Los equipos de seguridad y los consejos de administración están experimentando una falta de comunicación en materia de riesgos. Cuando los CISO y los equipos de seguridad comparten métricas y datos con el consejo de administración, utilizan el lenguaje propio de las tecnologías de la información: intentos de phishing bloqueados, sistemas actualizados con parches, porcentajes de dispositivos finales que ejecutan software antivirus. El consejo de administración está atento y presta especial atención al lenguaje empresarial: continuidad operativa, riesgo de interrupciones del servicio, repercusiones en los beneficios y la productividad, inversiones y costes irrecuperables, así como la probabilidad de sanciones regulatorias o mala prensa.
Cifras sobre seguridad: actualizaciones, parches y tiempo medio de reparación (MTTR). La junta directiva también habla de cifras: dólares, número de empleados, probabilidades de que se produzca un ataque. Ambas partes acaban hablando sin entenderse. Como consecuencia, se pierde de vista la imagen de los riesgos a los que se enfrenta la empresa. Sin una comprensión clara del riesgo, la empresa no puede actuar con rapidez y eficacia para reducir las amenazas cibernéticas, como las filtraciones de datos y los ataques de ransomware.
Esa es solo una de las conclusiones de una encuesta reciente realizada por Harvard Business Review Analytic Services (se abre en una nueva pestaña), patrocinada por Tanium. El estudio, titulado «Las organizaciones tienen dificultades para medir y supervisar el riesgo cibernético», ofrece una visión clara de la situación actual de la información sobre riesgos en el mundo empresarial. Las conclusiones del informe ofrecen consejos útiles para cualquier equipo de seguridad o consejo de administración interesado en comprender mejor el riesgo y cómo gestionarlo.
La situación actual de la información sobre riesgos
La encuesta de Harvard Business Review Analytic Services planteó a 180 participantes, que ocupaban puestos de dirección intermedia, alta o ejecutiva en empresas de todo el mundo, una serie de preguntas sobre la elaboración de informes de seguridad y los riesgos. En general, los encuestados coincidieron en que los altos directivos de las empresas necesitan disponer de mejor información sobre los riesgos importantes a los que se enfrentan hoy en día las organizaciones.
- El 70 % se mostró de acuerdo, en cierta medida o totalmente, en que los altos directivos de su organización deberían prestar más atención a la ciberseguridad de la misma.
- El 68 % se mostró de acuerdo, en cierta medida o totalmente, en que los equipos de TI podrían hacer más para garantizar que los altos directivos estén mejor informados sobre el riesgo cibernético y la ciberseguridad de su organización.
Si surgen problemas con la presentación de informes sobre ciberseguridad, conviene preguntarse con qué frecuencia se llevan a cabo dichos informes. La encuesta reveló que:
- El 33 % de los equipos de seguridad informan a los altos directivos de la empresa sobre los riesgos cibernéticos de forma puntual.
- Informamos mensualmente a los directivos al 29 %.
- El 24 % informa trimestralmente a los directivos.
- Informamos anualmente al 7 % de los directivos.
- El 7 % de los ejecutivos rara vez o nunca lo hacen.
La presentación de informes de forma puntual, anual o —lo peor de todo— esporádica hace que los directivos de las empresas desconozcan los riesgos que podrían causar graves daños a la organización. No cabe esperar que los equipos directivos tomen las decisiones adecuadas en materia de riesgos si no se les informa de ellos a tiempo.
Otro factor que se tuvo en cuenta en la encuesta fue la forma en que se notificaban los riesgos. ¿Han presentado los equipos de seguridad una larga lista de indicadores que se han ido supervisando a lo largo del tiempo? ¿Se decantaron por las generalidades? ¿O quizá una combinación de indicadores y temas?
La encuesta reveló que:
- 52 % presentó la situación general de riesgo junto con algunos indicadores y valores de referencia.
- El 44 % reflejó la situación general y global de riesgo, con pocos o ningún punto de referencia.
- 13 % presentó un análisis exhaustivo que incluía numerosos indicadores y valores de referencia.
Las generalidades, por supuesto, pueden resultar demasiado generales como para resultar útiles. Las métricas pueden resultar útiles, pero solo si se plantean en términos que los altos directivos de la empresa puedan comprender.
