Se prevé que la ciberdelincuencia cueste 10 billones de dólares a los gobiernos y las organizaciones para 2025.
Ante la aparición de nuevas ciberamenazas, los consejos de administración deben elaborar planes de ciberriesgo para garantizar una mayor ciberresiliencia de sus organizaciones.
Las estrategias de ciberriesgo deben estar alineadas con el análisis financiero y expresarse en un lenguaje claro y comprensible.
El industrial estadounidense Henry Ford II dijo una vez: «Lo mejor que podemos hacer es evaluar las probabilidades, calcular los riesgos que conllevan, estimar nuestra capacidad para afrontarlos y elaborar nuestros planes con confianza». Aunque Ford y otras personas de la Revolución Industrial estadounidense se enfrentaban a riesgos muy distintos de los del panorama empresarial digital actual, la incertidumbre de los riesgos y la mejor manera de gestionarlos siguen siendo una ventaja decisiva para el éxito empresarial.
En su encuesta de 2020 a los consejos de administración, Gartner, Inc. concluyó que los consejeros consideran la ciberseguridad la segunda mayor amenaza para sus empresas, solo por detrás de los riesgos relacionados con el cumplimiento normativo. La ciberdelincuencia ya le costó al mundo al menos 6 billones de dólares en 2021 y podría provocar daños anuales por valor de más de 10 billones de dólares para 2025. Jerome Powell, presidente de la Reserva Federal de EE. UU., destacó recientemente que «el riesgo que más vigilamos ahora es el ciberriesgo».
La ciberdelincuencia seguirá perturbando la economía mundial y generando incertidumbre. Para contener estas amenazas, los consejos deben aplicar estrategias eficaces que les permitan gestionar su exposición financiera y mitigar las repercusiones en sus negocios. Las estrategias de transformación digital que desarrollen las organizaciones deben estar a la altura de las ciberamenazas actuales y proteger de forma proactiva frente a perturbaciones graves.
Un camino hacia la ciberresiliencia
A medida que las ciberamenazas se intensifican y evolucionan, las empresas refuerzan sus presupuestos de ciberseguridad. Para obtener un rendimiento adecuado de estas cuantiosas inversiones, es fundamental contar con estrategias claras y eficaces para combatir la ciberdelincuencia. El primer paso es aclarar el debate sobre la ciberdelincuencia en el consejo de administración. La comunicación eficaz es uno de los pilares de los resultados positivos en los negocios. Desarrollar un lenguaje común para abordar las complejas cuestiones del ciberriesgo es esencial para lograr la ciberresiliencia. Esto exige convertir conversaciones confusas y técnicas, cargadas de matices y términos de seguridad, en análisis económicos precisos que muestren cómo los ciberataques ponen en peligro a las organizaciones desde el punto de vista financiero, a corto y largo plazo.
Para desarrollar la ciberresiliencia de una organización, el consejo de administración debe ejercer una supervisión adecuada a partir de un plan claro basado en análisis económicos. Sectores como el de los seguros basan las evaluaciones del ciberriesgo de sus criterios de suscripción en análisis establecidos y comprensibles de la exposición financiera. De este modo, los actores del sector asegurador están desplazando el debate sobre ciberseguridad, hasta ahora muy técnico y ambiguo, hacia un enfoque que permite a las empresas comprender y gestionar eficazmente su exposición financiera en términos empresariales accesibles. Si la exposición financiera derivada de las ciberamenazas está clara, a los consejos les resultará más fácil alinear las estrategias de ciberseguridad con métricas económicas de ciberriesgo.
Al formular sus planes de ciberresiliencia, los consejos harían bien en plantear a la dirección preguntas como estas:
«¿Cuál es nuestra exposición financiera a las ciberamenazas?»
«¿Qué ciberamenazas tienen más probabilidades de repercutir significativamente en las finanzas de nuestra empresa?»
«¿Qué nivel de exposición financiera estamos dispuestos a aceptar en toda nuestra empresa y nuestro ecosistema de proveedores digitales?»
«¿Cómo podemos alinear nuestro presupuesto, aplicar controles y optimizar las transferencias de riesgo para hacer frente a nuestra exposición al ciberriesgo?»
«¿Se están desarrollando nuestras iniciativas digitales de manera ciberresiliente?»
Definir en términos financieros el nivel de apetito de riesgo cibernético de la organización, basándose en su perfil de riesgo particular, y establecer medidas eficaces de corrección y mitigación para reducir la exposición financiera son pasos iniciales importantes al planificar la ciberresiliencia. En sus conversaciones con la dirección, los consejos deben incluir ciertos temas en el programa de ciberresiliencia. De forma continua, el consejo debe mantenerse al tanto de cómo utiliza la dirección el análisis del rendimiento de la inversión para ajustar el presupuesto de ciberseguridad a la reducción de la exposición financiera. También debe supervisar las medidas adoptadas para poner en práctica la estrategia de ciberseguridad.
Es importante recordar que el éxito de un enfoque financiero para supervisar el ciberriesgo variará según la experiencia del personal y el nivel de madurez de la ciberseguridad de la organización. Aun así, trabajar de este modo junto con la dirección puede ser una forma eficaz de abordar el impacto financiero de las ciberamenazas.
Un entorno regulatorio en evolución
En 2018, la Comisión de Bolsa y Valores de EE. UU. publicó orientaciones sobre la divulgación de información de ciberseguridad por parte de empresas cotizadas, con el fin de ayudarlas a preparar comunicaciones relativas a los ciberriesgos y los incidentes. Estas orientaciones señalan varias áreas de divulgación recomendadas, entre ellas la probabilidad de que se produzca un incidente cibernético y la magnitud potencial de los incidentes. También prestan atención a qué aspectos de la actividad y las operaciones de la empresa presentan ciberriesgos importantes, así como a los posibles costes y consecuencias de esos riesgos. Asimismo, buscan aclarar si las medidas preventivas adoptadas para reducir los ciberriesgos y sus costes asociados son adecuadas (incluida la capacidad de la empresa para prevenir o mitigar determinados ciberriesgos).
La normativa vigente y las políticas emergentes presionan a las empresas cotizadas para que afronten de lleno los desafíos cibernéticos. La exposición sistémica al ciberriesgo, cada vez mayor, da lugar a un número creciente de trámites legislativos que deben superar. Los programas eficaces de ciberseguridad permitirán a las empresas adelantarse a los acontecimientos y cumplir la legislación vigente. Un plan de ciberresiliencia basado en el análisis de la exposición financiera sentará las bases para divulgar información corporativa fiable y acorde con los requisitos normativos.
La Comisión de Bolsa y Valores de EE. UU. (SEC) está elaborando una propuesta de gobernanza del ciberriesgo para endurecer los requisitos de notificación de incidentes y de higiene cibernética. Una actuación más contundente de la SEC en materia de cumplimiento alentará a las organizaciones a desarrollar políticas y procedimientos para gestionar y reducir al mínimo la exposición al ciberriesgo. Las organizaciones se verán motivadas a redactar directrices internas y establecer defensas de forma proactiva, en consonancia con las tecnologías emergentes de ciberseguridad.
