Kevin Kelly se hubiera deseado haber podido impedir que su cliente transfiriera 10 millones de dólares a un pirata informático.
Su cliente es una empresa de artículos deportivos valorada en mil millones de dólares. El pirata informático encontró el nombre del director general de la empresa en LinkedIn y creó una cuenta de correo electrónico falsa a nombre de este. A continuación, el estafador elaboró una factura falsa del proveedor del sudeste asiático de la empresa, que suministraba balones de baloncesto, palos de lacrosse y otros artículos (con membrete falsificado incluido), y la envió desde la cuenta falsa del director general al director financiero de la empresa, con la orden de transferir 10 millones de dólares al extranjero.
Lamentablemente, la estafa se detectó demasiado tarde. Y se trata de una práctica que se ha vuelto demasiado habitual y lucrativa en la red actual de cadenas de suministro globales. «Los consejos de administración y los directivos se están convirtiendo cada vez más en el blanco y en las víctimas de estas filtraciones», afirma Kelly, director ejecutivo de Halo Privacy, empresa que ofrece soluciones de protección de datos a consejos de administración, directivos, oficinas familiares y personas con un elevado patrimonio.
Nadie conoce el alcance total de las pérdidas económicas que acarrean este tipo de estafas con facturas falsificadas y otras similares. Esto se debe a que, a menudo, las empresas no desean revelar detalles que, en ocasiones, pueden resultar embarazosos.
Eso podría cambiar. Según las nuevas normas propuestas por la SEC en el marco de la Ley de Responsabilidad y Transparencia en el Sector Financiero de 2010 ( ), los altos directivos de las empresas que cotizan en bolsa —así como sus consejos de administración— estarían obligados a dar a conocer con celeridad los incidentes de ciberseguridad. Las normas propuestas por la SEC se producen en medio de una oleada de ciberataques que han paralizado a empresas que cotizan en bolsa, organizaciones privadas y gobiernos. «Desde la perspectiva de querer mejorar la ciberseguridad del país, se trata de una medida que se debería haber adoptado hace tiempo», afirma Megan Stifel, directora de estrategia del Instituto de Seguridad y Tecnología.
La Comisión de Valores y Bolsa de Estados Unidos ( , SEC) ha señalado que una de las razones fundamentales del cambio normativo es que los incidentes cibernéticos se están dando a conocer en los medios de comunicación en lugar de figurar en los informes presentados por las empresas. Además, la agencia constató que, cuando se facilitan los datos, los detalles de los informes suelen ser incoherentes o incompletos. ( El elemento más polémico de la propuesta de la SEC es el requisito de que los incidentes cibernéticos deban comunicarse en un plazo de cuatro días desde que se califiquen como un suceso «relevante».)
«La ciberseguridad debe gestionarse como un riesgo empresarial significativo, y no solo como una cuestión técnica», afirma Phil Reitinger, presidente y director ejecutivo de Global Cyber Alliance, antiguo director de seguridad de la información (CISO) de Sony y alto cargo en materia de ciberseguridad durante la administración Obama. «El desconocimiento de los aspectos financieros de una empresa no es excusa para una mala gestión por parte del consejo de administración, y la ciberseguridad debe ser tratada —y lo será— de la misma manera». «Si un consejo de administración carece actualmente de la capacidad necesaria para establecer políticas y ejercer funciones de supervisión, deberá reforzar su plantilla».
Reforzar la función de supervisión del consejo de administración
Como parte de la normativa propuesta, se exigiría a las empresas que dieran a conocer los conocimientos especializados en ciberseguridad del consejo de administración y sus responsabilidades de supervisión. El borrador de la normativa ya está obligando a las empresas a plantearse cuestiones difíciles sobre el papel de la ciberseguridad en el consejo de administración, entre ellas si debería reservarse un puesto para un experto en ciberseguridad, afirma Ann Cleaveland, directora ejecutiva del Centro « » para la Ciberseguridad a Largo Plazo de la Universidad de California en Berkeley (
).
«. Los consejos de administración y los directivos se están convirtiendo cada vez más en el blanco y en las víctimas de estas filtraciones.»Kevin Kelly, director ejecutivo de Halo Privacy
«A menudo, los consejos de administración no han abordado el tema de la ciberseguridad como una cuestión de competencia propia del consejo», afirma. Para prepararse ante la entrada en vigor de la normativa, aconseja a las empresas que empiecen a plantearse preguntas como: ¿Debería la ciberseguridad formar parte del comité de auditoría o debería contar con su propio comité? «Sea cual sea la conclusión a la que lleguen, casi da igual», afirma. «Pero las empresas y los consejos de administración deben haber abordado el tema».
Wilson Sonsini, el bufete de abogados de Silicon Valley que asesora a las empresas tecnológicas más importantes del mundo, argumentó en una carta dirigida a la SEC que las preocupaciones en materia de ciberseguridad no deberían primar sobre otras cuestiones clave relacionadas con el riesgo. A la empresa le preocupa que la normativa «pueda llevar a las empresas a dar prioridad a la experiencia en ciberseguridad en el consejo de administración
en detrimento de otras medidas de ciberseguridad y de otra experiencia deseable
».
