Un estudio pionero en su tipo, basado en entrevistas a 37 CEO de grandes empresas globales de Estados Unidos, Europa y Asia, buscó comprender cómo piensan y sienten los CEO sobre la ciberseguridad.
Concluyó que los CEO se sienten incómodos tomando decisiones de ciberseguridad, prefieren hablar de resiliencia en lugar de ciberseguridad y depositan su confianza en sus directores de seguridad de la información (CISO).
Los hallazgos presentan una oportunidad para que los CISO animen proactivamente a sus CEO a avanzar hacia un estado de confianza informada.
“Nos encontrábamos en una situación angustiosa y tuvimos que tomar decisiones difíciles que ninguna empresa quiere afrontar,” declaró Joe Blount, director ejecutivo (CEO) de Colonial Pipeline, durante su comparecencia ante el Senado de Estados Unidos un mes después de que su empresa sufriera un ataque de ransomware. Colonial Pipeline es un importante propietario y operador de oleoductos responsable del transporte de casi la mitad del combustible para el transporte hacia el este de Estados Unidos.
Un ciberataque tan devastador sitúa a los CEO en el centro de atención. Bajo el escrutinio de los medios, los accionistas, los reguladores y otras partes interesadas, deben tomar decisiones existenciales basadas en información imperfecta y bajo una presión extrema, normalmente sin un conocimiento profundo de la ciberseguridad. Sin embargo, sorprendentemente, hasta donde sabemos, nadie ha preguntado de forma sistemática a los CEO cómo gestionan el riesgo de ciberseguridad y qué lecciones aprendieron tras haber sufrido un ciberataque grave.
En un estudio pionero en su tipo realizado por la Universidad de Oxford e ISTARI, se realizaron entrevistas de una hora de duración a 37 CEO de grandes empresas globales de Estados Unidos, Europa y Asia para comprender cómo piensan y sienten los CEO sobre la ciberseguridad. Es importante destacar que hablamos con nueve CEO que tuvieron que dirigir a su empresa durante un devastador ciberataque. Con la garantía de anonimato, hablaron con una franqueza y honestidad notables sobre las lecciones aprendidas y sus inquietudes y arrepentimientos.
Comprender cómo piensan y sienten los CEO sobre la ciberseguridad y la resiliencia es fundamental para los directores de seguridad de la información (CISO). Les permite apoyar de manera más eficaz a su CEO en la gestión del riesgo cibernético y les posibilita solicitar un respaldo ejecutivo más significativo para sus iniciativas cibernéticas.
Estas son tres cosas que los CISO deben saber sobre su CEO para forjar una asociación eficaz de resiliencia cibernética.
¿Qué está haciendo el Foro Económico Mundial en materia de ciberseguridad?
El Centro para la Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a los socios a fortalecer la resiliencia cibernética y a abordar desafíos que requieren respuestas colectivas.
1. Los CEO se sienten incómodos tomando decisiones de ciberseguridad
Aunque el 100 % de los CEO con los que hablamos insistieron en que se sienten responsables de la ciberseguridad, la mayoría (72 %) reconoció sentirse incómoda al tomar decisiones en materia de ciberseguridad.
La mayoría de los CEO han ascendido en la jerarquía a través de áreas empresariales tradicionales, como las finanzas, las operaciones o el marketing. Muy pocos comenzaron su carrera en tecnología, y mucho menos en ciberseguridad, para luego convertirse en CEO. Como resultado, muy pocos están familiarizados con las tecnologías de la información y los sistemas de ciberseguridad.
Un CEO de una empresa europea de 8000 millones de dólares resumió de forma clara: “El CIO (director de información) acudió a presentar en una reunión ejecutiva y nos preguntó cuántos servidores creíamos que tenía la empresa. La estimación más baja de la sala fue de cuatro, y la más alta, de 250. La realidad era de más de 4000.”
Pero cuando se produce un ciberataque grave, esa falta de familiaridad puede limitar la capacidad del CEO para tomar decisiones acertadas. La incomodidad del CEO representa una oportunidad para que los CISO le ayuden a sentirse más cómodo en este ámbito.
