Las empresas se enfrentan a una larga serie de amenazas existenciales: adquisiciones hostiles, la marcha de personal cualificado, el comportamiento impredecible de los clientes y las fluctuaciones del mercado; todos ellos son riesgos que los líderes conocen muy bien y para los que han elaborado planes y evaluaciones minuciosas a lo largo de décadas. Sin embargo, estos mismos líderes suelen estar alarmantemente mal preparados para hacer frente a la amenaza potencialmente más devastadora: una filtración masiva de datos que podría suponer la pérdida de todo… todo ello en cuestión de segundos.
Los problemas no comienzan con los «expertos en tecnología» de una empresa, sino más bien en la cúpula directiva, tal y como pudimos constatar cuando Nasdaq y Tanium se unieron para investigar cómo evalúan los líderes empresariales su propia vulnerabilidad en materia de ciberseguridad. En el nuevo estudio, titulado «La brecha de responsabilidad: ciberseguridad y creación de una cultura de responsabilidad», investigadores de Goldsmiths, de la Universidad de Londres, han constatado una preocupante brecha entre la preparación corporativa prevista y la real ante incidentes de seguridad de los datos, así como una falta generalizada de responsabilidad en los niveles más altos de las organizaciones. Esto significa que algunas de las redes más grandes del mundo, que albergan algunos de nuestros datos más valiosos, son más vulnerables de lo que creen sus responsables.
El estudio se realizó entre 1,530 consejeros no ejecutivos (NED), altos directivos, directores de sistemas de información (CIO) y directores de seguridad de la información (CISO) de Estados Unidos, Reino Unido, Alemania, Japón, Dinamarca, Noruega, Suecia y Finlandia. Descubrieron que, entre las empresas más vulnerables, el 98 % de los directivos no confían en que su organización pueda supervisar todos los dispositivos y usuarios en todo momento, lo que significa que la información circula por canales desconocidos.
Además, el 90 % de los encuestados podría clasificarse como de riesgo medio-alto de sufrir un incidente de ciberseguridad, y el 40 % de los encuestados admitió que no se sentía responsable de las repercusiones de un ciberataque. Hasta que tanto los miembros del consejo de administración como los altos directivos comprendan y comuniquen abiertamente la concienciación y la preparación en materia de ciberseguridad —y todos los empleados reciban formación sobre su responsabilidad personal—, reducir la brecha entre el grado de vulnerabilidad real y el que se cree tener seguirá siendo una meta inalcanzable.
La seguridad de la información se está convirtiendo rápidamente en la principal partida de gasto en tecnologías de la información para las empresas del Global 2000 . Según PwC, el gasto en seguridad de la información registró un incremento medio del 24 %, pasando de 2014 a 2015. Lamentablemente, el sector de la seguridad no ha logrado evolucionar al mismo ritmo que los piratas informáticos, y la mayoría de las empresas utilizan tecnología que no se ha actualizado en décadas para proteger sus datos más sensibles.
El mismo estudio reveló que los incidentes de filtración de datos superaron el gasto, con un aumento del 38 % a nivel mundial el año pasado. ¿Por qué? Porque hemos comprobado que la ciberseguridad no es simplemente un problema tecnológico. Aunque disponer de las herramientas adecuadas y aplicar prácticas de ciberseguridad es de vital importancia para garantizar un nivel de seguridad adecuado, esto solo constituye una parte de la ecuación. Si las personas encargadas de proteger los datos de una organización no se sienten responsables —o, sencillamente, no saben cómo actuar como tales—, la empresa sigue corriendo un gran riesgo.
