Fueron pacientes. Pasaron hasta cuatro meses desde que el primer ordenador de un banco se infectó con malware hasta que desapareció el dinero. Una vez dentro de la red, localizaron los ordenadores de los administradores para vigilar las pantallas, de modo que pudieran ver y grabar todo lo que ocurría en las pantallas de quienes gestionaban los sistemas de transferencia de dinero y, más tarde, imitar la actividad del personal para transferir efectivo. Así, pudieron utilizar la banca en línea o sistemas internacionales de pago electrónico para transferir dinero de casi 100 bancos de 25 países a sus propias cuentas. El dinero robado se depositó en bancos de China y Estados Unidos, y se utilizaron bancos de otros países como receptores. En total, se llevaron más de 1.000 millones de dólares.
Esta es la realidad a la que se enfrentan hoy las empresas. En los últimos 12 meses se ha producido una llamada de atención contundente para quien quiera escucharla.”
Que esto pudiera ocurrir demuestra la determinación de los ciberdelincuentes y su conocimiento de cómo explotar la interconectividad global. Que los malos, un sindicato criminal con participantes de tres países distintos, colaboraran a través de las fronteras y cometieran robos sin respetarlas indica hasta qué punto una gobernanza cibernética global y corporativa insuficiente les facilita el trabajo.
“Ahora mismo, los malos están ganando”, afirma Luca Ravazzolo, responsable global de instituciones financieras, suscripción de seguros generales, Zurich Insurance Group (Zurich). “Pueden ir adonde quieran y hacer lo que quieran, sin temor a que realmente los detengan, ya que por cada organización que detiene eficazmente los ataques, hay muchas otras que sufren brechas de seguridad.”
Un riesgo muy real e interconectado a escala mundial
Un informe publicado recientemente por Zurich y ESADEgeo, un destacado centro de estudios sobre gobernanza global, lleva por título «Gobernanza cibernética global: preparación ante nuevos riesgos empresariales» y expone con claridad el desafío que afronta la comunidad empresarial mundial. En resumen, el estado actual de la gobernanza cibernética es sumamente insuficiente, y las empresas de casi todos los sectores están expuestas a amenazas cibernéticas, con posibles daños enormes en términos de reputación, pérdidas físicas, responsabilidades legales y costes regulatorios. Si no se controlan, las crecientes amenazas cibernéticas ponen en riesgo el desarrollo técnico y económico a escala mundial.
“Esta es la realidad a la que se enfrentan hoy las empresas”, afirma Ravazzolo. “En los últimos 12 meses se ha producido una llamada de atención contundente para quien quiera escucharla. El número de incidentes de ciberseguridad detectados ha aumentado significativamente, y también ha aumentado la pérdida media por incidente. Los riesgos cibernéticos están cada vez más interconectados con otros riesgos globales, lo que obliga a las empresas a operar en un entorno mucho más complejo, porque el ciberespacio es global, pero los marcos de ciberseguridad no lo son.”
La delincuencia organizada es solo el comienzo del problema para las empresas. Se ha señalado a actores estatales y no estatales como responsables de varios ciberataques contra empresas, aunque a menudo resulta difícil identificar a los verdaderos autores. (También cabe señalar los papeles contradictorios que desempeñan algunos gobiernos como defensores y atacantes cibernéticos.)
La gobernanza corporativa no ha sido una parte tan relevante
de la ecuación como debería.”
El informe reconoce que el camino necesario hacia la cooperación internacional es largo. Las tensiones geopolíticas y las diferencias ideológicas sobre los enfoques de gobernanza impiden, por ahora, la existencia de instituciones globales de gobernanza sólidas y eficaces. Las instituciones existentes están centradas en Occidente: solo dos mecanismos globales se encuentran fuera de Europa y Norteamérica, y ambos están en el Sudeste Asiático.
Aunque el informe recomienda medidas que los responsables políticos deberían considerar —entre ellas, la creación de una Junta de Estabilidad Cibernética del G20 + 20, junto con medidas para protegerla de las tensiones geopolíticas; la creación de una versión cibernética de la Organización Mundial de la Salud; y el fomento de la cooperación público-privada—, también anima a las empresas a examinar su propia gobernanza cibernética.
