La ciberseguridad es una preocupación importante para todas las organizaciones, y la colaboración es clave para abordar esta amenaza de manera eficaz.
Un informe sobre gobernanza cibernética del Foro Económico Mundial, PwC, la Asociación Nacional de Directores Corporativos y la Alianza para la Seguridad en Internet analiza cómo los miembros de los consejos de administración pueden gestionar los riesgos cibernéticos.
Aquí exploramos cómo las empresas pueden lograr la ciberresiliencia mediante la colaboración.
Un objetivo, un equipo.
La ciberseguridad eficaz se ha convertido en una responsabilidad compartida que exige trabajo en equipo y un compromiso firme con la colaboración interna y externa.
Hoy, los actores de amenazas atacan a organizaciones y sectores enteros con ciberataques cada vez más eficaces. Según el «Informe de riesgos globales 2022» del Foro Económico Mundial, las fallas de ciberseguridad se han convertido en una de las principales amenazas. Las empresas coinciden: el 70 % de los miembros de los consejos de administración considera que la ciberseguridad es un riesgo estratégico para la empresa, según una encuesta realizada por la Asociación Nacional de Directores Corporativos (NACD).
La trayectoria ascendente de la ciberdelincuencia no muestra señales de desaceleración. De hecho, el 60 % de los ejecutivos prevé que la ciberdelincuencia seguirá aumentando en 2022. En particular, los encuestados esperan más ataques contra servicios en la nube, intrusiones de ransomware y vulneraciones de infraestructuras críticas. Los actores de amenazas también están aprovechando nuevas vulnerabilidades de software peligrosas, como la vulnerabilidad Log4j, que puede permitirles ejecutar código de forma remota en sistemas y redes. También crece la preocupación de que los conflictos geopolíticos probablemente provoquen más ciberataques contra infraestructuras críticas.
En un informe publicado por el Foro Económico Mundial, PwC, la NACD y la Alianza para la Seguridad en Internet (ISA), identificamos seis principios que pueden ayudar a los miembros de los consejos de administración a gobernar los riesgos cibernéticos:
La ciberseguridad es un factor estratégico que impulsa el negocio
Comprender los factores económicos que impulsan el riesgo cibernético y su impacto
Alinear la gestión del riesgo cibernético con las necesidades del negocio
Garantizar que el diseño organizativo respalde la ciberseguridad
Incorporar conocimientos especializados en ciberseguridad a la gobernanza del consejo de administración
Fomentar la resiliencia sistémica y la colaboración
En este artículo profundizamos en el sexto principio: fomentar la resiliencia sistémica y la colaboración. Los riesgos sistémicos requieren resiliencia sistémica. Esto exige una dedicación decidida al esfuerzo colectivo y una gran resiliencia individual.
¿La buena noticia? Hay «acciones decisivas» que puedes incorporar para empezar a desarrollar la resiliencia en tu organización.
Sé un miembro colaborativo del equipo de ciberseguridad
La ciberseguridad eficaz comienza desde arriba. El director ejecutivo, el consejo de administración y otros altos directivos deben promover una cultura de ciberseguridad que fomente la colaboración en toda la empresa y el sector, así como con las partes interesadas públicas y privadas.
Crear una cultura de seguridad requerirá la participación de todos: el consejo de administración, la alta dirección, los responsables de seguridad de la información (CISO), los líderes de las distintas áreas de negocio y cada empleado. También tendrás que colaborar con las cadenas de suministro, los contratistas y otros terceros.
Cómo ayuda el Foro a los líderes a comprender el riesgo cibernético y fortalecer la resiliencia digital
El Centro de Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender la evolución de los riesgos cibernéticos y sus implicaciones sistémicas. Se centra en fomentar la comprensión y la confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a fortalecer la ciberresiliencia y abordar desafíos que requieren respuestas colectivas.
Dada la complejidad y el carácter sigiloso de las amenazas cibernéticas actuales, es probable que los consejos de administración necesiten cierta formación en ciberseguridad. Es posible que los CISO deban intervenir para ayudar a los altos ejecutivos a comprender las amenazas, sus posibles repercusiones empresariales y la función específica que cada ejecutivo puede desempeñar para mantener segura la empresa.
Sin embargo, la sensibilización no se limita a la alta dirección. La formación en ciberseguridad debe llegar a todos los empleados e incluir capacitación, desarrollo de competencias y oportunidades de promoción profesional.
La formación de los consejos de administración se ha vuelto urgente debido a las nuevas normativas que exigen divulgar información sobre ciberseguridad. En Estados Unidos, por ejemplo, la Comisión de Bolsa y Valores (SEC) ha propuesto normas para divulgar incidentes cibernéticos importantes y prácticas de gobernanza, estrategia y gestión de riesgos cibernéticos.
Las normas podrían exigir a las empresas que cotizan en bolsa que divulguen detalles sobre la supervisión del riesgo de ciberseguridad por parte del consejo de administración y sobre sus conocimientos especializados en ciberseguridad, si los hubiera. La información divulgada incluiría los procesos mediante los cuales se informa al consejo sobre los riesgos de ciberseguridad y la frecuencia con que los analiza. Una nueva ley exige que las entidades de infraestructuras críticas informen a la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) sobre las brechas cibernéticas importantes.
Cómo ponerlo en práctica
Dedicar más tiempo a debatir sobre seguridad en las reuniones del consejo de administración o de sus comités
Ofrecer formación a los miembros del consejo de administración para que adquieran más conocimientos sobre ciberseguridad
Usar lenguaje empresarial para abordar las amenazas cibernéticas
Crear planes para una colaboración eficaz
Confirmar que las métricas de rendimiento en ciberseguridad estén alineadas para todos los ejecutivos de la empresa, no solo para el CISO
Realizar ejercicios de simulación y actualizar el análisis de impacto en el negocio (BIA)
La formación en seguridad para los empleados es esencial. Pero la resiliencia exige más.