No obstante, como mínimo, los miembros del consejo de administración deben adquirir un mayor dominio de la gestión de riesgos y la ciberdefensa, afirma Justin Greis, socio de McKinsey especializado en cuestiones digitales. «Los miembros del consejo de administración deberán comprender y ser capaces de describir —y probablemente defender— la situación de su empresa en materia de ciberseguridad», afirma. «Para ello, es probable que los consejos de administración tengan que implicarse en cuestiones de ciberseguridad más estrechamente que nunca».
De hecho, empresas de la lista «Fortune 100 », como Citigroup y GM, están realizando importantes inversiones en conocimientos especializados en ciberseguridad a la luz de la propuesta de la SEC, incluso a nivel del consejo de administración, según afirma Jonathan Day, director ejecutivo de Tapestry Networks, empresa que asesora a los consejos de administración de las empresas en materia de estrategia y gobernanza. «Están incorporando directores con una amplia experiencia en este ámbito», afirma
.
¿Qué grado de información estratégica conviene revelar?
Otro elemento de la normativa propuesta es una disposición que exige a los consejos de administración que den a conocer periódicamente las políticas y procedimientos de la empresa relacionados con la identificación de y la gestión de los riesgos de ciberseguridad, así como el papel de la dirección en su aplicación. Algunos expertos sostienen que esta disposición podría obligar a las empresas a revelar demasiada información.
«. Es probable que los consejos de administración tengan que implicarse en cuestiones de ciberseguridad más que nunca.»Justin Greis, partner, McKinsey & Company
«Exagerar los riesgos relacionados con la propiedad intelectual podría permitir a los competidores obtener una ventaja potencial», afirma Greis, de McKinsey. «Compartir demasiada información sobre la ciberdefensa podría brindar a los piratas informáticos la oportunidad de aprovechar los datos revelados para comprometer las redes de una empres
».
Según Day of Tapestry Networks, estas disposiciones también transfieren algunas de las funciones tradicionales del CISO a los miembros del consejo de administración. «Ya no se trata simplemente de decir: “Seguiremos su estrategia”, y que el CISO se encargue de cerrar las puertas con llave», afirma.
El riesgo de ciberseguridad es similar al riesgo financiero
Para Kelly, de Halo Privacy, los ajustes que las empresas y los consejos de administración tendrían que realizar para adaptarse a estas nuevas normas no distan mucho de los importantes cambios que fueron necesarios tras la Gran Recesión de 2008 , cuando él era director general de la consultora de selección de personal Heidrick & Struggles.
«. Empresas de la lista Fortune 100 , como Citigroup y GM, están realizando importantes inversiones en conocimientos especializados en ciberseguridad a la luz de la propuesta de la SEC, incluso a nivel del consejo de administración.»
En aquel momento, la SEC endureció los requisitos relativos a la divulgación de riesgos financieros y atribuyó la responsabilidad al comité de auditoría del consejo de administración. La SEC exigió la divulgación oportuna de la información, con una severa amenaza de sanciones para las empresas que incumplieran su obligación.
Dada la magnitud de la actual crisis de ciberseguridad, Kelly esperaba que la SEC exigiera la creación de un comité del consejo de administración dedicado a esta cuestión, con reuniones y conferencias telefónicas periódicas. Asimismo, se pregunta si la SEC debería imponer límites a la duración de los mandatos de los miembros del consejo de administración para garantizar que los conocimientos especializados en ciberseguridad se mantengan actualizados.
Greis, de McKinsey, afirma que algunas empresas ya están barajando la idea de crear un subcomité dedicado exclusivamente a la ciberseguridad. «Puede estar compuesto por consejeros independientes o por expertos, pero actúan en nombre del consejo de administración», afirma. En este caso, los responsables de seguridad de la información (CISO) informarían al comité o al consejo de administración en su conjunto.
Para mejorar la preparación, los expertos en ciberseguridad y en consejos de administración también recomiendan llevar a cabo una planificación detallada de escenarios y simulacros de mesa, así como reuniones del consejo de administración fuera de la sede con expertos en ciberseguridad, con el fin de experimentar de primera mano lo que podría suceder durante una brecha de ciberseguridad.
Aunque las empresas puedan mostrarse reacias ante el aumento de la supervisión por parte de la SEC, reconocen que las normas propuestas son consecuencia de una falta de planificación y de medidas concretas. «Sin un plan, las empresas están poniendo en peligro a muchísima gente», afirma Kelly.
Cleaveland, de la Universidad de California en Berkeley, afirma que muchas organizaciones ya están dando prioridad a la planificación y las estrategias de ciberseguridad. «La mayoría de los consejos de administración más sofisticados y maduros no se están preparando para esta normativa con una mentalidad centrada en el cumplimiento normativo», afirma. «Ya se encuentran en este camino».