Repensar la gobernanza desde la perspectiva empresarial
Los líderes empresariales tienen un papel que desempeñar en la gobernanza cibernética para generar consenso, pero el efecto más inmediato que pueden lograr es centrarse en la gobernanza de sus propias organizaciones. “Hasta la fecha, en la mayoría de las empresas la atención se ha centrado en reforzar las defensas cibernéticas desde el punto de vista tecnológico, y eso es importante”, afirma Linda Conrad, directora de Riesgo Empresarial Estratégico de Zurich Global Corporate. “Pero la gobernanza corporativa no ha sido una parte tan importante de la ecuación como debería. Además de las medidas recomendadas en el informe, otro componente igualmente relevante de la gestión del riesgo cibernético consiste en abordar el factor del comportamiento humano mediante una buena gobernanza interna de la conectividad cibernética, algo que las empresas pueden empezar a hacer de inmediato.”
Aunque a los empleados las políticas y la formación en ciberseguridad pueden parecerles rutinarias, son fundamentales, ya que el factor humano suele ser el eslabón más débil en la gestión del riesgo cibernético. Por ejemplo, una empresa que conoce Conrad sufrió una brecha de seguridad porque los hackers observaron que un grupo de empleados pedía comida en línea al mismo restaurante varias veces por semana. Los hackers aprovecharon esta rutina para acceder a la infraestructura cibernética de la empresa a través del sistema menos seguro del restaurante.
Esto indica a los líderes empresariales que deben ampliar su definición de interrupción del negocio.”
“Hay muchísimas formas de entrar”, afirma Conrad. “En ese caso concreto, una buena gobernanza habría enseñado a los empleados a no utilizar dispositivos corporativos para contactar con terceros de esa manera.”
A menudo, las empresas simplemente asignan a sus equipos de TI la responsabilidad de la ciberseguridad y les piden que construyan un cortafuegos mejor, en lugar de considerar la responsabilidad de cada empleado en cada ordenador de sobremesa, portátil y dispositivo móvil. Esta práctica cómoda, pero ineficaz, ha llevado a algunas empresas a reconocer que la estructura de gestión de riesgos debe evolucionar e incluir a alguien que tienda un puente entre el responsable de TI y el director de riesgos: un responsable de riesgos de TI.
Este tipo de puesto puede desempeñar sus funciones en los diversos ámbitos de una organización, como la cadena de suministro, que tiene sus propios problemas específicos de riesgo cibernético, y no solo relacionados con las brechas de seguridad cibernética. Según un estudio patrocinado por Zurich junto con la Business Continuity Organization, el 52 por ciento de los fallos de la cadena de suministro se debieron a interrupciones de TI/comunicaciones en 2014, lo que tuvo un impacto significativo en el comercio mundial y la rentabilidad corporativa.
“Esto indica a los líderes empresariales que deben ampliar su definición de interrupción del negocio”, afirma Conrad. “La mayor parte de la gestión del riesgo cibernético se ha centrado en la pérdida de datos, pero es importante tener una visión más integral de cómo otros tipos de incidentes cibernéticos pueden interrumpir la actividad de su empresa y de qué deben hacer para prevenirlos o recuperarse rápidamente si ocurren.”
El impacto más visible, inmediato y medible de una brecha de seguridad cibernética en una empresa que cotiza en bolsa es la reacción de los inversores. “Normalmente, tras un evento de riesgo importante, se esperaría que la recuperación del precio de las acciones comenzara unos 40 días después”, afirma Conrad. “Si para entonces no se observa, la recuperación será larga. Una organización preferiría no tener que recuperarse en absoluto, pero si ha incorporado resiliencia a su empresa —si dispone de fuentes de datos, capacidad informática y proveedores alternativos, y cuenta con planificación avanzada y pruebas activas de escenarios—, podría volver a la actividad habitual antes de lo que imagina.”
Conclusiones principales:
Los ciberdelincuentes están aprovechando la interconectividad y encontrando con éxito formas creativas de acceder a la infraestructura digital de las empresas.
La gobernanza global del ciberespacio es actualmente ineficaz, pero las empresas pueden centrarse de inmediato en la gobernanza cibernética corporativa.
Los líderes empresariales deberían ampliar su definición de interrupción cibernética de la actividad empresarial para que vaya más allá de la pérdida de datos.
La resiliencia frente a los riesgos cibernéticos interconectados puede reforzarse incorporando sistemas de respaldo para los elementos clave de la empresa, así como mediante la planificación avanzada y las pruebas de escenarios.
Este artículo se publica en colaboración con Zurich. La publicación no implica que el Foro Económico Mundial respalde estas opiniones.
Para mantenerse al día con la Agenda, suscríbase a nuestro boletín semanal.
Autor: Luca Ravazzolo es director global de Instituciones Financieras y Fusiones y Adquisiciones en Zurich Insurance Company Ltd. Linda Conrad es directora de Riesgo Empresarial Estratégico en Zurich Financial Services
Imagen: Un hombre escribe en el teclado de un ordenador. REUTERS/Kacper Pempel.