Pueden forjar una relación más sólida para integrar los imperativos tecnológicos y empresariales en la búsqueda de la resiliencia cibernética.
2. Los CEO quieren hablar de resiliencia, no de ciberseguridad
Cuando invitamos inicialmente a los CEO a ser entrevistados sobre ciberseguridad, muchos sugirieron espontáneamente que habláramos con su CISO en su lugar, o que al menos lo invitáramos. Al comenzar la reunión con el CEO, percibimos una ansiedad palpable ante la idea de abordar la ciberseguridad en solitario.
Pero un pequeño cambio en nuestro enfoque modificó significativamente la dinámica de las entrevistas: enmarcar nuestra conversación en términos de resiliencia empresarial. Cuando preguntamos, por ejemplo, qué hizo que su empresa fuera resiliente durante la pandemia de COVID-19, los CEO se sintieron después cómodos pasando a una conversación sobre resiliencia cibernética. Aunque las entrevistas estaban programadas para una hora, muchos CEO se quedaron más tiempo porque, según nos dijeron, disfrutaron del debate sobre la resiliencia empresarial y cibernética.
La importancia de la resiliencia cibernética fue destacada aún más por aquellos CEO que habían dirigido a su empresa durante un ciberataque grave. Uno de sus mayores arrepentimientos fue centrarse en la protección de la ciberseguridad, y no en la resiliencia. La experiencia de un ataque les hizo comprender que la protección perfecta de la ciberseguridad es un juego perdido. En cambio, empezaron a ver los ciberataques como una «sorpresa predecible» que puede afectar a cualquier organización. Por ello, desplazaron su prioridad estratégica hacia la mejora de la resiliencia cibernética de su organización.
Resiliencia cibernética describe la capacidad de una organización para anticiparse, resistir, responder y adaptarse a los ciberataques. El objetivo es minimizar el impacto, acelerar la recuperación y salir fortalecida.
Esta perspectiva de los CEO representa una oportunidad para que los CISO enfoquen su estrategia cibernética en términos de resiliencia, y no solo de protección de la ciberseguridad. Algunos CISO se han puesto en contacto con nosotros tras leer nuestra investigación, y uno de ellos dijo: “He orientado nuestra estrategia cibernética hacia la resiliencia cibernética, y el mensaje está calando muy bien en toda la empresa.”
3. Los CEO confían ciegamente en sus CISO, lo que es bueno y malo
Todos los CEO entrevistados confiaban en que sus equipos de ciberseguridad hicieran su trabajo. Eso es, en general, algo positivo. Sin embargo, aquellos CEO que habían sufrido un ataque lamentaron haber confiado sin reflexionar en sus equipos de ciberseguridad. La confianza ciega significaba para ellos que habían delegado la responsabilidad y la comprensión en expertos técnicos sin poder entenderlos ni cuestionarlos plenamente de forma crítica.
Cuando la empresa sufrió un ataque, la delegación ya no era una opción para los CEO. A diferencia de otras áreas más tradicionales, como el marketing o las finanzas, los CEO carecían de experiencia o intuición para avanzar en la crisis cibernética. Pero, tras haber confiado sin reflexionar en expertos en el pasado, el ataque implicó que tuvieran que poner el destino de la empresa en manos de personas que suelen estar mucho más abajo en la jerarquía de toma de decisiones, algo que normalmente no harían.
Esto también representa una oportunidad para que los CISO animen proactivamente a sus CEO a dejar de confiar ciegamente en sus equipos de ciberseguridad y a avanzar, en su lugar, hacia un estado de confianza informada.
Para lograrlo, los CISO pueden pedir a su CEO que encargue una auditoría externa, igual que encargan auditorías financieras. Este tipo de asesoramiento imparcial de expertos externos que informan de sus conclusiones directamente al CEO genera confianza informada entre el CEO y el CISO, al tiempo que descubre los puntos ciegos que pueda tener la empresa.
