«No hace falta ser una de las empresas más destacadas que han sufrido recientemente un ciberataque para darse cuenta de que la ciberseguridad es un peligro claro y presente».
Así comenzó Will Brandon, director de seguridad de la información del Banco de Inglaterra, su discurso « » () (se abre en una nueva pestaña) , pronunciado en la reciente conferencia «City Week» (se abre en una nueva pestaña). Brandon, la persona encargada de asesorar al sector financiero británico en materia de ciberdelincuencia, no podría tener más razón. A pesar de que las empresas son más conscientes que nunca de la grave amenaza que suponen los ciberataques, no están tomando las medidas suficientes para protegerse a sí mismas y a sus clientes.
La seguridad de la organización no puede ser responsabilidad exclusiva del departamento de TI
No hay excusas que justifiquen esta falta de liderazgo. La seguridad de los sistemas y los datos de una empresa no puede ser responsabilidad exclusiva de su personal técnico. Aunque las amenazas cibernéticas sean, como sugiere Brandon, «poco claras» y los «autores brillen por su ausencia», las obligaciones fiduciarias de los miembros del consejo de administración deben incluir estar al tanto de todas las amenazas posibles.
Sin embargo, muchos consejos de administración siguen teniendo dificultades para comprender el riesgo cibernético y, en última instancia, para determinar su nivel de tolerancia frente a dicho riesgo. Nuestro propio estudio « », realizado en colaboración con NASDAQ y Goldsmiths, de la Universidad de Londres, ha puesto de manifiesto que solo el 10 % de los consejeros no ejecutivos de empresas altamente vulnerables están de acuerdo en que se les informa periódicamente sobre los tipos de amenazas a la ciberseguridad que afectan a su empresa. En el Reino Unido, solo el 29 % de los altos directivos más vulnerables se ha sometido a evaluaciones de riesgos relacionadas con la ciberseguridad; a nivel mundial, esta cifra desciende al 13 %.
Este año hemos sido testigos de una serie de ataques informáticos de gran repercusión que han acaparado los titulares, y no son solo las empresas las que se ven afectadas. Las naciones también se ven afectadas; por ejemplo, la red eléctrica de Ucrania sufrió un ataque y Filipinas perdió gran parte de sus registros electorales a principios de año. Sin embargo, en el caso de las empresas, resulta fácil imaginar el alcance del perjuicio reputacional y financiero que se habría podido evitar si los responsables de la organización hubieran sido más conscientes de las amenazas o hubieran contado con datos claros y coherentes para evaluar su tolerancia frente a dichos riesgos. La caída de los beneficios antes de impuestos, el aumento vertiginoso de los gastos extraordinarios, la vergüenza pública y la gran cantidad de clientes insatisfechos: todo ello podría haberse evitado.
Equilibrar los riesgos cibernéticos con respecto a otros riesgos
«Entonces, ¿cómo se equilibra el riesgo cibernético con respecto a otros riesgos?» preguntó Brandon. «Supongo que lo primero es cuantificarlo, al menos en la medida de lo posible». Esto podría implicar la realización de valoraciones o pruebas, pero probablemente comience por determinar quién podría ocuparse de qué parte de su patrimonio. O, dicho de otro modo, desglosar el riesgo en amenazas, vulnerabilidades y activos».
Joan Conley, vicepresidenta sénior y secretaria corporativa de Nasdaq, , aconseja a las empresas que «a la hora de determinar la propensión al riesgo, el consejo de administración debe definir sus objetivos comerciales y comprender todos los riesgos —incluidos los jurídicos, operativos, competitivos y de reputación— que puedan afectar a dichos objetivos». Solo así podrá el consejo de administración definir los niveles de riesgo que se consideran adecuados. A continuación, deben seguir evaluando la probabilidad y el impacto de los riesgos clave en toda la empresa, y velar por que la dirección siga actuando dentro de la tolerancia al riesgo establecida».
Elaboración de un plan de respuesta ante incidentes
Independientemente de su nivel de tolerancia al riesgo, toda organización puede minimizar los riesgos siguiendo unas prácticas básicas de higiene de seguridad y contando con un plan de respuesta ante incidentes que haya sido puesto a prueba. Los consejos de administración también deben formular preguntas para asegurarse de que los responsables tienen en cuenta la ciberseguridad como parte de las operaciones generales de la empresa:
- ¿Cuál es el nivel de riesgo cibernético de la empresa y qué fuentes y tipos de datos sensibles se tienen en cuenta para realizar esta evaluación?
- ¿Ha elaborado la empresa una evaluación inicial del riesgo cibernético y existe un proceso continuo para hacer un seguimiento de las mejoras a lo largo del tiempo?
- ¿Existe algún plan de respuesta ante una violación de la seguridad informática o un plan de gestión de crisis?
- ¿Qué información se compartirá con el consejo de administración en relación con el riesgo cibernético? ¿Existe un proceso periódico para revisar la situación con el director de sistemas de información (CIO) en el ámbito de una comisión del consejo?
- ¿Deberíamos nombrar a un consejero principal dentro del Comité de Auditoría, ampliar formalmente los estatutos del Comité de Auditoría para incluir el riesgo cibernético, o se considera que nuestro riesgo cibernético es lo suficientemente elevado como para crear un Comité de Riesgo Cibernético independiente y permanente?
- ¿Cuál es el coste de la gestión de los riesgos cibernéticos en comparación con el coste de una filtración de datos? ¿Hemos analizado los casos de filtración en nuestro sector para comprender cuáles son los costes totales que conlleva una filtración?
- ¿Debería la empresa plantearse contratar una póliza de seguro de ciberseguridad u otras nuevas clases de tecnología de seguridad para mitigar los riesgos y los costes?
Una vez definido un conjunto común de indicadores, los responsables de TI y de seguridad pueden determinar conjuntamente la tolerancia al riesgo de la empresa, junto con otros miembros de la dirección y del comité de gobernanza.
La ciberdelincuencia constituye un riesgo grave y complejo. Si los responsables de una empresa se toman el tiempo necesario para tomar conciencia de los retos específicos a los que se enfrenta su organización, ese riesgo puede mitigarse. Como dijo Will Brandon: «La gente necesita que la guíen». Es necesario gestionar los procesos… La ciberseguridad es, en gran medida, una cuestión de liderazgo y gestión. «Un liderazgo que debe aplicarse desde los niveles más altos, y no solo desde el departamento de TI».
Richard Olver, vicepresidente para EMEA de Tanium.
¿Le interesa ver cómo funciona Tanium? Concierte una demostración e individual o participe en nuestro seminario web semanal. Hable con nuestros expertos en Tanium en nuestros próximos eventos « » ().