La importancia de comprender el riesgo
La mayoría de los directivos no cuentan con una sólida formación en el ámbito tecnológico. Les cuesta comprender los indicadores de seguridad, en parte porque no queda claro cómo se articulan dichos indicadores con los objetivos principales del consejo de administración. Entre esos objetivos suelen figurar la continuidad de la actividad empresarial, los beneficios y el cumplimiento de la normativa.
Teniendo en cuenta esos objetivos, ¿cómo deberían reaccionar los directivos empresariales ante un informe sobre las tendencias en materia de ransomware, la reducción de los tiempos de respuesta del servicio de asistencia técnica y el número de ordenadores portátiles cuyos sistemas operativos aún deben actualizarse? Los directivos no lo saben.
Hay una traducción fundamental que es necesario realizar. Los equipos de seguridad deberían recopilar datos sobre el estado de su infraestructura informática. Sin embargo, deben traducir esos indicadores en términos que resulten significativos para los objetivos empresariales de la empresa.
Los responsables de seguridad deben identificar los indicadores que resulten pertinentes y relevantes para ambos equipos, de modo que todos puedan hablar el mismo idioma. Estas métricas proporcionan información que permite a los consejos de administración y a los equipos de seguridad actuar de forma conjunta, teniendo en cuenta a las personas, los procesos y la tecnología.
En definitiva, los directivos asisten a estas reuniones para tomar decisiones. Deben saber en qué invertir y qué políticas adoptar, corregir o abandonar. Tomarán esas decisiones basándose en los objetivos generales de la empresa, que incluyen la estabilidad financiera y el crecimiento.
Las investigaciones indican que los indicadores deberían estar relacionados con las finanzas de la empresa. Para establecer esa relación, los equipos de seguridad deben comprender cómo las personas, los procesos y la tecnología respaldan actualmente la actividad empresarial de la compañía.
Deben comprender los detalles concretos. Por ejemplo, si la nueva aplicación móvil de la empresa está impulsando el crecimiento, ¿de qué sistemas informáticos depende dicha aplicación? ¿Qué servidores y bases de datos están implicados? ¿Qué sistemas operativos y paquetes de software utilizan esos sistemas? ¿Se encuentra alguno de esos sistemas operativos en riesgo debido a una vulnerabilidad anunciada recientemente?
Una vez establecido este contexto, a los directivos les resulta más fácil comprender qué implica para su empresa un riesgo relacionado con los servidores sin parches. La elaboración de informes les ha permitido comprender cómo se relaciona un indicador de seguridad con un resultado financiero: en este ejemplo, la posible interrupción del servicio de una aplicación generadora de ingresos.
Según el informe de HBR: «Los CISO deben reducir el uso de indicadores técnicos y expresar el riesgo cibernético en términos económicos». Dichas métricas y términos deben ser coherentes de un trimestre a otro, de modo que todos —incluidos los equipos de seguridad y los responsables empresariales— puedan comprender cuál es la situación de la empresa en lo que respecta a la cuestión fundamental del riesgo cibernético.
Para obtener más información sobre el informe y sus conclusiones, visite e inscríbase en nuestro seminario web en April 27. (se abre en una nueva pestaña) En este seminario web en directo e interactivo, Alex Clemente, director general de Harvard Business Review Analytic Services, compartirá las conclusiones de esta encuesta sobre cómo las organizaciones miden y supervisan el riesgo cibernético.
A continuación, analizará la amenaza que supone el riesgo cibernético y las medidas que pueden adoptar las organizaciones para mitigarlo, junto con Chris Hallenbeck, director de seguridad de la información de Tanium. Clemente y Hallenbeck abordarán los siguientes temas:
- Cómo pueden las organizaciones facilitar mejor la comunicación sobre los riesgos cibernéticos
- La importancia de utilizar los indicadores adecuados de riesgo cibernético
- Por qué el uso excesivo de métricas (especialmente métricas técnicas) puede generar confusión
- Cómo lograr que los directivos se centren en la ciberseguridad
Si desea conocer la situación de su organización en materia de riesgos informáticos, solicite una evaluación de riesgos gratuita y obtenga una visión global de dicha situación, así como medidas proactivas para proteger a su organización.
