Muchas organizaciones han elaborado con éxito planes sólidos para movilizar y hacer frente a amenazas cibernéticas habituales, como los ataques de ransomware, las filtraciones de datos y las estafas de phishing.
Pero, ¿qué ocurre cuando una empresa se ve afectada por un suceso tan catastrófico que ni siquiera se le había ocurrido prepararse para ello?
Tomemos, por ejemplo, una guerra cibernética, un colapso del sistema bancario mundial o un virus desconocido para el que no existe cura. La preocupación de las empresas por este tipo de acontecimientos de «cisne negro» —también conocidos como «unknown unknowns»— aumentó después de que el antiguo operador de opciones de Wall Street, Nassim Nicholas Taleb, publicara su superventas de 2007 , *The Black Swan*. En él, sostiene que los peores escenarios posibles son, como es de esperar, impredecibles y pueden suponer una catástrofe para las empresas.
Erin Bajema lo ha visto de cerca.
«Se trata de sucesos que tienen un impacto realmente elevado y una probabilidad de que se produzcan realmente baja», afirma Bajema, socio director y responsable del sector cibernético en Hagerty Consulting, una empresa especializada en gestión de emergencias.
«Son prácticamente imposibles de predecir», afirma, «y tendrán un significado diferente en función de la organización, su ámbito de servicios y qué elementos de su infraestructura se vean afectados».
Son pocas las organizaciones que intentan imaginar este tipo de acontecimientos, y ello se debe a diversas razones. En ocasiones, los directivos dan por sentado, con excesiva confianza, que algo de tal magnitud nunca podría suceder. Otras veces no disponen de los recursos necesarios para dedicarlos a la planificación ante el peor de los casos.
Además, imaginar algo desconocido que ni siquiera sabemos que existe resulta abrumador. Por ello, muchas organizaciones centran sus esfuerzos en identificar y planificar únicamente los riesgos más frecuentes y con mayor probabilidad de que se produzcan.
«. Se trata de acontecimientos que tienen un impacto realmente elevado y una probabilidad de que se produzcan realmente baja.»Erin Bajema, socia directora y responsable del sector cibernético de Hagerty Consulting
«Cuando uno se enfrenta a diario a los mismos riesgos de baja intensidad, resulta fácil centrar todo su enfoque de gestión de crisis en esos aspectos», afirma Bajema. Pero eso está cambiando: «Las organizaciones se están dando cuenta de que deben empezar a prepararse para acontecimientos verdaderamente catastróficos». «De lo contrario, las consecuencias pueden ser desastrosas».
¡Socorro! ¡Socorro!
Imaginar lo desconocido que aún no se conoce —aunque resulte difícil e incómodo— es un ejercicio esencial que deben realizar los consejos de administración y los directivos antes de que sea demasiado tarde. Aquí es por donde debe empezar.
1. Forme su equipo
«Planificar la participación de las partes interesadas es un primer paso fundamental para anticipar lo desconocido», afirma Bajema. «Es necesario reunir un equipo de personas con el nivel adecuado de experiencia, conocimientos y habilidades para que el plan se base en datos fiables y pueda aplicarse realmente en la práctica», afirma.
Las partes interesadas implicadas deben ser representativas de toda la organización. La diversidad contribuye a garantizar que se tengan en cuenta exhaustivamente todas las posibilidades y que se dé una respuesta integral, afirma F. Charlene Watson, consultora sénior de ciberseguridad de la empresa multinacional de ingeniería AECOM. Entre las partes interesadas pueden figurar miembros de los equipos de comunicación y relaciones con los medios de comunicación, de recursos humanos, de nóminas, de ciberseguridad y del departamento jurídico, así como miembros del consejo de administración y de la alta dirección.
2. Empiece poco a poco
Para las organizaciones más pequeñas, o aquellas con recursos limitados, anticiparse a lo desconocido puede resultar especialmente abrumador. «Puede que algunos apenas logren mantenerse a flote y apenas consigan gestionar sus riesgos cotidianos», afirma Bajema. «Si intenta abordar directamente un suceso catastrófico sin tener claros los conceptos básicos [de respuesta ante incidentes], se está abocando al fracaso».
«. Nadie quiere creer que es vulnerable, y hablar de acontecimientos que podrían, literalmente, destruir su empresa no resulta nada cómodo.»F. Charlene Watson, consultora sénior de ciberseguridad, AECOM
Para estas organizaciones, recomienda empezar poco a poco con una planificación básica de escenarios o con ejercicios de simulación basados en escenarios . Los equipos pueden utilizar un suceso pasado o un caso práctico para simular una respuesta, lo que ayuda a poner a prueba hipótesis —como, por ejemplo, el funcionamiento actual de los procesos de negocio de una organización— y puede revelar puntos únicos de fallo en cada uno de sus servicios críticos.
