En la batalla cada vez más intensa contra las ciberamenazas, la mayoría de las empresas destinan más recursos de seguridad a la prevención y la detección: mantener a raya a los atacantes y, si (bueno, cuando) se produce una brecha de seguridad, responder a ella con mayor rapidez. Aunque ese enfoque tiene su mérito, hay otra estrategia que está ganando terreno.
Dado que los ataques de tipo « » se están convirtiendo en algo prácticamente inevitable, cada vez son más los consejos de administración y los directivos empresariales que desean que se preste mayor atención a la mitigación de las consecuencias, con el fin de restablecer el funcionamiento con el menor coste y el menor impacto posibles.
Los ciberataques sofisticados, desde el ransomware hasta las campañas de phishing , amenazan no solo los activos de información de las empresas, sino también, y lo que es más importante, su continuidad operativa y su reputación. Y dado que los líderes empresariales se ven sometidos a una presión cada vez mayor por parte de los organismos reguladores y los inversores para que implementen una gestión eficaz de los riesgos cibernéticos, muchos están empezando a abordarla desde la perspectiva de la resiliencia cibernética —asumiendo la realidad de que los ataques se producirán y contando con un plan de recuperación para cuando esto ocurra—.
El concepto de resiliencia, , que se remonta al menos al año 2000, , se ha convertido cada vez más en un tema de debate serio en las salas de juntas y entre los altos directivos en estos años pospandémicos de digitalización acelerada. Reconoce la cruda realidad de que ninguna defensa es impenetrable.
En lugar de limitarse a intentar detectar y responder a los incidentes con mayor rapidez, la resiliencia cibernética prepara a las organizaciones para resistir y recuperarse rápidamente. De este modo, se garantiza que, cuando se produzcan incidentes de seguridad, su impacto en las operaciones, la reputación y las finanzas se reduzca al mínimo, lo que permite a las empresas mantener su dinamismo con una interrupción mínima.
«El objetivo último de una organización ciberresiliente sería que una brecha de ciberseguridad no provocara ninguna interrupción: que no tuviera repercusiones en las operaciones, las finanzas, las tecnologías, la cadena de suministro ni la reputación», afirma Keri Pearlson, directora ejecutiva del consorcio de investigación Cybersecurity at MIT Sloan (CAMS). «Los miembros del consejo deberían preguntarse: “¿Qué haría falta para que esto fuera así?”»
Cómo lograr que el consejo de administración se sume a las fichas de evaluación de la resiliencia cibernética
Los organismos reguladores están exigiendo cada vez más la divulgación de información relacionada con la gestión de los riesgos cibernéticos y la presencia de expertos en ciberseguridad en los consejos de administración. Por lo tanto, los consejos de administración deben profundizar en su comprensión e ir más allá de la mera delegación en expertos en gestión de riesgos, y comprometerse activamente en la protección de sus empresas, afirma Pearlson. Esto conlleva un deber fiduciario para con los accionistas de mitigar los riesgos empresariales de manera eficaz, una responsabilidad cuya complejidad aumenta a medida que evoluciona el panorama de las amenazas cibernéticas.
«. El objetivo final de una organización ciberresiliente sería que una brecha de seguridad no provocara ninguna interrupción...» Los miembros del consejo deberían preguntarse: «¿Qué haría falta para que esto fuera así?»»Keri Pearlson, directora ejecutiva de Ciberseguridad en el MIT Sloan (CAMS)
Un curso diseñado por la Sra. Pearlson y sus colegas, titulado «Gobernanza de la ciberseguridad para el consejo de administración», tiene como objetivo dotar a los miembros del consejo de los conocimientos necesarios para desenvolverse en este complejo ámbito, haciendo hincapié en el papel fundamental que desempeña el consejo en la supervisión de la ciberseguridad y en la alineación estratégica de las medidas de ciberseguridad con los objetivos empresariales generales.
En términos más generales, la «ficha de evaluación de la ciberresiliencia» se ha consolidado en los últimos años como una herramienta fundamental en la transición hacia la resiliencia, ya que constituye un marco integral para evaluar, supervisar y mejorar la capacidad de una organización para hacer frente a los incidentes cibernéticos.