Los ejercicios de simulación, que utilizan ataques simulados para ilustrar la respuesta a las amenazas y los procesos de toma de decisiones, pueden ser una forma eficaz de que los miembros del consejo de administración practiquen las decisiones necesarias durante una crisis cibernética. Estos ejercicios pueden preparar a los líderes empresariales para actuar de forma adecuada, segura y rápida cuando se detectan amenazas reales. También pueden revelar carencias o debilidades en los planes de respuesta actuales.
Del mismo modo, un análisis de impacto en el negocio (BIA) puede ayudar a las organizaciones a desarrollar estrategias más específicas y eficaces para responder a incidentes y garantizar la continuidad del negocio. Los BIA establecen prioridades entre los sistemas, procesos e interdependencias empresariales para centrar las estrategias de defensa, respuesta y recuperación en los asuntos más importantes para la empresa.
Cómo ponerlo en práctica
Revisar y actualizar el BIA de la empresa cada año o siempre que se produzca un cambio importante en el negocio
Usar el BIA como base para la planificación de la ciberresiliencia
Realizar ejercicios de simulación a lo largo del año en distintos niveles de la organización (técnico, empresarial, alta dirección y consejos de administración) y con diversos escenarios de amenazas
Considerar la inclusión de terceros esenciales, como asesores jurídicos externos y fuerzas del orden, en algunos ejercicios
Establecer relaciones con grupos de intercambio de información, fuerzas del orden y organismos gubernamentales
Si los ciberdelincuentes comparten información sobre técnicas y herramientas de ataque —y lo hacen—, ¿por qué no deberías hacerlo tú? Compartir inteligencia sobre ciberamenazas y respuestas puede ser fundamental para adelantarse a los ciberdelincuentes. Las empresas no pueden defenderse por sí solas de los ataques de piratas informáticos poderosos.
Por ejemplo, los proveedores de infraestructuras críticas necesitan una cooperación y colaboración proactivas entre gobiernos, grupos de ciberseguridad, empresas del sector y organizaciones para combatir las amenazas geopolíticas y las amenazas de actores estatales.
La práctica de compartir información relacionada con la ciberseguridad está creciendo en todo el mundo. Hoy, el 84 % de las organizaciones de todo el mundo afirma participar en el intercambio de información entre los sectores público y privado. Entre las organizaciones que promueven esta cultura se encuentran el Centro de Ciberseguridad del Foro Económico Mundial, Interpol, la CISA de Estados Unidos, el Centro Nacional de Ciberseguridad del Reino Unido y Open Data Center, donde colaboran a escala mundial más de 1.500 gobiernos y organizaciones.
Debes establecer relaciones sólidas con organismos gubernamentales y fuerzas del orden locales, nacionales y mundiales para promover el intercambio de inteligencia. Además, las empresas pueden establecer vínculos con organizaciones sin fines de lucro dedicadas a la ciberseguridad, como los Centros de Intercambio y Análisis de Información (ISAC), algunos de los cuales ofrecen alertas de amenazas las 24 horas del día, los 7 días de la semana, herramientas para informar de incidentes y oportunidades para establecer contactos.
Compartir exige confianza. A menudo, las organizaciones se muestran reacias a revelar incidentes y respuestas a empresas del sector y organismos gubernamentales. Para crear una conciencia colectiva sobre ciberseguridad, deben cambiar las actitudes. Aunque la colaboración entre los sectores privado y público es habitual —el 45 % de las organizaciones participa en ella—, a menudo existe reticencia a divulgar información sobre brechas. Esa mentalidad debe cambiar.
Cómo ponerlo en práctica
Utilizar todos los recursos disponibles, incluidos los organismos gubernamentales, para identificar posibles amenazas
Participar en grupos de colaboración como la Agencia de la Unión Europea para la Ciberseguridad (ENISA), la Asociación de Seguridad de los Sistemas de Información (ISSA International), la Cloud Security Alliance, la Alianza para la Seguridad en Internet y WiCyS Women in Cybersecurity
Unirse a grupos de intercambio de información como el Information Security Forum, el Anti-Phishing Working Group y los ISAC
Los proveedores de infraestructuras críticas pueden unirse a organizaciones como el Programa Europeo para la Protección de Infraestructuras Críticas, el Grupo de Trabajo sobre Protección de Infraestructuras Críticas y el Programa de Intercambio y Colaboración de Información Cibernética del DHS (CISCP)
Establecer relaciones proactivas con las fuerzas del orden y los organismos gubernamentales antes de que se produzca una brecha
Cómo ayuda el Foro a los líderes a comprender los cambios en los sistemas financieros mundiales
El Centro para los Sistemas Financieros y Monetarios reúne a líderes para comprender la transformación de los sistemas financieros mundiales, desde la sostenibilidad y la resiliencia hasta la innovación y la digitalización.
Al fomentar la cooperación y el intercambio de conocimientos, el Centro ayuda a sus socios a alinear los sistemas financieros con la estabilidad económica a largo plazo y la prosperidad compartida.
Colaborar para una ciberseguridad colectiva
En el mundo digital hiperconectado actual, la ciberseguridad ya no es responsabilidad de una sola organización ni de un único ejecutivo.
La ciberseguridad es el máximo deporte de equipo, y es crucial que empresas, sectores y gobiernos se unan para defenderse de los actores de amenazas globales.
