pasos acordados para construir una defensa.
Estas son siete maneras en las que los tableros pueden protegerse contra el daño a la reputación:
1. Exigir una postura de seguridad multicapa
Piense en proteger un castillo medieval. “No había solo una defensa”, señala Strickland. “Había el foso, los picos, el aceite caliente, las catapultas”.
“Algunas empresas utilizan la seguridad como una ventaja competitiva. Ser Fort Knox se convierte en parte de su marca, una forma de atraer y retener clientes”.Robert Strickland, director ejecutivo y fundador de M37 Ventures
Asegúrese de que usted, al igual que ellos, tenga una estrategia de seguridad en capas, aconseja. Un nivel nunca es suficiente. Pruébelo constantemente para encontrar vulnerabilidades. Capacite a las personas para que no sean suplantadas y no revelen contraseñas.
2. Hacer buenas preguntas
Puede parecer obvio, pero una cosa clave que los consejos pueden hacer es hacer preguntas muy buenas y reflexivas, dice Arvind Swaminathan, socio del bufete de abogados global Orrick, donde fundó el grupo de práctica de innovación de datos de privacidad cibernética. Señala la lista de preguntas de Orrick que todas las juntas directivas deben hacer a sus empresas y cita listas similares de la Asociación Nacional de Directores Corporativos (National Association of Corporate Directors, NACD) y otras asociaciones de gobernanza corporativa .
[Lea también: 4 prioridades de liderazgo críticas para los CISO en la era de la IA]
3. Taladrar, bebé, taladrar esos libros de estrategias
El enfoque en la preparación está aumentando. “Estamos viendo que los tableros presionan mucho a sus equipos de liderazgo para que estén más preparados”, dice Griffanti. Eso significa revisar y fortalecer los planes de respuesta a incidentes , los planes de comunicación de crisis y los planes de continuidad del negocio, y asegurarse de que todos trabajen juntos.
4. Reúna el tablero con el CISO
Una junta no puede obtener suficiente información sobre la postura de ciberseguridad de una empresa solo a través de presentaciones trimestrales.
“Tener una relación visible entre la junta directiva y el CISO deja muy claro a toda la empresa que la ciberseguridad es digna de su tiempo”.J.R. Williamson, vicepresidente sénior y director de seguridad de la información, Leidos
“Los miembros de la junta directiva deben coordinar la visita al equipo de seguridad y recibir orientaciones de primera mano del personal ubicado en las primeras líneas de ciberseguridad”, escribe J.R. Williamson, vicepresidente ejecutivo y director de seguridad de Leidos, en el Manual del director 2023 sobre supervisión de riesgos cibernéticos, publicado por la Alianza de Seguridad de Internet.
Una mayor familiaridad con la misión del equipo y los líderes pagarán dividendos en caso de una crisis, señala. También envía un poderoso mensaje: “Tener una relación visible entre la junta directiva y el CISO deja muy claro a toda la empresa que la ciberseguridad es digna de su tiempo”.
5. Agregue redes sociales a su ámbito
Aquí es donde pueden ocurrir algunos de los peores daños. “Si usted es una gran marca y tiene un enfoque de consumo pesado o una gran base de empleados, debe monitorear el panorama de las redes sociales con anticipación”, dice Griffanti.
También se está volviendo cada vez más importante para las empresas más pequeñas, aunque es posible que no tengan el staff o el ancho de banda para asumir esto. “Mantenga un registro de cualquier cosa, desde foros de Reddit hasta tuits en publicaciones de YouTube”, dice Griffanti, “para que pueda detectar la controversia antes de que se vuelva viral”.
6. Comience a jugar juegos
Las simulaciones lo hacen real para los miembros de la junta directiva. Griffanti señala que su firma ha diseñado ejercicios para que los tableros puedan ponerse en una “situación de fuego vivo” y entender los matices y las decisiones críticas que deben tomarse en una fracción de segundo.
Como ella dice: “¿Cuándo saca el enchufe de toda la red? ¿Qué vuelve a poner en línea primero? ¿Qué servicios y aplicaciones son críticos para la misión?”
[Leer también: 5 metas clave para guiar los presupuestos de ciberseguridad en 2025]
7. Defina sus principios y confíe en ellos.
A pesar de las presiones de las expectativas del mercado y los comportamientos anteriores, es importante recordar quién es usted como organización.
“Tiene que entender cuál es su misión, visión y valores, y cómo los defenderá cuando esté en un momento de crisis”, dice Swaminathan. “Porque así es como protege la reputación de su marca. Así es como genera confianza”. Lo correcto no siempre es fácil de definir, dice. Pero es el camino hacia una buena reputación.
