Desde que entraron en vigor el pasado mes de diciembre las nuevas normas de divulgación en materia de ciberseguridad de la SEC, recogidas en la norma « » ( ), Hewlett-Packard, Microsoft, UnitedHealth Group y otras importantes empresas que cotizan en bolsa han realizado divulgaciones para cumplir con lo establecido ; es decir, han determinado que determinados incidentes alcanzaban un nivel de importancia para un «inversor razonable», al tener un impacto significativo tanto cuantitativo como cualitativo.
Las nuevas normas de la SEC hacen hincapié en la importancia de detallar dichos impactos, exigen una rendición de cuentas clara y, a medida que se van recibiendo los informes sobre infracciones, sacan a la luz los procesos y prácticas de gestión de riesgos de ciberseguridad de las empresas para que todo el mundo pueda verlos.
Son un factor clave en la reciente oleada de mayor escrutinio y regulación , que obliga a las empresas a poner en orden su gobernanza cibernética.
En este contexto, interviene Jim Mirochnik, socio principal y director ejecutivo de la consultora de seguridad de la información Halock Security Labs, quien expondrá estrategias y orientaciones en su ponencia en la Conferencia RSA de la próxima semana, titulada «: Técnicas para hacer evolucionar la gobernanza del riesgo y cumplir con la norma de ciberseguridad de la SEC».
Analizará en qué consiste «una línea clara de riesgo aceptable», cómo definir el riesgo total conocido y cómo deben las organizaciones elaborar una hoja de ruta para reducir los riesgos de ciberseguridad a niveles aceptables. (The session takes place Tuesday, May 7, at 4:15 p.m. ET / 1:15 p.m. PT at RSAC 2024, which runs May 6-9 at the Moscone Center in San Francisco.)
, de Focal Point, habló con Mirochnik para conocer de antemano los contenidos de su sesión y informarse sobre las mejores prácticas en materia de gestión de riesgos de ciberseguridad y cumplimiento normativo.
(Esta entrevista ha sido editada para mayor claridad y extensión.)
El auge de la gobernanza ha obligado a un enorme cambio de paradigma en las prácticas de gestión de los riesgos cibernéticos. ¿Cuáles son los cambios más importantes entre la forma antigua y la nueva?
Hemos observado que PCI DSS [la Norma de Seguridad de Datos del Sector de las Tarjetas de Pago, que protege los datos de las tarjetas de crédito] exige un mayor control. Hemos visto « : NIST CSF 2.0» (), [el marco de ciberseguridad revisado del Instituto Nacional de Estándares y Tecnología], que se publicó en agosto del año pasado. Hemos observado que esta norma de ciberseguridad de la SEC exige ahora un mayor nivel de gobernanza. Así pues, la pregunta es: todos piden más gobernanza, pero ¿qué significa eso? ¿Qué es lo que realmente nos están pidiendo que hagamos?
«. La cuestión es que todos piden más gobernanza, pero ¿qué significa eso? ¿Qué es lo que realmente nos están pidiendo que hagamos?”
Tal y como lo expondré en mi sesión de la RSA, lo que hacíamos antes era, en realidad, la forma tradicional, lo que se conoce como «gobernanza 1.0». Ahora, pasamos a un nuevo requisito al que denominamos «Gobernanza 2.0». Si analizamos un paradigma sencillo que engloba a las personas, los procesos y la tecnología, en el marco de la norma 1.0, en lo que respecta a las personas, no existía la responsabilidad individual. Y se informó a la gente en términos técnicos. In governance 2.0, they're asking for clear accountability and ownership all the way to the board and to inform people in business terms.
Le ofrecemos cinco medidas que puede adoptar, y se trata de capacidades para garantizar la defendibilidad jurídica, establecer una línea clara de riesgo aceptable, comprender los riesgos conocidos, poder proporcionar una hoja de ruta que muestre cómo se va alcanzando un nivel aceptable y elaborar informes para la dirección. Si logra dominar estas cinco capacidades, su gobernanza pasará del nivel 1.0 al 2.0.
Ahora no solo ofrecemos información sobre en qué consisten esas cosas, sino también plantillas que las empresas pueden utilizar. Por supuesto, pueden ver una demostración de una aplicación que ya incluye todas estas funciones de serie, o bien pueden utilizar las plantillas de forma gratuita.
