Muchas organizaciones han diseñado con éxito planes sólidos para movilizar y responder a ciberexploraciones comunes como ataques de ransomware, filtraciones de datos y estafas de phishing.
Pero, ¿qué sucede cuando una empresa se ve afectada por un evento tan desastroso que nunca pensó en planificarlo?
Tomemos, por ejemplo, la guerra cibernética, un cierre del sistema bancario global o un virus nuevo sin cura. La preocupación empresarial por tales eventos de cisne negro, también conocidos como “desconocidos”, creció después de que el ex operador de opciones de Wall Street Nassim Nicholas Taleb publicara sus 2007 productos más vendidos, The Black Swan. En él, argumenta que los peores escenarios son predeciblemente impredecibles y pueden deletrear catástrofes corporativas.
Erin Bajema ha visto esto de cerca.
“Estos son eventos que tienen un impacto muy alto y una probabilidad muy baja de que ocurran”, dice Bajema, asociado gerente y líder del sector cibernético de Hagerty Consulting, una firma de gestión de emergencias.
“Son casi imposibles de predecir”, dice, “y significarán algo diferente según la organización, su alcance de servicios y qué partes de su infraestructura están involucradas”.
Pocas organizaciones intentan imaginar tales eventos y por una variedad de motivos. A veces, los ejecutivos suponen que algo de esta magnitud nunca podría suceder. Otras veces, no tienen los recursos para dedicar a la planificación del peor escenario posible.
Además, imaginar una desconocida es abrumador. Por lo tanto, muchas organizaciones dirigen sus esfuerzos para identificar y planificar solo los riesgos más frecuentes y probables que enfrentarán.
“Estos son eventos que tienen un impacto muy alto y una probabilidad muy baja de ocurrir”.Erin Bajema, gerente asociada y líder del sector cibernético, Hagerty Consulting
“Cuando enfrenta los mismos riesgos de bajo nivel a diario, es fácil centrar todo su enfoque de gestión de crisis en esas cosas”, dice Bajema. Eso está cambiando: “Las organizaciones se están dando cuenta de que necesitan comenzar a prepararse para eventos realmente catastróficos. Si no lo hacen, las consecuencias pueden ser desastrosas”.
Mayday. Mayday.
Imaginar lo desconocido, aunque difícil e incómodo, es un ejercicio esencial para que los directorios y ejecutivos realicen antes de que sea demasiado tarde. Aquí es donde comenzar.
1. Reúna a su equipo
La planificación del compromiso de las partes interesadas es un primer paso crítico para imaginar desconocidos, dice Bajema. “Necesita reunir a un equipo de personas con el nivel adecuado de experiencia, conocimiento y habilidades para informar el plan y que realmente pueda utilizarse en el mundo real”, dice.
Las partes interesadas involucradas deben ser representativas de toda la organización. La diversidad ayuda a garantizar una consideración exhaustiva de todas las posibilidades y una respuesta integral, dice F. Charlene Watson, consultor sénior de ciberseguridad de la firma de ingeniería multinacional AECOM. Las partes interesadas pueden incluir miembros de los equipos de comunicaciones y relaciones con los medios, recursos humanos, nómina, ciberseguridad y legal, así como miembros de la junta directiva y la alta gerencia.
2. Comenzar pequeño
Para las organizaciones más pequeñas, o aquellas con recursos limitados, imaginar desconocidos puede ser particularmente abrumador. “Algunos apenas podrían estar manteniendo la cabeza por encima del agua y apenas gestionando sus riesgos diarios”, dice Bajema. “Si intenta ir directamente a un evento catastrófico sin tener sus conceptos básicos de [respuesta a incidentes], se está preparando para el fracaso”.
“Nadie quiere creer que son vulnerables y hablar sobre eventos que literalmente podrían destruir a su empresa no es cómodo”.F. Charlene Watson, consultor sénior de ciberseguridad, AECOM
Para estas organizaciones, recomienda comenzar a pequeña escala con la planificación básica de escenarios o ejercicios de mesa basados en escenarios. Los equipos pueden usar un evento o estudio de caso anterior para modelar una respuesta, que ayuda a probar suposiciones, como cómo funcionan actualmente los procesos comerciales de una organización, y puede revelar puntos únicos de fracaso para cada uno de sus servicios críticos.
