A medida que los ataques de ransomware y otras amenazas a la ciberseguridad se vuelven cada vez más sofisticados, las empresas se enfrentan a una nueva y preocupante cuestión: el aumento de las demandas colectivas que se producen tras una filtración de datos.
Como si los retrasos en la producción y el daño a la reputación derivados de este tipo de ataques no fueran ya suficientemente graves, ahora los directivos también deben tener en cuenta el riesgo de acabar ante los tribunales. Una encuesta reciente de « » ( ), realizada a responsables de litigios internos de empresas internacionales, ha revelado que las cuestiones relacionadas con la ciberseguridad y la protección de datos serán los principales factores que den lugar a nuevos litigios en los próximos años.
El aumento del número de demandas colectivas va acompañado de un incremento vertiginoso del coste de los acuerdos extrajudiciales. En 2020, uno de los casos más sonados y costosos —un ciberataque contra la agencia de calificación crediticia Equifax— dio lugar a una demanda colectiva que se resolvió con un acuerdo de 700 millones de dólares, de los cuales 425 millones se destinaron a indemnizar a los consumidores.
Otras demandas colectivas por filtraciones de datos también han dado lugar a acuerdos sustanciales: Capital One llegó a un acuerdo de 190 millones de dólares a raíz de una filtración masiva de datos que afectó a 2019 personas; Uber acordó pagar 148 millones de dólares para resolver un litigio civil relacionado con una filtración de datos que afectó a 2016 personas; y, más recientemente, T-Mobile acordó pagar 350 millones de dólares para resolver las reclamaciones por no haber evitado una filtración de datos que afectó a 76 millones de estadounidenses. (El plazo establecido por la « » para que dichas personas presentaran una reclamación venció en enero.)
Estas cifras dejan claro, si es que aún no lo estaba, que dar prioridad a la ciberseguridad es más importante que nunca, señala Mike Morgan, socio y responsable en EE. UU. del departamento global de privacidad y ciberseguridad del bufete internacional McDermott Will & Emery. «Las brechas de ciberseguridad suponen un riesgo para todas las organizaciones, y así ha sido durante muchos años», afirma. «Sin embargo, con el paso del tiempo, la magnitud del riesgo ha aumentado considerablemente».
Y los consejos de administración más avispados se están dando cuenta de ello.
Una serie de acontecimientos ha puesto la ciberseguridad en el punto de mira de los consejos de administración, afirma la experta en gobierno corporativo Cynthia Clark, autora de * * (), *Giving Voice to Values in the Boardroom* () y * *, y profesora de gestión en la Universidad de Bentley. «Se ha producido una convergencia de campos muy dispares que se potencian mutuamente —la inteligencia artificial, el aprendizaje automático, la robótica, la nanotecnología y la biotecnología—, lo que ha contribuido de manera significativa a que la ciberseguridad adquiera relevancia a nivel de consejo de administración», afirma. «Pero creo que existe una cierta brecha entre la concienciación al respecto y la responsabilidad que se asume en el consejo de administración».
Las siguientes medidas pueden ayudar a los consejos de administración a reforzar su compromiso con la ciberseguridad, protegerse frente a demandas colectivas y prepararse para un panorama jurídico en constante evolución.
Incorporar a la junta directiva una sólida experiencia en ciberseguridad
En el documento « March 2022», la Comisión de Valores y Bolsa de EE. UU. (SEC) propuso nuevas normas que obligarían a las empresas que cotizan en bolsa a publicar información estandarizada sobre su estrategia de ciberseguridad, la gestión de riesgos, la notificación de incidentes y la gobernanza. Estas normas también exigirían a las empresas que cotizan en bolsa que dieran a conocer los miembros del consejo de administración que cuenten con experiencia en materia de seguridad, así como la naturaleza de dicha experiencia.
«. Espero que se produzcan numerosos litigios y medidas de aplicación normativa que giren en torno a la cuestión de si una entidad concreta cuenta o no con una ciberseguridad razonable.»Mike Morgan, socio y director para EE. UU. del departamento de privacidad y ciberseguridad global de McDermott Will & Emery
Una encuesta reciente de « » del Wall Street Journal , realizada a 1,000 de las empresas del índice Russell 3000 , reveló que algo menos del 15 % ha revelado que cuenta con un consejero con experiencia en ciberseguridad. Clark afirma que este es un ejemplo de la desconexión que existe entre la conciencia de que la ciberseguridad es una cuestión importante y la responsabilidad al respecto que recae en los consejos de administración.
«Los consejos de administración pueden salvar esa brecha reconociendo la importancia generalizada de la ciberseguridad», afirma. «Deben buscar activamente a personas con esta experiencia, y hay muchas personas así por ahí». Estas personas deben conocer los requisitos normativos de , la diferencia entre privacidad y seguridad, y poseer excelentes habilidades de comunicación, añade. Hoy en día resulta fundamental poder analizar cómo estas cuestiones afectan al modelo de negocio de la organización, al igual que lo es la necesidad de sintetizar la información sobre ciberseguridad en momentos de crisis.
El presidente de la SEC, Gary Gensler, afirma que los inversores desean obtener más información sobre cómo gestionan los emisores los crecientes riesgos en materia de ciberseguridad. «Creo que tanto las empresas como los inversores se beneficiarían si esta información se exigiera de forma coherente, comparable y útil para la toma de decisiones», señaló Gensler en un comunicado de prensa de la SEC . «Si [la propuesta] se aprobara, reforzaría la capacidad de los inversores para evaluar las prácticas de ciberseguridad y la notificación de incidentes de las empresas que cotizan en bolsa». El hecho de revelar los conocimientos especializados en ciberseguridad podría influir en la decisión de interponer una demanda colectiva contra una organización; por ejemplo, un consejo de administración bien dotado podría refutar las acusaciones de negligencia en caso de que se produjera una violación de la seguridad, mientras que la falta de conocimientos especializados en ciberseguridad en el consejo podría ser un factor determinante a la hora de interponer una demanda colectiva.
