A principios de marzo, la SEC propuso una serie de modificaciones normativas que obligarían a las empresas que cotizan en bolsa a facilitar información más detallada sobre incidentes de ciberseguridad, gestión de riesgos y estrategia. La propuesta ha llevado a las empresas y a los consejos de administración a plantearse cómo prepararse para este nuevo escrutinio.
Algunos expertos en seguridad afirman que este tipo de descuido —en una nueva era caracterizada por amenazas cibernéticas cada vez más frecuentes y graves— debería formar parte de un conjunto de buenas prácticas para los ejecutivos
y los responsables de las empresas.
Pocos líderes en ciberseguridad comprenden los retos del sector público y del privado como Judith Germano. Germano, exfiscal federal, miembro distinguido del Centro de Ciberseguridad de la Universidad de Nueva York (NYU) y profesora adjunta de la Facultad de Derecho de dicha universidad, moderará el martes, July 12, una mesa redonda formada íntegramente por mujeres expertas en la materia, en el marco de la iniciativa « » de la NYU sobre mujeres líderes en ciberseguridad.
La mesa redonda se centrará en reforzar la responsabilidad de los consejos de administración y los directivos en cuestiones relacionadas con el riesgo cibernético. Contará con la participación de destacadas líderes en ciberseguridad, tanto del sector público como del privado. Entre ellas se encuentran: Carolyn Welshhans, jefa en funciones de la Unidad de Activos Criptográficos y Ciberseguridad de la SEC, y Jocelyn Hunter, vicepresidenta y consejera general adjunta de The Home Depot.
Germano, fundadora de un bufete de abogados especializado, propiedad de mujeres y dirigido por ellas, que asesora a empresas y consejos de administración sobre riesgos y estrategias de ciberseguridad, aplicación de la legislación federal y cumplimiento normativo, así como sobre investigaciones y litigios penales y civiles, habló con Endpoint sobre las lecciones clave que los líderes empresariales y tecnológicos deben aprender acerca del cambiante panorama normativo en materia de ciberseguridad.
¿Por qué es fundamental que los consejos de administración refuercen su supervisión y su implicación en materia de ciberseguridad?
La ciberseguridad es uno de los retos más importantes a los que se enfrentan las empresas en la actualidad, ya que afecta a la salud pública y la seguridad, la información confidencial, los controles financieros y las operaciones empresariales. La ciberseguridad debe ser una prioridad a nivel del consejo de administración y de la dirección, en beneficio de la empresa y de sus partes interesadas.
En los últimos años, hemos observado un aumento de la responsabilidad de los consejos de administración en los procesos civiles y en las medidas de ejecución normativa. Esto pone de relieve la necesidad de que los consejos de administración se aseguren de que las empresas que supervisan no solo cuenten con los protocolos y medidas de ciberseguridad adecuados , sino que también adopten medidas razonables para garantizar su cumplimiento.
¿Podría explicarnos el próximo refuerzo de la supervisión en materia de ciberseguridad por parte de la SEC? ¿Por qué está ocurriendo esto ahora? ¿Qué pueden y deben hacer los consejos de administración para prepararse?
En March 2022, la SEC propuso una normativa para reforzar los requisitos de divulgación de las empresas cotizadas en materia de ciberseguridad , gestión de riesgos, estrategia, gobernanza y notificación de incidentes.
«. Con demasiada frecuencia se juzga a las empresas y a sus dirigentes a posteriori, como si los acontecimientos se hubieran desarrollado a cámara lenta, y esa perspectiva no suele ser realista.»
Dichas normas se encuentran aún en fase de consulta pública y, tal y como se propone, exigen, por ejemplo: la presentación de un formulario 8-K en un plazo de cuatro días hábiles tras producirse un incidente de ciberseguridad de importancia; la divulgación periódica de información sobre las políticas y procedimientos destinados a identificar y gestionar los riesgos de ciberseguridad, el papel de la dirección en la aplicación de dichas políticas y procedimientos, los conocimientos especializados del consejo de administración en materia de ciberseguridad y su supervisión de los riesgos de ciberseguridad; y la actualización de la información sobre incidentes comunicados anteriormente.
