Un debate sobre las crecientes amenazas a la ciberseguridad
En el Reino Unido se está debatiendo sobre la responsabilidad de las empresas para con sus clientes ante el aumento de las amenazas a la ciberseguridad. La semana pasada, la organización de defensa de los consumidores « » (¿Which?) ha instado al nuevo grupo de trabajo contra el fraude del Gobierno a que garantice que las empresas protejan mejor a sus clientes frente a la ciberdelincuencia y a que les indemnicen por las infracciones. El propio informe del Gobierno, titulado « : Cyber Governance Health Check» (: Evaluación del estado de la gobernanza cibernética) , publicado el lunes, indicaba que, si bien las principales empresas comprenden la importancia de la ciberseguridad, no recaban la información adecuada para estar preparadas para actuar.
Dado que el estudio del Gobierno revela que dos tercios de las empresas del Reino Unido han sido objeto de ciberataques durante el último año, los responsables políticos se muestran decididos a encontrar formas de garantizar que las empresas adopten las medidas adecuadas. Sin embargo, limitarse a imponer una multa a las empresas que pierden datos de sus clientes no es la solución para garantizar una verdadera rendición de cuentas. Uno de los hallazgos más reveladores de nuestro reciente estudio, «: The Accountability Gap» (: La brecha de responsabilidad), es que dos de cada cinco encuestados que ocupan puestos de NED, de alta dirección y de CIO y CISO admitieron que no se sienten responsables de las repercusiones de un ciberataque.
Desajuste en la rendición de cuentas
Esto pone de manifiesto un importante desajuste en muchas empresas actuales. Las indemnizaciones son muy positivas para los clientes, pero no cambian el hecho de que, en general, los directivos de las empresas no han asumido su responsabilidad en materia de seguridad de los datos. Nuestro estudio «», realizado en colaboración con Nasdaq y Goldsmiths, de la Universidad de Londres, reveló que, concretamente en el Reino Unido, solo el 29 % de los altos directivos más vulnerables se había sometido a evaluaciones de riesgos relacionadas con la ciberseguridad. En general, solo el 10 % de los directivos de las empresas más vulnerables recibe información periódica sobre los tipos de amenazas que podrían afectar a su negocio, y el 98 % no confía en que su organización realice un seguimiento de todos los ordenadores y usuarios de su sistema en todo momento. Esta falta de responsabilidad se manifiesta en unos niveles de concienciación y preparación que no se corresponden con el creciente nivel de amenaza. Esto supone un problema importante para las empresas del Reino Unido, entre las que se incluyen muchas de las que forman parte del FTSE 100.
Hay indicios de que la ciberseguridad está empezando a gozar de reconocimiento en las juntas directivas, pero esto dista mucho de ser suficiente. Es necesario que exista una cultura de vigilancia en toda la organización, y es imprescindible mejorar los conocimientos sobre ciberseguridad en todos los niveles. Los directivos de las empresas deberían, por tanto, analizar con honestidad la tecnología que utilizan para garantizar la seguridad de su negocio. ¿Son capaces de responder a preguntas básicas como: «¿Cuántos dispositivos hay en mi red?» No se trata de una cuestión técnica; sencillamente, no se puede proteger algo de cuya existencia se desconoce.
A finales de este año, el Gobierno del Reino Unido publicará una estrategia nacional revisada en materia de ciberseguridad. En él se expondrá un nuevo enfoque para ayudar a las empresas, a los consumidores y a sus propios departamentos a hacer frente a los ciberataques. Posteriormente, en otoño, se inaugurará un nuevo Centro Nacional de Ciberseguridad (NCSC) para ayudar al sector privado a poner en práctica esta estrategia. Se trata de medidas muy positivas, pero deben centrarse en crear una auténtica cultura de responsabilidad en las empresas.
Creemos que las recomendaciones del Gobierno a las empresas deberían abarcar cuatro ámbitos importantes:
- Sensibilizar sobre la amenaza a la ciberseguridad: El Gobierno se encuentra en una posición privilegiada para evaluar y dar a conocer el riesgo creciente de violaciones de seguridad.
- Informar a las empresas sobre las mejores prácticas: En colaboración con el sector de la ciberseguridad, el Gobierno debería definir qué se entiende por «mejores prácticas» y, a continuación, recurrir al NCSC para ayudar a las empresas a introducir cambios en su enfoque.
- Fomente una mano de obra cualificada: garantice que existan cursos de seguridad informática asequibles para cubrir el creciente déficit de empleo en el ámbito cibernético.
A lo largo de este proceso, Tanium contribuirá a promover un enfoque más integral de la seguridad. La visibilidad de la red, la existencia de planes de respuesta sólidos, la formación de los empleados, el fomento de los conocimientos y el intercambio de información son elementos fundamentales para reforzar la seguridad informática de las empresas. El Gobierno confía en que comprende la magnitud de la amenaza, pero debe estar dispuesto a proponer soluciones que estén a la altura de la misma.
¿Le interesa ver cómo funciona Tanium? Concierte una demostración e individual o participe en nuestro seminario web semanal. Hable con nuestros expertos en Tanium en nuestros próximos eventos « » ().