Fomente una cultura de ciberseguridad
«Nunca se insistirá lo suficiente en la importancia del consejo de administración en materia de ciberseguridad», afirma Morgan. El consejo de administración controla los recursos necesarios para garantizar que su organización cuente con funciones adecuadas de TI y seguridad de la información, y es también la entidad que fomenta una cultura de transparencia y debates francos sobre su madurez en materia de ciberseguridad, afirma.
«La cultura suele comenzar cuando el consejo de administración y los altos directivos se convencen de que la ciberseguridad es realmente importante». «Si esa decisión se transmite a los distintos niveles de la organización —por ejemplo, a los departamentos jurídico, de riesgos, de contratos y de operaciones de ventas—, permite que dichas funciones actúen con mayor firmeza», afirma. «Con el tiempo, verá cómo las organizaciones maduran». Las opiniones se vuelven más firmes y se logran avances, como la realización de ventas con estos grupos en una fase más temprana del proceso. « , se desarrolla una sensibilidad hacia estas cuestiones que antes no existía, ya que queda claro que esto es importante para la alta dirección y el consejo de administración».
Dirigir debates sobre medidas razonables de ciberseguridad
A medida que los usos de la IA en ciberseguridad y los datos avanzan y se vuelven más potentes, los consejos de administración deben estar preparados para liderar más debates sobre los controles que tienen implantados para garantizar la protección, afirma Morgan. Según las nuevas normas de la SEC, por ejemplo, las empresas estarán obligadas a desarrollar y mantener prácticas de ciberseguridad «razonables», aunque la SEC no define qué es razonable y qué no. Morgan afirma que es probable que esta zona gris ocupe un lugar destacado en futuras demandas judiciales.
«Preveo que habrá numerosos litigios y medidas de aplicación de la normativa que girarán en torno a la cuestión de si una entidad concreta cuenta con un nivel razonable de ciberseguridad», afirma. «En el transcurso de esas conversaciones, se debatirá qué criterios deben aplicarse para determinar qué es razonable y qué no, y en qué medida la cuestión de la razonabilidad viene determinada por la vía de ataque frente a la ciberseguridad general de una organización».
A medida que se siguen produciendo casos de filtración de datos —y que sigue aumentando el número de acuerdos extrajudiciales en demandas colectivas por filtraciones de datos a gran escala—, el riesgo derivado de una seguridad inadecuada resultará cada vez más evidente para los responsables de la toma de decisiones, afirma. «Esto significa que habrá que seguir debatiendo estas cuestiones».
Realice un análisis autocrítico
Un análisis autocrítico consiste en una investigación del programa de ciberseguridad de una organización con el fin de identificar puntos débiles y formas de mejorar su madurez en materia de ciberseguridad. Según Morgan, una parte importante del análisis autocrítico se centra en qué se puede hacer para detener un ataque, lo cual resulta especialmente crucial durante los litigios relacionados con la ciberseguridad.
«. Aunque empresas como Equifax, T-Mobile y otros gigantes del sector acaparan los titulares, las pequeñas y medianas empresas también corren riesgo.»
«Una de las cuestiones que se plantean en los litigios es hasta qué punto la parte contraria de su organización —ya sea el demandante, el abogado del demandante o la autoridad reguladora— puede tener acceso al análisis autocrítico que su organización realiza de su propio programa de ciberseguridad», afirma. «El énfasis en impedir los ataques es muy importante desde un punto de vista jurídico, ya que contribuye a que queden sin fundamento las posibles demandas de medidas cautelares que tengan por objeto obtener resoluciones para resolver el problema o mejorar la ciberseguridad».
Morgan afirma que llevar a cabo un análisis autocrítico es una buena práctica que las organizaciones deberían tener en cuenta.
[Lea también: La evaluación comparativa es la mejor forma de saber cómo se sitúa su ciberseguridad]
Y no son solo las grandes empresas las que deben redoblar sus esfuerzos para prevenir los litigios o estar preparadas ante ellos. Aunque empresas como Equifax, T-Mobile y otros gigantes del sector acaparan los titulares, las pequeñas y medianas empresas también corren peligro.
Un ejemplo claro: el Hope College, una pequeña universidad cristiana de artes liberales con un plan de estudios de cuatro años situada en Holland (Míchigan), que se enfrenta ahora a dos demandas colectivas distintas, presentadas durante la última semana de 2022. Las demandas, en las que se acusa a la escuela de negligencia y de no haber notificado a las víctimas con la suficiente rapidez —lo que, según se alega, permitió que «sus lesiones se agravaran y el daño se extendiera»—, están relacionadas con una filtración de datos ocurrida en septiembre que podría haber puesto en peligro la información confidencial de más de 155,000 personas. Otra historia aleccionadora que ilustra la importancia de reforzar las defensas.
Al incorporar conocimientos especializados en ciberseguridad en los consejos de administración, fomentar una cultura de ciberseguridad desde los niveles más altos, debatir medidas de seguridad razonables y analizar de forma crítica e introspectiva los procesos de ciberseguridad de la organización, las empresas pueden fomentar una mayor concienciación, implantar las mejores prácticas y sentar unas bases de seguridad más sólidas para hacer frente a posibles litigios futuros.
