Es algo que, sin duda, acabará sucediendo. El tesorero de una empresa de tamaño medio recibe un correo electrónico confidencial marcado como «urgente» del director general, en el que se le indican instrucciones para realizar una transferencia de 750,000 dólares a una cuenta bancaria en el extranjero como pago inicial de una adquisición pendiente.
Al saber que se está llevando a cabo un acuerdo de este tipo, y sin querer cuestionar las instrucciones de un alto cargo, el tesorero obedece rápidamente y se dirige a su casa para dar por terminada la jornada.
A la mañana siguiente, el tesorero se despierta con una llamada furiosa del director general, quien le exige saber por qué se ha desembolsado una suma tan elevada de dinero sin su aprobación personal. Más tarde, esa misma tarde, cuando queda claro que la confusión se debe a un ataque de spear phishing y que los fondos han sido sustraídos, se despide a dicho tesorero.
Por lo general, los tesoreros no suelen ser objeto de mucha atención en las empresas. Por lo general, son los engranajes invisibles del sistema financiero que gestionan los pagos internos y externos y garantizan que el departamento financiero funcione de forma fluida y eficiente. Sin embargo, recientemente, a medida que los sistemas de gestión de tesorería (TMS) se han ido digitalizando, las transacciones de tesorería han quedado expuestas al mundo… y a los piratas informáticos.
Como consecuencia, muchos responsables de tesorería se ven obligados a asumir una nueva función con la que no contaban: la de luchar contra la ciberdelincuencia.
«El tesoro de datos personales y corporativos con el que cuenta una tesorería, su autoridad para realizar pagos y mover grandes cantidades de efectivo, así como su estructura, a menudo compleja, la convierten en una opción atractiva para los ciberdelincuentes», según un informe titulado « » ( ), elaborado por la Economist Intelligence Unit y Deutsche Bank.
Los ataques informáticos a las tesorerías corporativas son una amenaza inminente
Muchos de los ataques más sonados en los que han estado implicados tesoreros han tenido como objetivo organismos públicos. Pero eso no significa que los responsables de tesorería de las empresas sean inmunes. Una encuesta de la Asociación de Profesionales Financieros (AFP) titulada « » ( ) revela que el 71 % de las empresas fueron víctimas de ataques o intentos de fraude en los pagos en 2021, y que casi el 70 % fueron objeto de ataques de suplantación de identidad en el correo electrónico empresarial (BEC), siendo los departamentos de cuentas por pagar los más vulnerables.
«: Siempre habrá alguien, en algún lugar, que encuentre la forma de acceder a su sistema». Los tesoreros deben planificar qué harán cuando eso ocurra.»Naresh Aggarwal, director adjunto de políticas y asuntos técnicos de la Asociación de Tesoreros Corporativos
Naresh Aggarwal, director adjunto de política y asuntos técnicos de la Asociación de Tesoreros Corporativos (ACT) del Reino Unido, afirma que, aunque muchos de estos ataques suelen pasar desapercibidos para la opinión pública, es solo cuestión de tiempo que los tesoreros corporativos vean cómo sus departamentos caen víctimas de los grandes ataques informáticos que han afectado a sus homólogos del sector público.
«Es un error pensar que cualquier organización puede hacerse inmune a los ataques», afirma Aggarwal. «En este juego del gato y el ratón en materia de seguridad en el que participamos, siempre habrá alguien, en algún lugar, que encuentre la forma de acceder a su sistema». «Los tesoreros deben planificar qué medidas tomarán cuando eso ocurra».
Aggarwal afirma que los tesoreros, en su calidad de guardianes del dinero, tienen una tendencia natural a actuar como gestores de riesgos. Lamentablemente, son relativamente pocos los que cuentan con formación en tecnología o en seguridad.
Los tesoreros están adquiriendo mayor concienciación sobre la ciberseguridad
Sin embargo, esto está cambiando debido a la creciente sofisticación de los ciberataques y a la urgente necesidad de evitar que los sistemas de gestión de tesorería se conviertan en vías rápidas digitales hacia las arcas de las empresas.
De hecho, los responsables de tesorería que participaron en una encuesta global de 2022 ACT («Los responsables de tesorería en alerta máxima») señalaron la ciberseguridad como su principal preocupación, por delante de la inflación, la COVID-19, la incertidumbre geopolítica y los retos medioambientales. El 80 % de los responsables de tesorería encuestados afirmaron que sus organizaciones están invirtiendo en tecnologías de ciberseguridad, lo que supone un aumento con respecto al 72 % registrado en 2021.
Por lo general, los tesoreros no son quienes deciden qué soluciones de seguridad adquieren sus empresas, aunque muchos participan en las decisiones relativas a la contratación de seguros cibernéticos. En comparación con la situación de hace aproximadamente una década, cada vez colaboran más con los responsables de finanzas, operaciones y seguridad en este tipo de compras. Asimismo, comparten la responsabilidad de obtener la aprobación de la financiación tecnológica por parte de la alta dirección y del consejo de administración de .
Luchar contra el riesgo y tomar nota de los nombres
Aggarwal afirma que los tesoreros corporativos más eficaces no solo se mantienen en contacto y se comunican regularmente con sus homólogos de alto nivel en lo relativo a la gestión de riesgos , sino que también contribuyen a planificar y aclarar las funciones y responsabilidades de cada departamento con vistas a futuros ciberataques. Además, mantienen informados a los altos directivos y al consejo de administración sobre los controles de seguridad que han implantado y las pruebas de penetración que han llevado a cabo. En resumen, son colaborativos y comunicativos.
