El día « March 9, 2022», la Comisión de Valores y Bolsa (SEC) lanzó una advertencia a los directores generales y a los consejos de administración de las empresas que cotizan en bolsa. Según la misma, el público inversor tiene derecho a saber si las empresas están preparadas para hacer frente a ataques de ciberseguridad.
Por ello, la agencia propuso una serie de modificaciones normativas relativas a la gestión de los riesgos cibernéticos, la gobernanza cibernética y la notificación de incidentes cibernéticos. Las normas propuestas aumentarán la responsabilidad de las empresas en materia de riesgos cibernéticos, desde el consejo de administración hasta los altos directivos y los niveles inferiores. «Hoy en día, la ciberseguridad es un riesgo emergente al que los emisores públicos deben hacer frente cada vez más», afirmó el presidente de la SEC, Gary Gensler. «Los inversores desean saber más sobre cómo gestionan los emisores esos riesgos cada vez mayores».
Dado que los ciberataques perpetrados por Estados-nación constituyen una amenaza constante y que el ransomware « » forma ya parte del lenguaje cotidiano, las organizaciones de todo el mundo se han estado preparando, como es lógico, para lo peor. Pero, ¿están preparados?
Para muchos, la respuesta rotunda es «no». Solo el 46 % de las organizaciones afirma contar con un plan de respuesta ante incidentes de ciberseguridad (IRP) para identificar, responder y recuperarse de tipos específicos de ciberataques, y solo el 26 % de las organizaciones dispone de un IRP que se aplique de forma coherente en toda la empresa, según un informe titulado « » 2021 de IBM Security.
«El ransomware y otros ciberataques están afectando tanto a las pequeñas como a las grandes empresas, y estamos observando un aumento tanto en el número como en el impacto que estos ciberataques pueden tener», afirma Erin Bajema, asociada directora y responsable del sector cibernético en Hagerty Consulting. «Las empresas deben partir de la base de que se verán afectadas por un ciberataque y asegurarse de contar con un plan en caso de que ocurra algo».
Si bien los equipos de TI y de seguridad son los responsables de los detalles técnicos de la respuesta ante incidentes , el director general y el resto de la alta dirección deben desempeñar un papel activo. El problema: muchos líderes no comprenden el papel que deberían desempeñar, según Quentin Hodgson, investigador sénior en asuntos internacionales y de defensa especializado en ciberseguridad y gestión de riesgos en la Rand Corporation.
«Los altos directivos saben cuáles son sus responsabilidades en el día a día, pero es posible que no tengan claro quién es el responsable de tomar decisiones y medidas durante un incidente cibernético», afirma Hodgson. Por eso es fundamental establecer un plan de respuesta ante incidentes —y mantener informados al equipo directivo al respecto—. «Cuando no se cuenta con un plan probado y contrastado, se va a encontrar con una gran confusión en una situación que ya de por sí es estresante».
Un buen plan debe tener en cuenta cinco elementos. Estos elementos se ajustan a las principales fases de la respuesta ante incidentes definidas por el « » , según la IEEE Computer Society: preparación, identificación, contención y erradicación, recuperación y lecciones aprendidas.
1. Prepare a su personal y sus procesos para la respuesta ante incidentes
La preparación es la fase más crucial de la respuesta ante incidentes, ya que marca la pauta de la eficacia con la que una organización responde ante una crisis, según el IEEE. Para prepararse ante un ciberataque, el equipo de respuesta a incidentes de seguridad informática (CSIRT) —que suele estar compuesto por personal de seguridad y de TI, así como por miembros de los departamentos de recursos humanos, relaciones públicas, el departamento jurídico y la junta directiva— debe revisar las políticas y herramientas de seguridad existentes y llevar a cabo una evaluación de riesgos « » para determinar qué vulnerabilidades persisten, la probabilidad de que dichas vulnerabilidades puedan ser explotadas y la facilidad con la que pueden detectarse.
«. Mantener a las partes interesadas comprometidas con la preparación le allana el camino hacia el éxito.»Erin Bajema, socia directora y responsable del sector cibernético de Hagerty Consulting
Según Hodgson, los directores generales y los altos directivos deberían exponer sus posibles preocupaciones y cuestionar algunas de las hipótesis subyacentes en su plan de respuesta. Esto podría incluir plantearse qué recursos estarían realmente disponibles en caso de un ciberataque, así como la capacidad de la organización y de determinadas personas para llevar a cabo con rapidez las medidas necesarias de control de daños y reparación.
