Con los ataques de ransomware y otras amenazas de ciberseguridad cada vez más sofisticadas, las empresas enfrentan una nueva y problemática preocupación: el aumento de las demandas colectivas que siguen a una filtración de datos.
Como si los retrasos en la producción y el daño a la reputación de tales ataques no fueran lo suficientemente malos, ahora los ejecutivos también deben considerar el riesgo de terminar en el tribunal. Una encuesta reciente de líderes de litigios internos de corporaciones globales reveló que los problemas de ciberseguridad y protección de datos serán los principales impulsores de nuevas disputas en los próximos años.
Junto con la creciente cantidad de demandas colectivas, se encuentra el alto precio de los acuerdos. En 2020, uno de los casos más costosos y de alto perfil, un ataque cibernético a la empresa de calificación crediticia Equifax, resultó en una demanda colectiva que otorgó un acuerdo de conciliación de 700 millones de dólares, de los cuales 425 millones de dólares se destinaron a compensar a los consumidores.
Otras demandas colectivas por filtración de datos también han atraído acuerdos sustanciales: Capital One llegó a un acuerdo por 190 millones de dólares como resultado de una enorme filtración de 2019 datos; Uber acordó pagar 148 millones de dólares para resolver un litigio civil vinculado a una filtración de 2016 datos; y más recientemente, T-Mobile acordó pagar 350 millones de dólares para resolver reclamaciones de que no previno una filtración de datos que afectó a 76 millones de estadounidenses. (La fecha límite para que esas personas presentaran una reclamación fue en enero).
Dichas sumas dejan en claro, si aún no lo fue, que priorizar la ciberseguridad es más crítico que nunca, señala Mike Morgan, socio y director de privacidad y ciberseguridad global en los EE. UU. del bufete de abogados global McDermott Will & Emery. “Las violaciones de la seguridad cibernética son un riesgo para todas las organizaciones, y eso ha sido cierto durante muchos años”, dice. “Pero con el tiempo, el alcance del riesgo ha crecido significativamente”.
Y los tableros inteligentes están notando.
Una confluencia de eventos ha caído la ciberseguridad en las puertas de las juntas directivas, dice la experta en gobernanza corporativa Cynthia Clark, autora de Giving Voice to Values en la sala de juntas y profesora de gestión en la Universidad de Bentley. “Ha habido esta convergencia de campos realmente desarticulados que se están amplificando entre sí: inteligencia artificial, aprendizaje automático, robótica, nanotecnología, biotecnología, que realmente han generado una conciencia de la ciberseguridad a nivel directivo”, dice. “Pero creo que hay una pequeña brecha entre la conciencia y la responsabilidad por ella en un tablero”.
Las siguientes acciones pueden ayudar a los consejos a fortalecer su compromiso con la ciberseguridad, protegerse contra demandas colectivas y prepararse para un panorama legal cambiante.
Establecer una sólida experiencia en ciberseguridad en la junta directiva
En March 2022, la Comisión de Bolsa y Valores (Securities and Exchange Commission, SEC) de los EE. UU. propuso nuevas reglas que requerirían que las empresas públicas hicieran divulgaciones estandarizadas sobre la estrategia de ciberseguridad, la gestión de riesgos, los informes de incidentes y la gobernanza. Estas reglas también requerirían que las empresas públicas divulguen a los miembros de la junta directiva que tienen experiencia en seguridad, así como la naturaleza de esa experiencia.
“Espero que haya muchos litigios y acciones de aplicación regulatoria que se centren en la cuestión de si una entidad en particular tiene o no ciberseguridad razonable”.Mike Morgan, socio y director de privacidad y ciberseguridad global de EE. UU., McDermott Will & Emery
Una encuesta reciente de Wall Street Journal realizada a 1,000 de las 3000 empresas Russell reveló que poco menos del 15 % ha revelado tener un director con experiencia en ciberseguridad. Clark dice que este es un ejemplo de la desconexión entre la conciencia de que la ciberseguridad es un problema importante y la responsabilidad de ella dentro de los tableros.
“Las juntas directivas pueden cerrar esa brecha al reconocer la generalización de la ciberseguridad”, dice. “Necesitan buscar activamente personas con esta experiencia, y hay muchas de esas personas alrededor”. Estas personas deben comprender los requisitos normativos, la diferencia entre privacidad y seguridad, y tener habilidades de comunicación expertas, agrega. Poder analizar cómo estos asuntos afectan el modelo de negocios de la organización es crucial hoy en día, al igual que la necesidad de destilar información de ciberseguridad en momentos de crisis.
El presidente de la SEC, Gary Gensler, dice que los inversionistas desean saber más sobre cómo los emisores están gestionando los crecientes riesgos de ciberseguridad. “Creo que tanto las empresas como los inversionistas se beneficiarían si esta información fuera necesaria de manera consistente, comparable y útil para la toma de decisiones”, señaló Gensler en un comunicado de prensa de la SEC. “Si [la propuesta] se adoptara, fortalecería la capacidad de los inversionistas para evaluar las prácticas de ciberseguridad y los informes de incidentes de las empresas públicas”. Divulgar la experiencia en ciberseguridad podría influir en si se presenta una demanda colectiva ante una organización; por ejemplo, una junta directiva completa podría anular las reclamaciones de negligencia en caso de que ocurra una filtración, mientras que la falta de experiencia en ciberseguridad en una junta directiva podría tener en cuenta la presentación de una demanda colectiva.
