Las perspectivas y habilidades individuales dentro de su empresa pueden impulsar un cambio cultural que fortalezca la gestión del riesgo cibernético.
Cuando se trata de gestionar los riesgos derivados de la dependencia de la tecnología, el debate suele centrarse en soluciones tecnológicas, pasando por alto el papel que desempeñan las personas tanto en la generación de riesgos cibernéticos como, en sentido contrario, en la protección frente a ellos. Es reconocer el poder colectivo de las personas para proteger a una organización lo que puede impulsar un cambio cultural en la resiliencia cibernética.
“Se pone mucho énfasis en la seguridad de los datos, y con razón, pero los riesgos cibernéticos van mucho más allá de eso”, afirma el director de riesgos de una empresa energética global. “Las interrupciones cibernéticas no son causadas únicamente por piratas informáticos. Las personas que a menudo no tienen mala intención —y no solo son empleados, también pueden ser contratistas e incluso clientes— forman parte de lo que constituye el riesgo cibernético. Pero si están comprometidas con el éxito de la empresa y les proporcionamos los conocimientos y procesos adecuados, estamos empezando a ver que pueden desempeñar un papel importante en la creación de una cultura de concienciación sobre el riesgo cibernético, animando a otros.”
Nunca debe asumir que los asuntos que no forman parte de su competencia habitual son responsabilidad de otra persona, porque quizá todos los demás piensen lo mismo. Y en esos casos, a menudo recae en alguien que no está capacitado para abordar todas las cuestiones relacionadas con la privacidad de los datos.”
Los líderes empresariales también deben elevar su nivel de exigencia. Según la Encuesta Global de Seguridad de la Información 2014 de Ernst & Young, menos del 20 por ciento de las organizaciones dispone de información en tiempo real sobre riesgos cibernéticos, y el 53 por ciento indica que las tareas de ciberseguridad generalmente no cuentan con recursos adecuados ni son realizadas por personal cualificado.
“La falta de compromiso de la dirección ejecutiva y de supervisión por parte del consejo de administración podría hacer que una empresa pierda el enfoque necesario y no realice la inversión requerida”, afirma Ruby Sharma, principal de Ernst & Young LLP y del EY Center for Board Matters. “Es responsabilidad del consejo cuestionar a la dirección para que asigne adecuadamente los recursos destinados a abordar los riesgos cibernéticos, en proporción a sus niveles de riesgo. Dado que la tecnología trasciende y afecta a todos los departamentos y estructuras corporativas, los consejos deberían comprobar si el plan de ciberseguridad de la dirección cuenta con un equipo multifuncional que involucre a líderes empresariales de todos los departamentos clave.”
Pensar más allá de las responsabilidades definidas
Un principio básico de la gestión de todos los riesgos interconectados es que las unidades de negocio deben trabajar juntas, no en compartimentos estancos. Fomentar el mismo tipo de iniciativa a nivel individual puede ayudar a las personas a comprobar de primera mano el papel que pueden desempeñar en la gestión de los riesgos cibernéticos. Jérôme Gossé, responsable de Seguridad y Privacidad Corporativa Global en EMEA de Zurich, afirma que existen muchas oportunidades para que las personas tengan momentos de ¡ajá! en relación con los riesgos cibernéticos“En una reunión reciente con un fabricante que suministra a grandes entidades de infraestructura energética, estábamos debatiendo y evaluando sus riesgos en materia de privacidad de datos, secretos comerciales y propiedad intelectual”, afirma Gossé. “En la mesa estaba el responsable de privacidad de datos, cuyas funciones incluyen la gestión de la confidencialidad de los datos de los empleados. Cuando le pregunté cómo gestionaban los datos confidenciales de los clientes —algunos de ellos extremadamente sensibles—, respondió: ‘Eso no forma parte de mi responsabilidad.’ Ese es un momento en que alguien debería darse cuenta de que puede marcar la diferencia. Si sabes que no es tu responsabilidad, ¿entonces de quién es? Nunca debes asumir que los asuntos que no forman parte de tu competencia habitual son responsabilidad de otra persona, porque quizá todos los demás piensen lo mismo. Y en esos casos, a menudo recae en alguien que no está capacitado para abordar todas las cuestiones relacionadas con la privacidad de los datos. Por otro lado, si haces un seguimiento para averiguar de quién es la responsabilidad y descubres que nadie la asume, entonces has identificado un riesgo cibernético y puedes alertar a las personas adecuadas.”
En la actualidad, la naturaleza emergente del riesgo cibernético es que se está volviendo sistémico, como lo eran los riesgos que llevaron a la crisis crediticia.”
En su trabajo, Gossé ha observado que no se puede juzgar la eficacia con la que una empresa gestiona los riesgos cibernéticos en función de su tamaño, sector o ubicación. Sin embargo, existen indicios reveladores del nivel de compromiso de los empleados y, por tanto, de la probabilidad de que sean proactivos en la gestión de los riesgos cibernéticos. “La cultura dentro de una organización se hace evidente muy rápidamente”, afirma. “Lo primero que analizamos en nuestro proceso de suscripción es si la dirección realmente entiende el riesgo cibernético. ¿Están genuinamente implicados? ¿Están al tanto de los incidentes con poca antelación? ¿O simplemente dejan que el departamento de TI se encargue solo? Si se percibe que la dirección no está comprometida, puede esperarse que los empleados tampoco lo estén, y ahí es donde se produce la mayor parte de la negligencia en materia de riesgo cibernético.”
