La tecnología sigue desempeñando un papel fundamental en la configuración del panorama mundial de riesgos para las personas, los gobiernos y las empresas. Según el Foro Económico Mundial Informe sobre Riesgos Globales 2020, los ciberataques figuran como el segundo riesgo de mayor preocupación para las empresas a nivel mundial en los próximos 10 años. Los ciberataques contra infraestructuras críticas, clasificados como el quinto riesgo principal en 2020 por la red de expertos, se han convertido en la nueva normalidad en sectores como la energía, la sanidad y el transporte. Esto confirma una pauta registrada en años anteriores, en la que los riesgos cibernéticos consolidan su posición junto a los riesgos ambientales en el cuadrante de alto impacto y alta probabilidad del Panorama de Riesgos Globales del informe.
La superficie de ciberataque (la totalidad de la exposición de todos los sistemas de información e internet) crece a un ritmo acelerado. Paralelamente, la ciberdelincuencia, inherentemente sin fronteras, afecta a víctimas de todo el mundo, y la autoridad de las fuerzas del orden suele verse limitada por la jurisdicción, así como por las restricciones de los procesos legales para solicitar información más allá de las fronteras nacionales. Además, la ciberdelincuencia como servicio es un modelo de negocio en crecimiento, ya que la creciente sofisticación de las herramientas de la Darknet hace que los servicios malintencionados sean más asequibles y fácilmente accesibles para cualquiera.
En este contexto, una evaluación de ciberriesgo es fundamental para la estrategia de gestión de riesgos de cualquier organización. Una evaluación de ciberriesgo ofrece una visión fundamentada de la postura de ciberseguridad de una organización y proporciona datos para la toma de decisiones relacionadas con la ciberseguridad. Un proceso de evaluación bien gestionado evita costosas pérdidas de tiempo, esfuerzo y recursos, y permite una toma de decisiones informada.
Numerosos instrumentos jurisdiccionales, entre ellos el Reglamento General de Protección de Datos (RGPD) de la Unión Europea y la Ley de Protección de Datos (DPA) de 2018 en el Reino Unido, exigen la realización de evaluaciones de riesgos. Toda organización con presencia digital debe comprender su grado de preparación cibernética para garantizar que la dirección no subestime ni pase por alto riesgos que puedan causar daños significativos.
CENTRADO EN LA CIBERSEGURIDAD
Sin embargo, hoy en día la concienciación sobre la ciberseguridad es en gran medida insuficiente, y no existe un enfoque estándar entre los inversores y la dirección corporativa para evaluar la preparación en ciberseguridad de sus propias empresas o de su cartera de compañías. Una cultura centrada en la ciberseguridad, basada en la experiencia y la concienciación cibernéticas, es fundamental para priorizar la ciberseguridad en el proceso de inversión.
Incluir la evaluación del riesgo de ciberseguridad en el proceso de inversión y de toma de decisiones es un enfoque bastante reciente. El Foro Económico Mundial, junto con líderes y expertos en ciberseguridad del sector de la inversión, ha desarrollado una norma de diligencia debida para orientar la responsabilidad de los inversores en materia de ciberseguridad. Adaptada a las necesidades de los inversores y basada en principios, su objetivo es influir en el cambio de comportamiento, en lugar de limitarse a prescribir acciones específicas que deban adoptarse.
Según un informe del Foro Económico Mundial, contar con una experiencia adecuada en ciberseguridad es fundamental y esencial para aplicar los principios de diligencia debida en materia cibernética. Los inversores deben asegurarse de disponer de la experiencia necesaria en ciberseguridad, ya sea internamente o a través de expertos externos, tanto para ellos como para las empresas de su cartera de inversiones. La atención que los inversores prestan a la ciberseguridad debe ir mucho más allá del cumplimiento normativo y de las obligaciones legales, e incluir informes periódicos sobre los riesgos cibernéticos en evolución.