Es posible que no todos estén de acuerdo, por lo que resulta fundamental que los miembros del equipo mantengan una conversación inicial sobre lo que esperan hacer durante un posible incidente, el tipo de medidas que desean adoptar y las consecuencias que más les preocupan.
«¿Qué ocurre si Sally está de vacaciones cuando se produce un incidente?» pregunta Hodgson. «¿Quién tiene la facultad de tomar decisiones? ¿Estamos haciendo suposiciones sobre nuestra capacidad para hacer cosas que quizá no sean ciertas? «Estas son buenas preguntas que conviene plantear y conversaciones que conviene mantener para definir cómo se articula la planificación».
Los directores generales deben asegurarse de que los planes de recuperación ante desastres (IRP) tengan en cuenta los peores escenarios posibles, según aconseja la Agencia de Seguridad Cibernética y de Infraestructuras Es posible que sea necesario adoptar medidas extremas para proteger los activos más críticos de una organización en caso de intrusión, como, por ejemplo, desconectar algunas partes de la red que puedan tener un gran impacto.
La CISA recomienda a las empresas que consulten las últimas guías de respuesta ante incidentes y vulnerabilidades del Gobierno de EE. UU., disponibles en , así como los manuales de respuesta ante incidentes y vulnerabilidades, publicados por la CISA a finales del año pasado. Los directores generales y los altos cargos también deberían participar en simulacros para asegurarse de que conocen cómo gestionará la organización un incidente cibernético grave. Estos ejercicios deben realizarse, como mínimo, una vez al año, añade Hodgson.
«La gestión y la respuesta ante incidentes funcionan bien cuando se han ensayado con antelación los aspectos relacionados con la coordinación», afirma Bajema. «Esto le brinda la oportunidad, en un entorno libre de culpas, de identificar qué aspectos funcionan bien en las relaciones dentro de toda la organización, cuáles plantean dificultades y en qué debe trabajar.» «Mantener a las partes interesadas comprometidas con la preparación le allana el camino hacia el éxito».
2. Detectar incidentes cibernéticos y notificarlos
Durante la fase de identificación, las organizaciones determinan cuándo debe considerarse un incidente una desviación de seguridad. La identificación de un incidente consiste en recabar pruebas, determinar la prioridad del mismo y documentar las medidas adoptadas. El CSIRT debe determinar el momento adecuado para ponerse en contacto con las partes interesadas y las entidades externas pertinentes.
«El aspecto más importante a la hora de planificar esta fase es saber cómo clasificar la gravedad de un incidente», afirma Bajema. «Al igual que los huracanes, los incidentes cibernéticos pueden presentar distintos grados de gravedad, en función del impacto que puedan tener», afirma. «Los ciberataques que afectan a un componente de un sistema se consideran menos graves que aquellos que provocan la caída de toda la infraestructura cibernética». «Los directores generales deben comprender qué aspectos se están viendo afectados en este momento y cuáles podrían verse afectados a continuación».
Dado el elevado nivel de amenaza actual, la CISA recomienda a los directores generales que reduzcan los umbrales de notificación de incidentes. Cualquier indicio de actividad cibernética maliciosa —incluso si los controles de seguridad bloquean un ataque— debe comunicarse a la CISA. (Puede ponerse en contacto con el Centro de Operaciones 24/7 de la CISA enviando un correo electrónico a report@cisa.gov o llamando al 888-282-0870; también puede llamar a una oficina local del FBI.) «La reducción de los umbrales garantizará que podamos identificar de inmediato cualquier problema y contribuirá a proteger contra nuevos ataques o víctimas», afirma la agencia.
Una vez que los responsables hayan determinado la gravedad de un incidente, los directivos deben estar preparados para repasar las funciones y responsabilidades del CSIRT, identificar las tareas de y de que deben llevarse a cabo, determinar las medidas necesarias para contener activamente un incidente, identificar los aspectos de gestión de la información que deben abordarse y asignar claramente la responsabilidad de cada uno de ellos, afirma Bajema.
Según Bajema, el grupo principal de personas que participan en las reuniones de planificación de esta fase puede variar en función de la organización y del tipo de ataque. En el caso de un incidente de menor gravedad, es recomendable que los directores generales cuenten con la participación del responsable sénior de TI, así como de una persona encargada de supervisar
las operaciones empresariales críticas, recursos humanos, relaciones públicas, el departamento jurídico y marketing.