Impulsar una cultura de ciberseguridad
La importancia de la junta directiva en asuntos de ciberseguridad no puede subrayarse lo suficiente, dice Morgan. La junta controla los recursos que se requieren para garantizar que su organización tenga funciones adecuadas de TI y seguridad de la información, y también es la entidad que alienta una cultura de franqueza y discusiones francas sobre su madurez en ciberseguridad, dice.
[Leer también: 6 preguntas de ciberseguridad que siempre les digo a los tableros que hagan]
“La cultura a menudo comienza con la junta directiva y una determinación de alta gerencia de que la ciberseguridad realmente importa. Si esa determinación se presiona a través de la organización, por ejemplo, a operaciones legales, de riesgo, contratos y ventas, empodera esas funciones para que sean más asertivas”, dice. “Con el tiempo, verá que las organizaciones maduran. Las voces se vuelven más asertivas y usted tiene avances, como ventas que involucran a estos grupos anteriormente en el proceso. Usted desarrolla una sensibilidad a estos problemas que no existía antes porque está claro que esto importa a la alta gerencia y a la junta directiva”.
Dirija debates sobre medidas de ciberseguridad razonables
A medida que los usos de la IA en la ciberseguridad y los avances de datos se vuelven más poderosos, las juntas directivas deben esperar liderar más debates sobre los controles que tienen implementados para la protección, dice Morgan. Según las nuevas reglas de la SEC, por ejemplo, las empresas deberán desarrollar y mantener prácticas de ciberseguridad “razonables”, aunque la SEC no define lo que es razonable o no. Morgan dice que esta área gris probablemente sea la primera en futuras demandas.
“Espero que haya muchos litigios y acciones de aplicación regulatoria que se centren en la cuestión de si una entidad en particular tiene ciberseguridad razonable”, dice. “En el transcurso de esas discusiones, habrá debates sobre qué estándares deben aplicarse para determinar qué es razonable o no, y en qué medida la cuestión de la razonabilidad está determinada por el camino del ataque frente a la ciberseguridad general de una organización”.
A medida que los casos de filtración de datos continúan, y a medida que la cantidad de grandes acuerdos de demanda colectiva por filtración de datos continúa creciendo, el riesgo de una seguridad inadecuada será más evidente para los responsables de la toma de decisiones, dice. “Eso significa que deberá haber más discusiones sobre estos problemas”.
Realizar un análisis autocrítico
Un análisis autocrítico es una investigación del programa de ciberseguridad de una organización para identificar áreas de debilidad y formas de mejorar su madurez de ciberseguridad. Una gran parte de un análisis autocrítico se centra en lo que se puede hacer para detener un ataque, dice Morgan, que es especialmente crítico durante los litigios de ciberseguridad.
“Si bien las empresas de Equifax, los T-Mobile y otros grandes chicos en el bloque obtienen titulares, las organizaciones pequeñas y medianas también están en riesgo”.
“Uno de los problemas que surgen en las demandas es en qué medida el adversario legal de su organización, ya sea un demandante, abogado del demandante o regulador, puede tener acceso al análisis autocrítico de su organización de su propio programa de ciberseguridad”, dice. “El enfoque en detener los ataques es muy importante desde una perspectiva legal porque ayuda a impulsar posibles reclamaciones de medidas cautelares que buscan órdenes para abordar el problema o mejorar desde una perspectiva de ciberseguridad”.
Morgan dice que realizar un análisis autocrítico es una práctica recomendada que las organizaciones deben considerar.
Y no son solo las empresas más grandes las que necesitan intensificar su juego para evitar, o estar preparadas para, litigios. Mientras que los equipos de Equifax, los T-Mobile y otros grandes chicos en el bloque obtienen titulares, las organizaciones pequeñas y medianas también están en riesgo.
Caso en particular: Hope College, una pequeña escuela cristiana de artes liberales de cuatro años en Holland, Michigan, que ahora enfrenta dos demandas colectivas separadas, presentadas en la última semana de 2022. Las demandas, que acusan a la escuela de negligencia y de no notificar a las víctimas lo suficientemente rápido, lo que permite que “sus lesiones se fomenten y el daño se propague”, se relacionen con una filtración de datos en septiembre que puede haber comprometido la información confidencial de más de 155,000 personas. Otro cuento de precaución para ilustrar la importancia de apuntalar defensas.
Al establecer experiencia en ciberseguridad en los consejos, impulsar una cultura de ciberseguridad en la cima, analizar medidas de seguridad razonables y observar crítica e introspectivamente los procesos de ciberseguridad de la organización, las empresas pueden impulsar más conciencia, inculcar mejores prácticas y construir una base de seguridad más sólida para resistir futuros litigios.