Esto forma parte de la tendencia que hemos observado en los últimos años, en la que los organismos reguladores y las partes en litigios civiles reclaman una mayor rendición de cuentas por parte de los consejos de administración y la alta dirección en materia de ciberseguridad.
Para prepararse, los consejos de administración deben conocer a fondo los riesgos de ciberseguridad y las responsabilidades que incumben a su organización y a su sector, así como las mejores prácticas a nivel del consejo de administración. Esto incluye contar con miembros del consejo de administración y asesores externos con experiencia en ciberseguridad, recibir información periódica sobre los riesgos e incidentes de ciberseguridad, y disponer de protocolos de supervisión y escalado adecuados para comprender cómo gestiona la dirección los riesgos y la estrategia de ciberseguridad, que están en constante evolución.
Si bien los consejos de administración no deben intervenir en las actividades de gestión diaria de la empresa, sí deben asegurarse de que los equipos responsables de la ciberseguridad en la empresa cuenten con los conocimientos especializados adecuados o con la asistencia externa y las herramientas suficientes para gestionar adecuadamente la ciberseguridad. Los consejos de administración deben supervisar las medidas que adopta la empresa para prevenir, detectar y responder a los ataques, con el fin de asegurarse de manera razonable no solo de que existen planes y programas, sino también de que se cumplen. Esto forma parte de las obligaciones del consejo de administración en virtud de la «regla del criterio empresarial» de la Ley de Sociedades de California ( ).
¿Existen inconvenientes derivados del aumento de la rendición de cuentas y la supervisión por parte de los consejos de administración y los directivos en materia de ciberseguridad?
La ciberseguridad es compleja, y los retos son cambiantes. La gestión de incidentes de ciberseguridad conlleva numerosas incógnitas, variables y una respuesta a la crisis que evoluciona rápidamente. Es importante que los tribunales, los organismos reguladores y las partes en los litigios civiles comprendan dichos retos. Con demasiada frecuencia, se juzga a las empresas y a sus dirigentes a posteriori —como si los hechos se hubieran desarrollado a cámara lenta— y, a menudo, esa perspectiva no es realista. Unos niveles excesivos de rendición de cuentas y supervisión pueden poner en riesgo la eficacia de la respuesta ante incidentes.
«Las personas mejor preparadas para ayudar a las empresas a abordar estas cuestiones podrían mostrarse menos dispuestas a formar parte de los consejos de administración.»
Entre los riesgos se incluyen: retrasar la definición de lo que constituye un incidente relevante por temor a que se active la obligación de notificarlo; revelar vulnerabilidades en documentos públicos antes de que se haya notificado a las empresas y personas afectadas y se les haya dado la oportunidad de responder y subsanar dicha vulnerabilidad; revelar públicamente a los autores de las amenazas qué empresas son los objetivos más vulnerables; y socavar la confianza necesaria para establecer colaboraciones público-privadas eficaces en materia de ciberseguridad.
Asimismo, si las normas y los niveles de responsabilidad van más allá de las protecciones tradicionales y razonables que se conceden a los consejos de administración para el cumplimiento de sus obligaciones fiduciarias, ello obstaculizaría una buena ciberseguridad, al reducir la transparencia a nivel del consejo de administración y también porque las personas más capacitadas para ayudar a las empresas a abordar estas cuestiones podrían mostrarse menos dispuestas a formar parte de los consejos de administración.
¿Tiene algún ejemplo de consejos de administración que hayan acertado en este aspecto? ¿O se trata de errores o meteduras de pata?
Existen numerosos ejemplos de consejos de administración y equipos directivos que han gestionado adecuadamente la ciberseguridad; esos son precisamente los que no aparecen en la prensa ni en los registros públicos. También existen numerosos ejemplos de errores en el ámbito de la « » (), en los que los consejos de administración y los equipos ejecutivos no han dado prioridad a la ciberseguridad, ni han documentado las buenas prácticas, ni han seguido los procedimientos establecidos. Es fundamental contar con los conocimientos especializados adecuados, tanto internos como externos, antes de que se produzcan incidentes de ciberseguridad, a fin de identificarlos, responder a ellos y aprender de ellos. El buen criterio, una comunicación interna y externa sólida y las habilidades de liderazgo son esenciales para una respuesta eficaz ante incidentes de ciberseguridad.