[Véase también: La creciente necesidad de unificar las tecnologías de la información y la seguridad]
Los directores generales deben estar preparados para facilitar el diálogo entre los distintos grupos de la organización: «Como ejecutivo, usted no será quien solucione los problemas del software, pero sí ayudará a coordinar los distintos aspectos de la respuesta y a mantener la comunicación a todos los niveles», afirma Bajema, de
.
3. Contener y erradicar las infecciones en la red
Una vez identificado el incidente, es necesario contenerlo para evitar daños mayores. Por lo tanto, es necesario erradicarlo para eliminar las infecciones existentes y cualquier agente malicioso que permanezca en el sistema. Esta fase consiste en aislar las partes afectadas de una red o desactivar los dispositivos infectados, sustituir los sistemas o dispositivos infectados por versiones no infectadas, y aplicar parches de forma a las vulnerabil s que hayan sido objeto de ataques y a las nuevas vulnerabilidades. Esta responsabilidad recae en gran medida en los equipos de ciberseguridad y de tecnologías de la información.
«A menudo, los planes son elaborados por personas aisladas y se dejan en un cajón, donde se quedan obsoletos y pierden relevancia.»Quentin Hodgson, investigador sénior en asuntos internacionales y de defensa de la Rand Corporation
Durante este periodo, los directores generales deberán centrarse en la continuidad de las operaciones, afirma Bajema. «Si usted es un banco que está sufriendo un incidente cibernético, por ejemplo, ¿cómo consigue mantener abiertas sus sucursales?», pregunta ella. Los directores generales también deben asegurarse de que las inversiones en seguridad y resiliencia se centren en los sistemas que respaldan las funciones empresariales críticas de su organización.
Hodgson recomienda que los directores generales participen en las conversaciones sobre el coste de la erradicación total y la sustitución de la infraestructura informática para que la organización vuelva a estar operativa. «El coste es una cuestión importante que el director general y otras personas deberán comprender y analizar a fondo para poder tomar decisiones», afirma.
4. Recuperar y comprobar los sistemas y dispositivos de red
Durante la fase de recuperación, es necesario volver a poner en funcionamiento los sistemas y dispositivos y someterlos a pruebas para garantizar que ya no sean vulnerables. El personal de TI y de seguridad supervisa estos sistemas durante un periodo de tiempo determinado para garantizar que se ha eliminado a los atacantes y para
evitar una nueva infección.
A nivel directivo, los directores generales deberían participar en las conversaciones sobre cómo restablecer los servicios de manera que les permita gestionar los cambios que han experimentado. «Lo que se avecina es una vuelta a una nueva normalidad». «Está adaptando su forma de trabajar —quizá esté utilizando nuevo hardware— y, lo más importante, está analizando las funciones y los servicios esenciales y cómo seguirá ofreciéndolos en este nuevo entorno», afirma Bajema.
5. Elabore un informe posterior a la acción para determinar qué ha funcionado y qué no.
Tras la recuperación de un incidente, las organizaciones deben prever la elaboración de un informe de análisis posterior al incidente. Como parte de ese informe, los directivos elaboran un plan de mejora en el que se identifican tanto los puntos fuertes como los puntos débiles de su respuesta, así como los problemas que surgieron al carecer de protocolos, afirma Bajema. Una vez elaborado el informe, es importante repasar las lecciones aprendidas y aplicar medidas correctivas concretas.
«No se puede dar por sentado que, por el hecho de haber sufrido [un ataque] una vez, no vaya a volver a ocurrir», afirma Hodgson. Según él, los directores generales deberían liderar los debates sobre cómo prepararse mejor para el futuro. «¿Debería recibir la gente formación adicional? ¿Qué es lo que no sabíamos y que habría sido útil saber en aquel momento? ¿Cómo podemos comunicarnos mejor? «El director general no va a responder a esas preguntas, pero debería animar a su equipo a abordarlas», afirma Hodgson.
Cuanto más se dedique a la reflexión, a las pruebas y a la práctica en el marco de un IRP, más fluida será la recuperación, afirma Hodgson. «A menudo, los planes los elaboran personas de forma aislada o pequeños equipos y se dejan en un cajón, donde se quedan obsoletos y pierden relevancia», afirma. «Por supuesto, es imposible predecir cómo se desarrollará un incidente, pero cuanto más minuciosa sea la planificación, mejor preparado estará para afrontarlo».
En otras palabras, los directores generales que participan activamente en la elaboración de un plan de respuesta ante incidentes pueden estar más tranquilos al saber que su organización ha reforzado aún más sus defensas de seguridad frente a un ataque.