Peter Schwartz, pionero en la planificación de escenarios y actual futurista jefe de Salesforce, concibió los escenarios como relatos detallados y basados en datos sobre el futuro, capaces de impulsar la toma de mejores decisiones en el presente. El objetivo no es alcanzar la certeza, sino crear un «mapa de la incertidumbre» (); no se trata de reforzar lo que ya sabe, sino de «hacer visible lo que no está viendo».
[Lea también: ¿Qué es la búsqueda de amenazas y por qué es importante?
El Sr. Watson, de AECOM, sugiere que las empresas realicen simulacros de mesa cada seis meses. «Muchas empresas no lo hacen porque no consideran que ello les permita aumentar su margen de beneficio», afirma. «No se dan cuenta de lo importante que es hasta que ya es demasiado tarde y se enfrentan a una situación crítica e
».
3. Acostúmbrese a lo incómodo
Watson reconoce que, para muchos miembros de los consejos de administración y directivos, no resulta fácil imaginar lo desconocido que se desconoce. «Nadie quiere creer que es vulnerable, y hablar de acontecimientos que podrían, literalmente, destruir su empresa no resulta nada cómodo», afirma.
No obstante, es fundamental superar los sentimientos de incomodidad. El Sr. Bajema, que dirige simulacros de mesa con altos mandos, afirma que siempre llega un momento en el que el escenario pone a prueba los límites del sistema —a menudo de forma intencionada—.
«Cuando las partes interesadas llegan a ese punto, dicen: “Bueno, ahora ya no funciona y ya está”». Para animarles a superar esa situación, les decimos: «Bien, ahora que su red eléctrica está fuera de servicio, ¿qué van a hacer?». «Los consejos de administración deben estar dispuestos a plantearse esta situación en el peor de los casos».
4. Formalizar los procesos y subsanar las deficiencias
A medida que las organizaciones realicen simulacros basados en el peor de los casos, se irá obteniendo una visión más clara de cómo colaboran los equipos y de la claridad de sus funciones y responsabilidades. Según Bajema, es necesario documentar los procesos y procedimientos, y subsanar cualquier laguna o solapamiento en las tareas.
«. Los consejos de administración deben estar dispuestos a plantearse esta situación en el peor de los casos.»F. Charlene Watson
Por ejemplo, las organizaciones pueden descubrir que tanto el departamento de Recursos Humanos como el equipo de comunicación son responsables de las actividades de divulgación tras una situación de emergencia y que deben coordinarse, o que no se había asignado a ninguna persona o equipo concreto la tarea de respuesta ante incidentes. La formalización de los procesos ayuda a determinar si las funciones y responsabilidades se han asignado correctamente.
«Esto le permite contar con un plan y un proceso unificados, de modo que, cuando se produzca un incidente, no haya líneas de actuación contradictorias entre los distintos departamentos», añade Bajema.
5. Tenga en cuenta la escalabilidad y la adaptabilidad
Muchas organizaciones cuentan con planes de respuesta de para hacer frente a las amenazas diarias a la ciberseguridad y a las interrupciones de la actividad empresarial. En estos casos, adaptar los planes para que se ajusten a los peores escenarios posibles puede ser otra forma de abordar lo desconocido. Bajema denomina a esto una «matriz de escalada», que toma los procedimientos ya establecidos y los amplía para aplicarlos a situaciones catastróficas.
«Si es capaz de revisar uno de estos planes, o de actualizarlo o reforzarlo para ampliar su alcance y adaptarlo a una catástrofe de mayor envergadura, esa es una forma de aprovechar lo que ya tiene y hacerlo más útil ante un acontecimiento de tipo “cisne negro”», afirma.
6. Invierta en formación
Las organizaciones deberían plantearse formar a los miembros de su consejo de administración, a los altos directivos y a otros grupos responsables para que sean capaces de anticipar lo desconocido y prepararse para ello, afirma Bajema. Esto podría consistir en algo tan sencillo como una formación básica en concienciación, dependiendo del nivel de conocimientos sobre ciberseguridad de la junta directiva, o en iniciativas más avanzadas, como la comunicación de crisis
.
«Prever lo desconocido es un elemento fundamental del programa de ciberseguridad de cualquier organización», afirma Watson. Afirma que el proceso se parece mucho a pagar la factura de la luz. Usted abona su factura cada mes y, sin falta, dispone de suministro eléctrico cuando lo necesita. Pero puede que llegue un día en el que se le pase pagar una factura y le corten la luz.
«En otras palabras, está invirtiendo en su organización mediante medidas de ciberseguridad para garantizar la seguridad de su empresa», afirma. «Si no da prioridad a la planificación ante un acontecimiento de tipo “cisne negro” y su organización se enfrenta al peor de los escenarios, se encontrará desprevenido, ya que no habrá hecho lo que debía haber hecho». «¿Qué va a pasar ahora?»