Influenciadores que marcan la diferencia
Un enfoque empresarial para gestionar los riesgos cibernéticos amplía el alcance de la inclusión para incorporar nuevas ideas que de otro modo podrían quedar fuera del panorama, afirma Tim Stapleton, gerente global de suscripción de Responsabilidad Civil Profesional y de Directivos en Zurich, lo que ayuda a reforzar la prioridad en toda la empresa. “Se necesitan varias funciones involucradas en el proceso, y cuando eso sucede, distintos talentos empiezan a prestar atención, desde el director ejecutivo hasta el empleado de primera línea”, afirma Stapleton. “Es una combinación de grandes y pequeñas empresas que asumen un papel activo en la labor de seguridad de la información corporativa, no solo en la parte de TI. Requiere un enfoque más amplio para ayudar a reforzar la prioridad en toda la empresa.”Un estudio reciente del Ponemon Institute indicó que la participación de los consejos en la gestión del riesgo cibernético ayuda a reducir los costes de las brechas cibernéticas. ¿La razón? La ciberseguridad no es solo un problema de TI, sino también de gestión. El eslabón más débil suele ser las personas y la concienciación sobre el riesgo cibernético. Crear esa concienciación comienza con los fundamentos de la privacidad y seguridad de los datos: identificar a los propietarios de los datos, clasificarlos con la clasificación de seguridad adecuada y, después, tratarlos con el nivel de seguridad apropiado. Todos los empleados deben conocer los distintos enfoques que emplean los ciberatacantes, como los ataques de phishing, que engañan a los empleados para que descarguen malware, y saber qué hacer para evitar que los sistemas sean comprometidos.
Una perspectiva renovada
El enfoque de todos para uno y uno para todos en la gestión del riesgo cibernético también ayuda a protegerse frente a otro riesgo: trasladar la carga de la gestión del riesgo cibernético a los expertos técnicos, lo que constituye “una trampa”, afirma John Scott, director de riesgos de Global Corporate, Zurich. “Es importante entender que esto tiene que ver con las personas y los comportamientos, no solo con la tecnología.”“En los años posteriores a la crisis financiera de 2008 se puso de moda decir que se debió a un fallo en la gestión de riesgos. Pero había más que suficientes gestores de riesgos en las principales instituciones financieras implicadas, y todos hacían un trabajo muy cuidadoso al analizar la posición de riesgo específica de los productos financieros y las carteras. Lo que no estaban analizando era el panorama general, ni se daban cuenta de que se estaba acumulando un nivel insostenible de riesgo de crédito en todo el sistema financiero. En la actualidad, la naturaleza emergente del riesgo cibernético es que se está volviendo sistémico, como lo eran los riesgos que llevaron a la crisis crediticia. Esto está impulsado por varias tendencias, entre ellas el Internet de todo y el BYOD [traiga su propio dispositivo], que crean más puntos de entrada vulnerables a ataques, y la computación en la nube, donde las granjas de servidores suelen estar ubicadas conjuntamente o conectadas de forma que genera riesgo sistémico. Un ciberataque exitoso contra un proveedor clave de nube podría paralizar a muchas empresas en numerosas ubicaciones que utilizan ese servicio. Todo ello en conjunto cambia la naturaleza del riesgo y es razón suficiente para darse cuenta de que el debate sobre la gestión del riesgo cibernético debe comenzar a nivel del consejo de administración.”
Puntos clave
El poder colectivo de las personas para proteger a una organización puede impulsar un cambio cultural en la resiliencia cibernética.
Es responsabilidad del consejo cuestionar a la dirección para comprender la naturaleza estratégica y sistémica de la vulnerabilidad al riesgo cibernético de una organización y asignar correctamente los recursos para su gestión.
Todas las personas de una organización deben comprender la gestión del riesgo cibernético y asumir su responsabilidad en ella.
La ciberseguridad no es solo un problema de TI, sino un asunto de gestión. Que distintas funciones empresariales participen en la gestión del riesgo cibernético pone de relieve el papel fundamental que desempeñan las personas en la protección frente a los riesgos cibernéticos. No todo depende de la tecnología.
Este artículo se publica en colaboración con Zurich Knowledge Hub. La publicación no implica el respaldo de las opiniones por parte del Foro Económico Mundial.
Para estar al día con Agenda, suscríbase a nuestro boletín semanal.
Autores: John Scott es director de riesgos de Global Corporate. Tim Stapleton es gerente global de suscripción de Responsabilidad Civil Profesional y de Directivos en Zurich General Insurance. Jérôme Gossé es responsable de Seguridad y Privacidad de Global Corporate EMEA.
Imagen: Una mano se recorta en silueta frente a una pantalla de ordenador en esta ilustración fotográfica tomada en Berlín el 21 de mayo de 2013. REUTERS/Pawel Kopczynski.