La falta de rendición de cuentas
Tanium se ha asociado con NASDAQ para poner de manifiesto la brecha existente entre la percepción que tienen los directivos de las empresas sobre su propia vulnerabilidad en materia de ciberseguridad y su comprensión real de la misma. En « : The Accountability Gap: Cybersecurity & Building a Culture of Responsibility» (se abre en una nueva pestaña), investigadores de Goldsmiths, Universidad de Londres, identificaron siete retos inherentes que las empresas deben superar para gestionar las vulnerabilidades en materia de ciberseguridad: conocimientos sobre ciberseguridad, apetito de riesgo, inteligencia sobre amenazas, legislación y normativa, resiliencia de la red, respuesta y comportamiento.
Importancia de la gestión de riesgos empresariales (ERM)
La relación entre el riesgo y el consejo de administración es un baile cada vez más complicado. El vertiginoso ritmo de los cambios tecnológicos y económicos ha convertido la gestión de riesgos empresariales (ERM) en una responsabilidad más exigente y que requiere una mayor implicación por parte de los consejeros. Y aunque asumir riesgos conlleva numerosas ventajas estratégicas para el crecimiento de una organización, la ciberseguridad ha pasado a ocupar un lugar prioritario en la lista de la gestión de riesgos empresariales (ERM): se trata de una amenaza muy diferente que requiere una estrategia, un lenguaje y unas normas básicas distintos. Las vulnerabilidades en materia de ciberseguridad constituyen un riesgo que no se puede gestionar ni mitigar. Hay que eliminarlo. Una organización ya no puede dejar la responsabilidad en materia de ciberseguridad exclusivamente en manos de los responsables técnicos: todos, desde los altos cargos hasta el personal de base, deben rendir cuentas por las consecuencias de las vulnerabilidades en materia de ciberseguridad.
Aunque no cabe esperar que los miembros del consejo de administración sean expertos en tecnología, el consejo debe estar en condiciones de plantear las preguntas adecuadas sobre los parámetros de referencia y las mejores prácticas en materia de tecnologías de la información dentro del sector. Hemos constatado que el 91 % de los miembros de los consejos de administración de las empresas más vulnerables no son capaces de interpretar un informe sobre ciberseguridad y que solo el 50 % ha declarado haber recibido formación en materia de ciberseguridad.
Los consejos de administración deben comprender el panorama de amenazas cibernéticas de una organización, al igual que cualquier riesgo financiero. Pero si una organización no confía en sus datos y no cuenta con los controles operativos adecuados, y además los consejos de administración no tienen los conocimientos suficientes para evaluar y supervisar la ciberseguridad, ¿quién es, en realidad, el responsable? Los miembros del consejo de administración pueden hacer más para ayudarse a sí mismos, y los responsables técnicos pueden hacer más para colaborar con el consejo.
Qué pueden hacer los miembros del consejo de administración para ayudarse a sí mismos
Los directores de sistemas de información (CIO) y los directores de seguridad de la información (CISO) pueden empezar a mejorar estas cifras proporcionando al consejo de administración:
- Una visión general del panorama de amenazas
- Una identificación precisa de los activos de la empresa y de los niveles de riesgo asociados
- Una explicación clara de los costes incurridos en materia de seguridad en relación con la mitigación de riesgos para la empresa
Como director, mantengo contacto habitual con expertos en ciberseguridad y reviso casos prácticos para mantenerme al día. Gracias a mis años de experiencia en los sectores de la tecnología empresarial y de consumo, tengo la suerte de comprender los entornos informáticos, los distintos tipos de tecnología de seguridad y la terminología general que se utiliza para describir los problemas de ciberseguridad; los miembros del consejo de administración que no cuenten con esta formación deberían consultar con el director de sistemas de información (CIO) o el director de seguridad de la información (CISO) de su empresa. Como mínimo, los responsables de la información y la seguridad deberían organizar una sesión anual titulada «Ciber 101” » y compartir un glosario de términos explicados en un lenguaje sencillo.
Otras actividades recomendadas:
- Amplíe el Comité de Auditoría de su consejo de administración para que abarque tanto la auditoría como los riesgos, y añada al comité a un miembro especializado en riesgos cibernéticos que cuente con una amplia experiencia y conocimientos en materia de ciberseguridad, así como sobre su relación con la organización y el impacto que tiene en ella.
- Realice una evaluación del impacto en el negocio y asegúrese de que los responsables no técnicos comprendan el impacto de la ciberseguridad en la empresa
- Llevar a cabo evaluaciones anuales de la junta directiva para identificar de forma proactiva en qué aspectos deben centrarse los esfuerzos con el fin de mejorar continuamente las competencias cibernéticas
- Elabore un conjunto estándar de indicadores y un cuadro de mando integral que facilite la comparación mes a mes y año tras año
- Elaborar un plan de seguridad trienal que permita al consejo de administración comprender y realizar un seguimiento de los avances de las mejoras previstas para mitigar los riesgos identificados
- La entrada en vigor de la ley Sarbanes-Oxley hace diez años supuso un punto de inflexión en la supervisión y el control financieros de las empresas y cambió por completo la forma en que se gestionaba la supervisión fiduciaria. Aunque todavía no hemos alcanzado ese mismo punto de inflexión en lo que respecta a la ciberseguridad, la supervisión del entorno informático constituye un elemento clave para todos los planes de auditoría de las empresas que cotizan en bolsa. Me parece alentador observar el desarrollo actual de los marcos de gestión de riesgos cibernéticos y espero que, en última instancia, los consejos de administración de las empresas que cotizan en bolsa lleguen a comprender y supervisar dichos marcos, tal y como hacen hoy en día con la información financiera. Hasta entonces, corresponde a todos los miembros del consejo de administración asumir un papel activo en su propia alfabetización digital.
¿Le interesa ver cómo funciona Tanium? Concierte una demostración e individual o participe en nuestro seminario web semanal. Hable con nuestros expertos en Tanium en nuestros próximos eventos « » ().