La experiencia debe evolucionar para garantizar que los esfuerzos por mantenerse al día con los avances en ciberseguridad sean óptimos. En general, se insta a los inversores a fomentar una cultura de concienciación sobre la ciberseguridad, ya que la mayoría de las empresas, los objetivos de inversión y sus activos clave se están digitalizando o ya operan en el ámbito digital.
Principios a seguir:
Incorporar una tolerancia al ciberriesgo: El inversor incorpora la tolerancia al ciberriesgo en su metodología de gestión de riesgos de cartera, de forma similar a otros tipos de riesgos supervisados, como los financieros y de gestión. Este umbral de tolerancia al ciberriesgo indica el apetito de riesgo del inversor y sirve de referencia al tomar decisiones de inversión.
Realizar la diligencia debida en materia de ciberseguridad: El inversor lleva a cabo una evaluación de ciberseguridad relevante para el negocio de la empresa objetivo, en términos de personas, procesos y tecnología, como parte de la evaluación de diligencia debida, y sopesa los posibles ciberriesgos frente a la valoración y los beneficios estratégicos de la inversión.
Determinar una estructura de incentivos adecuada: En las primeras fases de las negociaciones de inversión, el inversor define claramente las expectativas continuas en materia de ciberseguridad, los parámetros de referencia y los incentivos para las empresas de la cartera, dentro de los mandatos de inversión y las hojas de términos.
Integración segura y desarrollo: El inversor elabora y sigue planes de acción sistemáticos para integrar de forma segura el objetivo de inversión, según la naturaleza de la inversión. Estos planes de acción abarcan la integración segura de personas, procesos y tecnología, y definen el apoyo que el inversor ofrecerá para desarrollar las capacidades de ciberseguridad del objetivo. El alcance de la integración puede variar según el tipo de inversor (financiero frente a estratégico) y la motivación de la inversión.
Revisar periódicamente y fomentar la colaboración: El inversor revisa periódicamente las capacidades de ciberseguridad de las empresas de su cartera. Estas revisiones evalúan el cumplimiento de los requisitos de ciberseguridad establecidos por el inversor y sirven de base para compartir desafíos, mejores prácticas y lecciones aprendidas en materia de ciberseguridad en toda la cartera del inversor.
Invertir en innovación es una forma de reducir la probabilidad de interrupciones inesperadas, identificar 'océanos azules' (mercados asociados a altos beneficios potenciales) y contribuir a la obtención de los rendimientos deseados. Mientras que los emprendedores impulsan la innovación y la experimentación, los inversores desempeñan un papel importante al ayudarles a crecer, optimizar y consolidar sus negocios. Ayudar a los emprendedores a priorizar la ciberseguridad es una forma significativa en que los inversores pueden aumentar la probabilidad de éxito a largo plazo y la resiliencia de un producto en el mercado, fortaleciendo así el nombre de la marca y la confianza de los consumidores.
¿Qué hace el Foro Económico Mundial en materia de ciberseguridad?
El Centro para la Ciberseguridad ofrece una plataforma de confianza en la que los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a fortalecer la ciberresiliencia y a abordar desafíos que requieren respuestas colectivas.
Al invertir en una empresa tecnológica, los inversores deben considerar el grado de exposición al ciberriesgo para entender cómo gestionarlo y mitigarlo. Los inversores desempeñan un papel fundamental al orientar a las empresas de su cartera hacia una mayor consideración e implementación de la seguridad.
La experiencia en ciberseguridad comprende no solo el conocimiento técnico, sino también la concienciación en materia de ciberseguridad en la gobernanza y la inversión. Los principios y el marco de evaluación de la diligencia debida en ciberseguridad están diseñados para los inversores que deseen incluir la ciberseguridad entre los criterios de su consideración y decisión de inversión. Una de las principales barreras para priorizar la ciberseguridad es la falta de experiencia cibernética en el mercado. Sin embargo, todo inversor que comprenda la importancia de la ciberseguridad en nuestra era tecnológica puede plantear las preguntas adecuadas para evaluar y comprender la preparación en ciberseguridad de un objetivo, desempeñando así un papel significativo en la protección de nuestro futuro digital compartido.