«El equipo de tesorería nunca debería trabajar de forma aislada», subraya Aggarwal. «Es importante que sean ellos quienes dirijan los debates en este ámbito de la gestión de riesgos financieros». «Y eso significa que deberán comprender plenamente los riesgos cibernéticos, aunque no entiendan todos los detalles técnicos que hay detrás de ellos».
Para ayudar a las organizaciones a prevenir un ataque informático y minimizar los daños en caso de que se produzca, los responsables financieros que han hablado con Endpoint recomiendan seguir los siguientes pasos.
1. Contribuya a establecer políticas de seguridad a nivel mundial. Según ACT, el tesorero debería colaborar con los responsables de ciberseguridad de alto nivel para elaborar y aplicar políticas de seguridad coherentes, especialmente las relacionadas con los pagos. Las políticas deben incluir una serie de controles y contrapesos digitales para prevenir los casos de «spear phishing», en los que se engaña a los empleados para que transfieran dinero a cuentas de terceros. Aggarwal afirma que las políticas también podrían incluir la creación de un «responsable de pagos» encargado de examinar minuciosamente los desembolsos de gran cuantía antes de su formalización.
2. Asegúrese de que el departamento de TI dé prioridad a la función de tesorería. Los responsables de TI suelen prestar mayor atención a los departamentos que cuentan con un mayor número de usuarios que acceden a sus sistemas. Sin embargo, Royston Da Costa, tesorero adjunto del grupo Ferguson —una empresa de fontanería y calefacción con un valor de 23 .000 millones de dólares—, afirma que los responsables de ciberseguridad deberían preocuparse tanto por proteger los activos críticos —como la tesorería de una empresa— como por sus terminales.
Cuando se incorporó a su empresa hace 20 años, Da Costa buscó un servicio de seguridad de primera calidad para su departamento, que en aquel momento contaba con solo cuatro empleados. El equipo de TI rechazó inicialmente la solicitud. «Nos relegaron a una tierra de nadie», recuerda. «Me llevó bastante tiempo hacerles cambiar de opinión».
Finalmente, Da Costa logró convencer al departamento de TI de que el problema principal era el riesgo que gestionaba el departamento de tesorería, y no el número de personas que utilizaban los sistemas. «Eso les abrió mucho los ojos», afirma. «En aquella época, gestionábamos fondos por un valor aproximado de 2.1 000 millones de dólares. «En cuanto se dieron cuenta de eso, se les encendió la bombilla y nos colocaron en lo más alto de su lista de prioridades».
3. Establezca un programa de ciberseguridad específico para el departamento de tesorería. En su informe, el Deutsche Bank señaló que, si la ciberseguridad es un objetivo, el departamento de tesorería debería contar con su propia iniciativa de gestión de la ciberseguridad, idealmente alineada con la estrategia corporativa; y que dicha estrategia debería extenderse a todas las personas y procesos que puedan interactuar con el departamento de tesorería, incluyendo a todo el personal del departamento de tesorería corporativo, los bancos que procesan las transacciones de la empresa, las oficinas de SWIFT que proporcionan soluciones de conectividad bancaria, las cámaras de compensación automatizadas que ofrecen soluciones de pago y los proveedores de procesamiento de tarjetas de crédito.
4. Adopten las tecnologías actuales. Los sistemas de gestión de tesorería son fundamentales para gestionar el flujo de caja y el riesgo de una empresa. Sin embargo, es posible que los sistemas diseñados hace años carezcan de las medidas de seguridad necesarias para hacer frente a las amenazas cibernéticas actuales. Aunque sean más recientes, los sistemas pueden seguir siendo vulnerables si no se actualizan o se les aplican parches de forma periódica .
«. Gestionábamos fondos por un valor aproximado de 2.1 000 millones de dólares». En cuanto [el equipo de TI] se enteró de ello, saltaron las alarmas y nos colocaron en lo más alto de su lista de prioridades.»Royston Da Costa, tesorero adjunto del grupo, Ferguson
ACT recomienda que los departamentos de tesorería evalúen periódicamente si están utilizando las versiones actuales del TMS y si disponen de suficientes recursos informáticos internos para gestionar y proteger el sistema. Si un departamento de tesorería decide diseñar o implantar su propia tecnología patentada, Da Costa recomienda además asegurarse de que el responsable de seguridad de la información (CISO) de la empresa haya dado su visto bueno, con el fin de evitar posibles problemas de compatibilidad o de asistencia técnica en el futuro.
5. Entrenar, entrenar, entrenar. Sin embargo, incluso con la tecnología más avanzada y actualizada, siempre surgen vulnerabilidades. «El principal punto débil de la ciberseguridad son las personas, y siempre lo ha sido», afirma Chris van Dijl, tesorero internacional, formador y fundador de la consultora de gestión empresarial Cugavadi. «Los estafadores se están volviendo cada vez más astutos a la hora de aprovecharse de las personas, y pueden adelantarse a cualquier departamento de tesorería que no esté debidamente preparado».
[Lea también: Por qué los trabajadores violan las políticas de ciberseguridad]
Los expertos en seguridad afirman que es fundamental —especialmente ahora que muchos empleados trabajan desde casa— formar a los trabajadores sobre los procesos de pago seguros, así como sobre las actuales amenazas de phishing, de ingeniería social y de malware . While 69% of employees in a 2021 TalentLMS and Kenna Security survey said they had completed cybersecurity training, 61% failed follow-up quizzes.
En definitiva, los responsables de tesorería de las empresas deben desempeñar un papel más activo en la ciberseguridad de sus organizaciones. Esto implica dar un paso al frente, hacer notar su presencia y predicar con el ejemplo para garantizar la seguridad de los fondos de su empresa.
Porque, si no lo hacen ellos, no hay garantía de que lo haga nadie más. Al fin y al cabo, la responsabilidad recae sobre ellos.