La visión multidimensional de los cuadros de mando de la resiliencia cibernética
A diferencia de los indicadores tradicionales, que pueden centrarse de forma limitada en el recuento de incidencias o en los tiempos de respuesta, un cuadro de mando adopta una visión integral. Evalúa diversos factores relacionados con la resiliencia cibernética, desde la solidez de las medidas de protección y la eficacia de los protocolos de respuesta hasta la preparación para la recuperación y la capacidad de adaptación e e ante las amenazas emergentes. Este enfoque ofrece una visión multidimensional de la ciberresiliencia de una organización, lo que permite introducir mejoras específicas y tomar decisiones estratégicas.
«La junta directiva no está en condiciones de adoptar las medidas adecuadas ni de tomar las decisiones correctas… sin una explicación detallada.»Pearlson, del MIT
La Sra. Pearlson y su equipo del MIT elaboraron una plantilla de cuadro de mando basada en su experiencia en las reuniones del consejo de administración.
«La idea del cuadro de mando surgió de mi observación, en los consejos de administración de los que formo parte, de que los miembros de los consejos de administración no saben realmente cómo hablar sobre ciberseguridad, en primer lugar», explicó Pearlson en una entrevista exclusiva con Focal Point. «En segundo lugar, los responsables de tecnología no saben cómo informar al consejo de administración sobre ciberseguridad. «Informan sobre aspectos técnicos y cuantitativos que son importantes para la gestión de la ciberseguridad, pero, en realidad, el consejo de administración no está en condiciones de adoptar las medidas adecuadas ni de tomar las decisiones correctas… sin que se le proporcionen explicaciones detalladas».
Entre los principales sectores empresariales que han adoptado los cuadros de mando en los últimos años se encuentran la banca y los servicios financieros, la sanidad, las tecnologías de la información y los servicios informáticos, la industria manufacturera y el comercio electrónico, y algunas empresas los han adoptado debido al aumento de la regulación o al incremento de los ataques a la cadena de suministro, afirma Malini Rao, directora de seguridad de la información (CISO) de DeepLearnCyber.ai, quien ha desarrollado un cuadro de mando para los CISO.
«Estas fichas de evaluación ofrecen una visión global de las posibles vulnerabilidades», declaró a la persona de contacto de « »,. «Pueden ayudar a cuantificar la probabilidad y el impacto potencial de las distintas amenazas, lo que permite a las organizaciones priorizar sus recursos y esfuerzos en consecuencia».
No es una solución «única para todos»
No existe un cuadro de mando «oficial» sobre la resiliencia cibernética ni una «forma correcta» definida de elaborarlo. Pearlson desarrolló el concepto como un marco o plantilla, pero su aplicación es, en cierta medida, subjetiva. Las organizaciones deben definir por sí mismas qué es lo que realmente importa y qué indicadores resulta útil seguir y supervisar.
«. Estas fichas de evaluación… pueden ayudar a cuantificar la probabilidad y el impacto potencial de diferentes amenazas, lo que permite a las organizaciones priorizar sus recursos y esfuerzos en consecuencia.»Malini Rao, directora de seguridad de la información (CISO) de DeepLearnCyber.ai
A continuación se presentan algunos ejemplos de cuadros de mando de resiliencia cibernética elaborados por diversas entidades:
- Lockheed Martin: Lockheed Martin presentó en 2018 su Marco de Niveles de Resiliencia Cibernética (CRL) « » y el correspondiente cuadro de mando « » , lo que ilustra un enfoque más formalizado para medir la resiliencia cibernética durante este periodo. El «Cuadro de indicadores de resiliencia cibernética» de la empresa incluye herramientas como un cuestionario y un panel de control para medir los niveles de madurez en seis categorías, entre las que se incluyen la higiene cibernética y la arquitectura.
- MIT: El «Balanced Scorecard for Cyber Resilience» (BSCR) de ofrece una visión detallada del rendimiento financiero y operativo al combinar información sobre actividades fundamentales que, de otro modo, podrían estar aisladas unas de otras.
- USDA: La « » (Tarjeta de puntuación de ciberseguridad del USDA) , elaborada en colaboración con la Agencia de Servicios Agrícolas (FSA), hace hincapié en un enfoque de cuadro de mando integral alineado con el marco del NIST, centrándose en áreas como el cumplimiento normativo, la gestión de vulnerabilidades y la respuesta ante incidentes. La adaptación al marco del NIST garantiza que el USDA adopte un enfoque integral y normalizado en materia de ciberseguridad, reconocido y utilizado en diversos sectores. Esta armonización mejora la capacidad de la organización para gestionar y mitigar los riesgos de manera eficaz, al tiempo que garantiza que se aborden de forma sistemática todos los aspectos de la ciberseguridad, desde la prevención hasta la respuesta.
- Malini Rao: El «Cuadro de mando integral equilibrado para el CISO» ( ) de Rao, , distingue entre los aspectos transformacionales y los operativos, y ofrece un enfoque dual para alinear la ciberseguridad con los objetivos estratégicos de la empresa. Defiende el uso de cuadros de mando para ayudar a los CISO a «ganarse la confianza mediante la comunicación proactiva de indicadores… que permitan identificar puntos débiles y priorizar las áreas que requieren mejoras».
[Lea también: ¿Qué es la ciberhigiene? ¿Por qué es importante?]
Aunque no existe un enfoque «único» para un cuadro de mando de resiliencia cibernética, hay ciertos elementos que suelen tener en común. Tanto si está considerando utilizar un cuadro de mando de ciberresiliencia ya existente como si está diseñando uno propio, tenga en cuenta este marco básico:
- Evaluación de riesgos: Evaluación de los posibles riesgos cibernéticos y su impacto en la organización.
- Controles de seguridad: Revisión de la eficacia de las medidas de seguridad implantadas.
- Respuesta ante incidentes: . Evaluación del grado de preparación y de las estrategias de respuesta ante posibles incidentes cibernéticos.
- Capacidades de recuperación: . Evaluación de la capacidad para recuperarse de un ciberataque con una interrupción mínima.
Elabore su propio cuadro de mando de resiliencia cibernética
Siga estos pasos clave para elaborar un cuadro de mando de resiliencia cibernética que resulte eficaz para su situación concreta:
- Evaluación y establecimiento de objetivos: Comience por evaluar su situación actual en materia de ciberseguridad y por definir qué significa la ciberresiliencia para su organización. Esto podría implicar establecer objetivos en cuanto a los tiempos de recuperación, reducir el impacto de las infracciones o mejorar las redundancias del sistema.
- Desarrollo del marco: . Elabore un cuadro de mando que se ajuste a sus objetivos de ciberresiliencia. Esto debería incluir una combinación de indicadores cuantitativos y cualitativos, tales como los objetivos de tiempo de recuperación, la formación de los empleados , la frecuencia de las copias de seguridad del sistema y la integración de la ciberseguridad en la planificación de la continuidad del negocio.
- Seguimiento y presentación de informes periódicos: Establezca una rutina para supervisar el rendimiento en relación con los indicadores del cuadro de mando integral. Este seguimiento debería formar parte integrante del proceso de gobernanza de la ciberseguridad, con la presentación periódica de informes a las partes interesadas clave, incluido el consejo de administración.
- Mejora continua: Utilice la información obtenida del cuadro de mando para impulsar la mejora continua en sus estrategias de ciberresiliencia de . Esto podría implicar ajustar las políticas de ciberseguridad, invertir en nuevas tecnologías o mejorar los programas de formación de los empleados.
- Participación y supervisión del consejo de administración: Asegúrese de que el consejo de administración participe activamente en la supervisión de la aplicación del cuadro de mando integral. Su visión estratégica y su supervisión serán fundamentales para armonizar las iniciativas de resiliencia cibernética con los objetivos empresariales generales.
Al dar prioridad a la resiliencia cibernética y adoptar herramientas como un cuadro de mando, las organizaciones no solo pueden mitigar los efectos de los incidentes cibernéticos, sino también reforzar su competitividad y sostenibilidad. Rao recomienda utilizar (IA) y (automatización) para mejorar la elaboración de informes sobre la resiliencia cibernética, como la generación de cuadros de mando semanales y mensuales. Y no olvide que su cadena de suministro , subraya ella: las empresas deben coordinarse con sus socios externos para que estos también comuniquen las métricas del cuadro de mando.
