Teniendo en cuenta los perjuicios económicos, jurídicos y de reputación que una empresa puede sufrir a raíz de un ataque informático o una filtración de datos, cada vez son más los consejos de administración que aportan conocimientos sobre ciberseguridad. Sin embargo, dependiendo del sector, muchos consejos de administración de las empresas no están tan bien informados sobre cuestiones de ciberseguridad como deberían. Otros, aunque ya están al corriente, siguen intentando definir sus funciones en materia de gestión de riesgos.
Una encuesta realizada el año pasado por el MIT Sloan, titulada « » ( ), reveló que solo el 68 % de los consejos de administración tratan habitualmente el tema de la ciberseguridad, mientras que el 9 % sigue sin abordarlo en absoluto. Es más, aunque la mitad afirmó que se había debatido el papel del consejo de administración en materia de ciberseguridad, no se llegó a ningún consenso sobre cuál debería ser dicho papel.
Entonces, ¿qué pueden hacer los CISO y los miembros de la alta dirección para poner fin a estos ciclos de debate y retrasos?
Este tema formará parte del debate en «, Do Better: Board-Level Accountability in Cybersecurity», una próxima mesa redonda que tendrá lugar en la RSA Conference 2023, moderada por Chris Hallenbeck, director de seguridad de la información (CISO) de Tanium, y en la que participarán Greg Silberman, consejero general adjunto de Zoom Video Communications; Brian Stafford, director ejecutivo de Diligent Corp.; y Maggie Wilderotter, directora ejecutiva de Grand Reserve Inn. (The panel takes place Monday, April 24, at 11:30 a.m. ET / 8:30 a.m. PT at RSAC 2023, which runs April 24-27 at the Moscone Center in San Francisco.)
Lo que está en juego en lo que respecta a la rendición de cuentas de los consejos de administración no podría ser mayor. Entre el aumento de los incidentes relacionados con el ransomware « » ( ), las filtraciones masivas de datos y el enorme repunte de los ataques de suplantación de identidad en el correo electrónico empresarial (BEC) () ( ), podría decirse que el año 2022 fue uno de los peores de la historia en materia de ciberseguridad. El FBI registró más de 800,000 denuncias por delitos informáticos en 2022 , con unas pérdidas totales que superaron los 10 000 millones de dólares, frente a los 6.9 000 millones del año anterior. Los piratas informáticos también han comprometido datos y fondos de millones de cuentas privadas, lo que ha llevado al 57 % de las organizaciones a aumentar sus presupuestos de ciberseguridad este año. Todo ello llevó a la Comisión de Valores y Bolsa (SEC) a proponer el año pasado una serie de nuevas regulaciones que tendrán un impacto significativo en la forma en que las empresas estadounidenses —y sus consejos de administración— llevan a cabo sus actividades.
, de Focal Point, se reunió con Hallenbeck para conocer su opinión sobre cómo se están adaptando los consejos de administración a las amenazas cibernéticas, y qué deben saber los responsables de seguridad de la información (CISO) para colaborar más estrechamente con ellos.
¿Cómo ha evolucionado a lo largo de los años la responsabilidad del consejo de administración en materia de ciberseguridad?
Durante mucho tiempo, los consejos de administración consideraban la ciberseguridad como un centro de costes, un requisito que había que cumplir o un lujo operativo que era mejor dejar en manos de los profesionales de TI. No tenían muchas ganas de involucrarse directamente en esos asuntos. Sin embargo, a medida que las filtraciones de datos comenzaron a plantear problemas financieros, problemas legales y problemas de imagen , los miembros del consejo de administración empezaron a recurrir a los CISO para que les mantuvieran al corriente de las cuestiones que afectaban al negocio, lo que significó que los CISO tuvieron que empezar a aprender a expresarse en términos empresariales en lugar de técnicos.
«Durante mucho tiempo, los consejos de administración consideraban la ciberseguridad como un centro de costes, un requisito que cumplir o un lujo operativo que era mejor dejar en manos de los profesionales de TI. No tenían muchas ganas de involucrarse directamente.»Chris Hallenbeck, CISO, Tanium
En la actualidad, dado que el panorama de amenazas es mucho más complejo y los dispositivos finales son más vulnerables que nunca debido al cambio hacia un modelo de trabajo remoto e hibrido , estamos asistiendo a un giro inesperado: existe una expectativa cada vez mayor de que uno o varios miembros del consejo de administración cuenten con conocimientos especializados, o al menos con una familiaridad básica, en materia de ciberseguridad. Cada vez más organizaciones contarán con alguien en el comité de auditoría —o incluso con todo el comité— que dedique tiempo a la ciberseguridad. Eso es diferente.
¿Ocurre esto en todos los sectores?