El pionero en planificación de escenarios Peter Schwartz, ahora futurista principal de Salesforce, concibió escenarios como historias ricas y basadas en datos sobre el mañana que pueden impulsar mejores decisiones hoy. El objetivo no es encontrar certeza, sino crear un “mapa de incertidumbre”; no es reforzar lo que ya sabe, sino “hacer visible lo que no está viendo”.
[Leer también: ¿Qué es la caza de amenazas y por qué es importante?
Watson de AECOM sugiere que las empresas realicen ejercicios prácticos cada seis meses. “Muchas empresas no lo hacen porque no lo ven como un aumento de su margen de ganancias”, dice. “No ven su valor hasta que es demasiado tarde y se enfrentan a una situación
crítica”.
3. Póngase cómodo con lo incómodo
Imaginar lo desconocido no es fácil para muchos miembros de la junta directiva y ejecutivos, reconoce Watson. “Nadie quiere creer que son vulnerables y hablar sobre eventos que literalmente podrían destruir a su empresa no es cómodo”, dice.
Sin embargo, es crucial superar los sentimientos de incomodidad. Bajema, que realiza ejercicios prácticos con líderes sénior, dice que siempre llega un punto en el que el escenario rompe el sistema, a menudo intencionalmente.
“Cuando las partes interesadas llegan a ese punto, dicen: ‘Bueno, está roto ahora y eso es todo’. Para alentarlos a superar ese punto, decimos: “Bien, ahora que su red eléctrica está desconectada, ¿qué va a hacer?” Los directorios deben estar dispuestos a ponerse en esta situación de peor escenario”.
[Leer también: 6 preguntas de ciberseguridad que siempre les digo a los tableros que hagan]
4. Formalizar procesos y llenar brechas
A medida que las organizaciones realizan ejercicios en el peor de los casos, surgirá un panorama más claro sobre cómo trabajan los equipos juntos y la claridad de sus roles y responsabilidades. Los procesos y procedimientos deben documentarse, y cualquier brecha o esfuerzo superpuesto debe abordarse, dice Bajema.
“Los consejos deben estar dispuestos a ponerse en esta situación del peor escenario posible”.F. Charlene Watson
Por ejemplo, las organizaciones pueden descubrir que tanto RR. HH. como el equipo de comunicaciones son responsables de la difusión después de un evento de emergencia y la necesidad de coordinar, o que no se asignó un deber de respuesta a incidentes a una persona o equipo en particular. La formalización de procesos ayuda a identificar si los roles y las responsabilidades se han asignado correctamente.
“Esto le permite tener un plan y un proceso unificados, por lo que cuando llega un evento, no tiene rutas de acción contradictorias entre los departamentos”, agrega Bajema.
5. Considere la escalabilidad y la adaptabilidad
Muchas organizaciones tienen planes de respuesta implementados para abordar las amenazas diarias de ciberseguridad y las interrupciones comerciales. En estos casos, adaptar los planes para aplicar a los peores escenarios puede ser otra forma de abordar las incógnitas desconocidas. Bajema llama a esto una “matriz de escalamiento”, que toma los procedimientos ya implementados y los expande a eventos catastróficos.
“Si puede revisar uno de estos planes, o actualizarlo o fortalecerlo para escalarlo y adaptarse a un desastre más grande, esa es una forma de tomar lo que ya tiene y hacerlo más utilizable para un evento de cisne negro”, dice.
6. Invertir en capacitación
Las organizaciones deben considerar capacitar a los miembros de su junta directiva, a los ejecutivos sénior y a otros grupos responsables para que imaginen y se preparen para lo desconocido, dice Bajema. Esto puede ser algo tan simple como la capacitación básica de concientización, según el nivel de educación en ciberseguridad de la junta directiva, o iniciativas más avanzadas, como las comunicaciones de
crisis.
Imaginar lo desconocido es una parte vital del programa de ciberseguridad de cada organización, dice Watson. Ella dice que el proceso es muy similar a pagar su factura de electricidad. Usted paga su factura todos los meses y, sin fallas, su energía se enciende cuando la necesita. Pero puede llegar un día en el que no pague una factura y su energía se corte.
“En otras palabras, está invirtiendo en su organización a través de medidas de ciberseguridad para mantener a su empresa segura”, dice. “Si no prioriza la planificación para un evento de cisne negro y su organización experimenta un peor escenario, no está preparado, porque no hizo lo que debería haber hecho. ¿Qué sucede a continuación?”