Sin embargo, hay motivos para el optimismo. Las nuevas tecnologías no solo resuelven los problemas de latencia y escalabilidad de las herramientas de seguridad tradicionales, sino que este informe identifica varias medidas que todas las organizaciones pueden plantearse para entablar un diálogo constructivo —desde el consejo de administración hasta la alta dirección y el personal— con el fin de reducir la vulnerabilidad y, en última instancia, subsanar la falta de rendición de cuentas. A continuación le presentamos dos opciones que puede tener en cuenta:
Fomente una cultura de transparencia: forme y capacite a la junta directiva
La mayoría de los miembros de los consejos de administración no son expertos en tecnología, y son aún menos los que cuentan con formación en ciberseguridad. El 91 % de los miembros de los consejos de administración de las empresas encuestadas más vulnerables no son capaces de interpretar un informe de ciberseguridad. Sin embargo, los miembros del consejo de administración deben saber qué preguntas formular para evaluar la vulnerabilidad de una empresa, del mismo modo que formulan preguntas sobre cuestiones financieras. En muchos casos, sería conveniente impartir una formación más exhaustiva a determinados miembros del consejo de administración responsables de la ciberseguridad, para que se familiaricen con la terminología y comprendan el impacto de los datos que se les presentan. El consejo de administración de Nasdaq cuenta con varios miembros que poseen un profundo conocimiento de lo que significa la seguridad en el contexto de la gestión de una organización tecnológica y de cómo los incidentes de seguridad podrían afectar a los mercados financieros._._
Es importante fomentar un entorno de comunicación transparente en el que se pueda hablar abiertamente sobre la ciberseguridad. Colaborar con los gobiernos, las organizaciones no gubernamentales y otros profesionales del sector para comprender las últimas amenazas a la seguridad y las formas de trabajar conjuntamente para resolver los problemas urgentes. La investigación pone de manifiesto que debemos avanzar hacia una cultura de apertura: una cultura que apueste por la transparencia y la máxima visibilidad. Reconozca que los ataques informáticos son inevitables, pero las filtraciones de datos no lo son. Contar con planes de respuesta sólidos, impartir formación a los empleados adaptada a cada nivel de la empresa y fomentar el conocimiento y el intercambio de información son elementos fundamentales para reforzar la ciberseguridad. En concreto, las empresas deberían centrarse en mejorar los flujos de información dentro de toda la organización (incluido el consejo de administración) y en compartir información también con el exterior. Esto implica participar activamente en numerosos consorcios del sector, ya que todos ellos comparten un mismo objetivo.
Fomente una cultura de vigilancia: reconozca que la ciberseguridad constituye una amenaza fundamental para la empresa
Si la sensibilización generalizada sobre las consecuencias negativas de la ciberseguridad es el primer paso, entonces un análisis sincero de la tecnología que utiliza para garantizar la seguridad y gestionar su empresa es el segundo paso. Las estrategias de seguridad basadas en la prevención han fracasado de forma muy evidente. Las personas, los procesos y la tecnología son los pilares fundamentales de una cultura de vigilancia y, cuando se abordan de manera integral, constituyen la clave para ir un paso por delante de los atacantes. La realidad es que la mayoría de las herramientas de seguridad modernas no son más que versiones simplificadas de sí mismas de las últimas dos o tres décadas. No son capaces de responder a preguntas básicas como: «¿Cuántos dispositivos hay en mi red?» o «¿Qué aplicaciones son las que presentan más vulnerabilidades?». Aunque en esencia pueda parecer simplista, una organización no puede proteger lo que no puede ver.
Kris McConkey, responsable de inteligencia, detección y respuesta ante incidentes relacionados con amenazas cibernéticas y internas en PwC, nos comentó: «Una de las deficiencias del sector de la seguridad —o, mejor dicho, del sector en su conjunto— es que, en la práctica, estamos utilizando los mismos procesos empresariales que hemos venido empleando durante los últimos 20-30 años e intentando añadirles cada vez más capas de tecnología para tapar todos los agujeros».
Vivimos en una época apasionante, en la que utilizamos dispositivos conectados a Internet para relacionarnos directamente con las empresas, las administraciones públicas, entre nosotros y con el mundo que nos rodea. Como resultado, podemos resolver los problemas con mayor rapidez y disfrutar de una vida más larga y feliz. Los ciberataques suponen una amenaza existencial para este modo de vida y debemos asegurarnos de que contamos con el personal, los procesos y la tecnología adecuados para proteger nuestros datos más sensibles. Ha llegado el momento de que los líderes de todas las organizaciones asuman su responsabilidad personal y desempeñen un papel más activo.
Orion Hindawi, cofundador y director ejecutivo de Tanium
Lou Modano, vicepresidente sénior, director de seguridad de la información (CISO) y director global de servicios de infraestructura de Nasdaq
¿Le interesa ver cómo funciona Tanium? Concierte una demostración e individual o participe en nuestro seminario web semanal. Hable con nuestros expertos en Tanium en nuestros próximos eventos « » ().