¿En qué consiste la norma de ciberseguridad de la SEC y cómo afectará a las organizaciones en lo que respecta al cumplimiento normativo? ¿Se aplica únicamente a las empresas que cotizan en bolsa?
El nombre oficial es «Estrategia de gestión de riesgos de ciberseguridad, gobernanza y divulgación de incidentes», y se aplica a los informes de divulgación de la SEC destinados a los inversores. Exige rendición de cuentas, transparencia y comunicación con la dirección y el consejo de administración de las empresas que cotizan en bolsa en lo que respecta a sus riesgos e incidentes de ciberseguridad.
Exigen que la organización exponga claramente su estrategia con el nivel de detalle suficiente para que «un inversor razonable pueda comprenderla». Exigen que la dirección esté informada de los riesgos y los incidentes. Su consejo de administración debe tomar decisiones sobre inversiones y ejercer una supervisió e de los riesgos e incidentes. Pues bien, adivine qué: para que puedan ejercer su función de supervisión, tienen que entender lo que usted les está explicando. No se puede gestionar algo que no se comprende. En nuestro sector existe un problema recurrente: el departamento de seguridad de la información tiene que acudir al consejo de administración para solicitar su aprobación y explicar lo que está sucediendo. Pero no hablan los mismos idiomas.
¿Qué consejos se pueden dar a las organizaciones para que cumplan con la norma de ciberseguridad de la SEC?
Ya se trate de los formularios 8-K, 10-K o 20-F, colabore con alguien que pueda ayudarle a redactar correctamente sus informes de divulgación, de modo que lo que declare se refleje con precisión en sus acciones. Porque cuando se hace público eso, es un reflejo de cómo gestiona usted la seguridad.
«Su consejo de administración debe… supervisar los riesgos y las incidencias. Pues bien, adivine qué: para que puedan ejercer su función de supervisión, tienen que entender lo que usted les está diciendo.”
The second step is to really embrace that the way you govern and manage security has to be done in a governance 2.0 sort of way, meaning security management isn't a project: If what you do once a year is come up with a list of projects, let everyone go, and don't look at it until next year, that's not risk management. Eso no es gobernanza de la seguridad. Lo que debería hacer es disponer de un registro de riesgos alojado en alguna aplicación basada en una base de datos y, a medida que vayan surgiendo nuevos datos —por ejemplo, los resultados de una prueba de penetración—, ir asignándoles un orden de prioridad. A medida que se producen los incidentes, se establece un orden de prioridad entre dichos riesgos. Es un proceso en constante evolución.
Gestionar la seguridad como un proceso es sinónimo de gobernanza. Por lo tanto, si el registro de riesgos se actualiza continuamente, los planes de corrección se actualizan, surgen nuevos riesgos que desplazan a otros y desvían su atención de aquellos que tienen mayor prioridad, y usted hace todo ello con el objetivo de reducir los riesgos a un nivel aceptable con el paso del tiempo, un regulador o un abogado litigante analizará esa situación y dirá: «¿Sabe qué?». Se ha producido una filtración de datos en . «No se habían establecido medidas de control». Ahora bien, no se espera que las cosas sean perfectas. No obstante, el proceso se está desarrollando tal y como debería. Están evaluando el daño causado a terceros.
¿Cómo deberían abordar las organizaciones el cumplimiento de las normas PCI DSS 4.0 y NIST 2.0?
Llevo probablemente más de una década ejerciendo como evaluador de seguridad certificado por PCI. Y la última versión de «PCI DSS 4.0 » sigue elevando el listón. [Se espera que respete unos plazos determinados para las tareas, pero] básicamente se le pide que establezca su propio ritmo [en función de sus necesidades y de su entorno]. Esto requiere un análisis de riesgos específico . En realidad, están diciendo lo mismo que el NIST. El NIST afirma que ahora contamos con una función de [gobernanza]. Además, en ese módulo se establecen una serie de requisitos que se refieren a cómo debe entenderse la misión de la organización.
Piénselo, pues. Se afirma que el departamento de seguridad de la información debe comprender la misión de la empresa, lo cual forma parte de la gobernanza. Le están pidiendo al responsable de seguridad de la información del NIST que comprenda la disposición al riesgo y la tolerancia al mismo, es decir: «¿Cuál es su umbral de riesgo aceptable, por encima del cual se toman medidas correctivas y por debajo del cual se acepta el riesgo?». Y solicitan un método estándar para calcular y priorizar los riesgos de ciberseguridad.