Creo que esta tendencia se está produciendo en todas partes, pero el ritmo al que los consejos de administración están prestando atención a la gestión del riesgo cibernético varía según el sector.
Si, por ejemplo, trabaja en el sector de la asistenci a, gran parte de su labor se rige por datos y sistemas electrónicos. Si no cuenta con alguien en su consejo de administración que comprenda las implicaciones que ello tiene para la ciberseguridad, podría considerarse un fallo grave. Lo mismo ocurre con los servicios financieros de « » ( ) y otros sectores reacios al riesgo. Existen otros sectores en los que no existe un impulso tan fuerte para que los consejos de administración tomen conciencia sobre la ciberseguridad, ya que no se han visto tan gravemente afectados por las filtraciones de datos y no están sujetos a una regulación tan estricta.
Así que, sí, los consejos de administración de todos los sectores están siguiendo este camino, aunque a ritmos distintos.
¿Cómo deberían comunicarse los CISO con los consejos de administración ante esta nueva realidad?
Deben enfocar las conversaciones en torno al riesgo, ya que eso es lo que preocupa a los miembros del consejo de administración. ¿De qué manera supone este incidente de ciberseguridad o este conato de incidente un riesgo para la empresa? Ese es el tipo de lenguaje que comprenden los miembros del consejo de administración y los altos directivos.
No pasa nada por encontrar un término medio en el que se combinen los aspectos empresariales y técnicos, siempre y cuando no empiecen a perder el interés. Y usted no querrá entrar en demasiados detalles. Sin embargo, al mismo tiempo, no debe pasar por alto informarles sobre los problemas que ha resuelto y que podrían tener una relevancia mayor a largo plazo.
Con demasiada frecuencia, muchos responsables de seguridad de la información (CISO) abordan sus funciones desde un punto de vista muy operativo. Detectan un problema, lo resuelven y pasan a la siguiente tarea. En cambio, deberían informar a la junta sobre algunas de estas cuestiones y decir: «Recientemente hemos solucionado este problema». «Aunque en aquel momento no era necesario señalárselo, debería tenerlo en cuenta, ya que era indicativo de una tendencia que podría volver a manifestarse y afectar al negocio más adelante».
[Lea también: Cómo pueden los CISO combatir el agotamiento y prolongar sus carreras profesionales]
En lo que respecta a la ciberseguridad, no es necesario entrar en detalles minuciosos para ofrecer una exposición convincente al consejo de administración. No obstante, deberíamos ofrecer una visión general suficiente de los problemas a los que nos enfrentamos, junto con recomendaciones concretas para abordarlos en el futuro.
¿Cuál es el mayor error que cometen los CISO a la hora de comunicarse con los miembros del consejo de administración?
Ser demasiado prolijo. Lo que quiere es destacar los puntos más importantes. Exponga los datos o los puntos clave que desee de la forma más concisa posible. Pues que esas personas inteligentes pregunten lo que quieran preguntar. Escuche atentamente sus preguntas para comprender qué es lo que realmente quieren saber. Preste atención a sus comentarios, ya que le permitirán conocer cuáles son sus intereses y cuáles son sus preocupaciones, de modo que pueda adaptar su presentación en consecuencia la próxima vez que se reúna con ellos.
«» Observe si sus ojos se vuelven vidriosos... y preste atención a su lenguaje corporal para comprobar si lo que les está ofreciendo es lo que están buscando. De no ser así, realice los ajustes sobre la marcha.”Hallenbeck
En realidad, el consejo más importante que le daría es que preste atención para ver si en algún momento su mirada se vuelve ausente y que observe su lenguaje corporal para comprobar si lo que le está transmitiendo es lo que él o ella está buscando. De no ser así, vaya ajustándolo sobre la marcha.
¿Cree que continuará la tendencia hacia la rendición de cuentas de los consejos de administración —y, en general, hacia la sensibilización de estos en materia de ciberseguridad—?
Por supuesto. Una vez más, esto variará en función del sector. Es posible que, en algún momento, las autoridades reguladoras exijan a algunas empresas que cuenten con una persona responsable de la ciberseguridad en sus comités de auditoría.
Las empresas de seguros cibernéticos podrían llegar a exigirlo también como requisito para poder optar a determinadas tarifas de prima. Dicho esto, creo que los consejos de administración tendrán que pasar por un proceso de maduración en el que dejen de pensar que los incidentes de ciberseguridad no les van a ocurrir ni deberían ocurrirles. Deben saber que los incidentes de ciberseguridad son, lamentablemente, una realidad ineludible, por mucho que se invierta para evitarlos.
La conversación debe centrarse, por el contrario, en cómo lograr que esos casos sean menos frecuentes o menos graves. Es necesario encontrar un equilibrio entre el riesgo y la aceptación para hacer frente a las amenazas a la ciberseguridad de forma práctica y eficaz.