¿Cuál es su objetivo con este evento? ¿Cuál es su tema principal y su mensaje? ¿Qué desea que aprendan los participantes? ¿Cuáles son las ideas clave?
Estamos reuniendo a un grupo interdisciplinar de expertos procedentes del ámbito gubernamental, empresarial y académico para analizar las cuestiones y los retos clave en materia de ciberseguridad a los que se enfrentan los consejos de administración, los directivos y sus asesores.
«. La diversidad de conocimientos y trayectorias en los consejos de administración, en los equipos directivos y, en general, en el ámbito de la ciberseguridad, es esencial para lograr los mejores resultados.»
Nuestro panel está compuesto por abogados con amplia experiencia, miembros de consejos de administración, un director de seguridad de la información (CISO) y un abogado especializado en la aplicación de la normativa de la SEC que dirige la unidad cibernética de dicha comisión. El panel reúne años de experiencia en ciberseguridad y estrategia empresarial en diversos sectores industriales.
Entre los puntos clave destacan la comprensión de las tendencias y los riesgos actuales que afectan a la responsabilidad del consejo de administración y del equipo directivo, así como las mejores prácticas para gestionar dichos riesgos. Analizaremos las recientes directrices sobre ciberseguridad propuestas por la SEC y sus implicaciones; las mejores prácticas en materia de ciberseguridad, incluso en el contexto de la «regla del criterio empresarial» y las recientes acciones reguladoras y civiles; los retos, incluidas las limitaciones de personal; y las estrategias para mejorar la preparación y la respuesta en materia de ciberseguridad.
Otra conclusión clave es la importancia de la diversidad de experiencias y perspectivas, así como la identificación y el fomento del talento en ciberseguridad procedente de fuentes diversas. Eso es algo en lo que nos centramos con el programa «Mujeres Líderes en Ciberseguridad» y en el Centro «
» para la Ciberseguridad de la NYU.
Hablemos un poco más sobre las mujeres en el ámbito de la ciberseguridad. Se trata de una mesa redonda integrada exclusivamente por mujeres. ¿Por qué es tan importante que haya una mayor presencia de mujeres en puestos de liderazgo en el ámbito de la ciberseguridad?
He tenido el honor de dirigir el programa «Mujeres Líderes en Ciberseguridad» de la NYU desde 2016, en el que se reúnen mujeres destacadas del ámbito gubernamental, empresarial y académico para mantener debates interdisciplinares sobre cuestiones fundamentales relacionadas con la ciberseguridad.
Nuestra página web, , womenleadersincybersecurity.org y, recoge nuestros eventos actuales y anteriores, así como a las numerosas y extraordinarias mujeres que han compartido sus conocimientos en el marco de estos programas a lo largo de los años y que, según
, están logrando avances tangibles para mejorar sus organizaciones
y el sector en su conjunto.
La diversidad de conocimientos especializados y de perfiles en los consejos de administración, en los equipos directivos y, en términos más generales, en el ámbito de la ciberseguridad, resulta esencial para lograr los mejores resultados, no solo en materia de ciberseguridad, sino también en lo que respecta a la ética, la estrategia, el liderazgo y la gestión eficaz de los riesgos de una organización. Una ciberseguridad eficaz es fundamental para las organizaciones y el Gobierno, y debemos formar, capacitar y promover equipos y líderes diversos para abordar este programa de la manera más eficaz posible.
El Panel
Julie Cullivan
Miembro del Consejo de Administración
Axon; Heartflow, Inc.; SADA; OPSWAT;
AaDya Security
Jocelyn Hunter
Vicepresidenta y consejera jurídica adjunta
The Home Depot
Consejo Asesor del Centro de Estudios Judiciales de la Facultad de Derecho de Duke
Bethany Mayer
Presidenta del Consejo de Administración; Presidenta del Comité de Retribuciones
Box, Inc.
Presidenta del Comité de Seguridad, Sostenibilidad y Tecnología,
Consejo de Administración
Sempra Energy
Nasrin Rezai
Vicepresidenta sénior y directora de seguridad de la información
Verizon
Carolyn Welshhans
Directora adjunta de la División de Ejecución
Jefa en funciones de la Unidad de Criptoactivos y Ciberseguridad
EE. UU. Comisión de Valores y Bolsa
Judith H. Germano (moderadora)