¿Qué tipo de plan de acción necesitan las organizaciones para reducir los riesgos de ciberseguridad y gestionar el cumplimiento normativo?
Probablemente se trate de uno de los fenómenos más fascinantes de nuestro sector. Ni siquiera podría contar con los dedos de las dos manos el número de clientes que me han dicho: «Ayúdenos a trazar una hoja de ruta». Dicen: «Cuando nos presentamos ante la junta directiva, no sabemos qué mostrarles porque volvemos a encontrarnos con el mismo problema de las estadísticas».
«. Trabaje con alguien que pueda ayudarle a redactar correctamente sus informes de divulgación, de modo que lo que dice se refleje con precisión en lo que hace.»
Los CISO desean expresarse en términos empresariales, para poder tomar decisiones. Pero cuando se le muestra a alguien una hoja de ruta de dos años, esta debe explicar hacia dónde se dirige y por qué se dirige allí. Hemos dedicado la última década a ayudar a nuestros clientes a elaborar planes de acción, y esto es lo que hemos constatado: que la forma de definir el plan de acción general no difiere mucho de la información que [nosotros] solicitamos cuando nos sometemos a nuestro reconocimiento médico anual. Queremos saber: ¿estoy bien? Y si no estoy bien, ¿cómo consigo estar bien? No nos interesa una larga lista con todos los porcentajes y estadísticas.
Lo que siempre animamos a las organizaciones a hacer es abordar esas cuestiones desde el primer momento. «OK» significa que tenemos un nivel de riesgo aceptable. Y ese umbral de riesgo aceptable se traduce en una puntuación cuantitativa que las organizaciones deben cumplir.
¿Cómo evolucionará en el futuro el cumplimiento normativo en materia de ciberseguridad informática?
En primer lugar, nuestro sector adolece de una falta crónica de recursos. Es muy poco habitual encontrarse con un director de seguridad de la información (CISO) que, junto con su equipo de profesionales de la seguridad de la información, afirme que no tienen mucho trabajo o que, en estos momentos, se encuentran un poco estancados. Siempre es al revés. Entonces, ¿a qué se debe esto? Porque resulta muy difícil justificar los recursos que se necesitan cuando se habla un idioma distinto al de las personas que proporcionan dichos recursos.
Otra cuestión que se está produciendo es que una gran parte de nuestro sector aún no ha adoptado una aplicación de gestión de riesgos y cumplimiento normativo (GRC). O bien están en hojas de cálculo, o bien ni siquiera disponen de un registro de riesgos. Todo el mundo sabe que una aplicación de GRC podría ayudarles a abordar la automatización de ese proceso de gestión de riesgos, pero son muy conscientes del elevado coste y del gran esfuerzo que supone implantar una.
Hemos desarrollado una aplicación llamada «Reasonable Risk», que le ofrece muchas más prestaciones que la mayoría de las soluciones de GRC con un esfuerzo mínimo. Creo que eso va a convertirse en una tendencia, una forma de dejar atrás las hojas de cálculo y pasar a gestionar el riesgo, ya que se va a necesitar automatizar este proceso mediante una aplicación basada en una base de datos, y no a través de hojas de cálculo ni archivos PDF.
Otra tendencia que observo es la proliferación del método de análisis de riesgos basado en el deber de diligencia [(DoCRA)] u otros métodos similares que permiten dirigirse al consejo de administración y al equipo directivo en términos que ellos puedan comprender. Una buena analogía es que todos solíamos tener un diccionario, un diccionario en papel. No resultaba muy eficaz para mantener una conversación, y entonces aparecieron el Traductor de Google y otros traductores en línea. Así pues, ahora podemos mantener una conversación casi en tiempo real con alguien en cualquier idioma con solo traducir rápidamente.
Por eso, una de las cosas que preveo para el futuro es que el departamento de ciberseguridad podrá mantener un diálogo con el consejo de administración, ya que ambos hablarán el mismo idioma, en lugar de referirse a amenazas, vulnerabilidades e impactos. Y, al hacerlo, podremos aprobar recursos, mejorar nuestra relación y tener voz y voto en las decisiones.
MÁS INFORMACIÓN SOBRE RSAC 2024
Si desea conocer otros momentos destacados, no se pierda estas otras entrevistas exclusivas con participantes que han intervenido en la RSA Conference 2024 y en eventos relacionados:
