Las organizaciones que se conviertan en líderes del mercado en la economía digital contarán con líderes que prioricen y cultiven una cultura de ciberresiliencia.
La colaboración entre organizaciones en todo el ecosistema será clave para construir esta resiliencia.
Esto requiere la voluntad de compartir experiencias organizativas sobre riesgos y desafíos cibernéticos.
Con demasiada frecuencia, existe un nivel inadecuado de confianza entre las organizaciones de los ecosistemas digitales de los que dependemos. Esta dinámica nace de la aversión institucional a las pérdidas, el temor a la condena, una confianza frágil y la falta de ciberresiliencia.
El informe Perspectivas de ciberseguridad global 2022, elaborado en colaboración con Accenture, concluyó que:
Solo el 19 % de los líderes en ciberseguridad confía en que su organización es ciberresiliente
El 58 % de las personas encuestadas considera que sus socios y proveedores son menos resilientes que su propia organización
Al 88 % de las personas encuestadas le preocupa la ciberresiliencia de las pequeñas y medianas empresas (pymes) de su ecosistema.
No tiene por qué ser así. Si las organizaciones logran superar este estigma que las limita, todas se beneficiarán de la sabiduría colectiva y las capacidades combinadas de sus socios. Hacerlo es una contramedida necesaria frente a las consecuencias en cadena que se producen cuando se desmoronan ecosistemas frágiles e interconectados, como han demostrado tantos acontecimientos recientes.
¿Qué está haciendo el Foro Económico Mundial en materia de ciberseguridad?
El Centro de Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en fomentar la comprensión y la confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a reforzar la ciberresiliencia y abordar desafíos que requieren respuestas colectivas.
Colaboración cibernética y sabiduría compartida
Para superar esta prolongada desconfianza, las organizaciones deben aprovechar un tipo distinto de vulnerabilidad crítica al que no están acostumbrados los profesionales de la ciberseguridad: la vulnerabilidad de una organización que se deja ver de verdad. Deben estar dispuestas a ser transparentes dentro de su organización y su ecosistema sobre las deficiencias de su postura de ciberresiliencia. Deben fijar expectativas realistas sobre su exposición y ofrecer información clara sobre las consecuencias sistémicas de las interrupciones. También deben hablar abiertamente de sus experiencias con incidentes disruptivos y compartir las lecciones aprendidas.
La ciberresiliencia entra en juego cuando fallan las medidas preventivas de seguridad. En la economía digital, la capacidad de superar las interrupciones cibernéticas distingue a los líderes del mercado. Las organizaciones que convierten la vulnerabilidad en fortaleza tendrán la confianza necesaria para asumir riesgos razonables.
Convertir la vulnerabilidad institucional en fortaleza organizativa no es fácil. Por suerte, el Marco del Índice de Ciberresiliencia, publicado recientemente por el Foro Económico Mundial y elaborado en colaboración con Accenture, presenta seis principios para cultivar una cultura de resiliencia:
Evaluar y priorizar periódicamente los riesgos cibernéticos
Establecer y mantener los fundamentos básicos de seguridad
Integrar la gobernanza de la ciberresiliencia en la estrategia empresarial
Fomentar la resiliencia sistémica y la colaboración en todo el ecosistema
Asegurarse de que el diseño favorezca la ciberresiliencia
Cultivar una cultura de resiliencia
Dos principios en particular —cultivar una cultura de ciberresiliencia y fomentar la resiliencia sistémica y la colaboración— llevan mucho tiempo infravalorados. Ambos ofrecen a las organizaciones un punto de partida para convertir la vulnerabilidad en ciberresiliencia. Estos principios se ponen en práctica de la siguiente manera:
Cultivar una cultura de ciberresiliencia
Se empodera a los empleados para que comprendan y hagan suyas las conductas ciberresilientes. Este principio comprende las siguientes prácticas:
Ganarse la confianza mediante la rendición de cuentas y la transparencia: La dirección comunica de forma periódica, clara y abierta la estrategia, las prácticas y las operaciones de ciberresiliencia, así como sus éxitos y fallos. Esto genera y mantiene el conocimiento, la confianza, la apertura y el sentido de responsabilidad por el éxito de la organización.
Liderazgo consciente de la ciberresiliencia: El liderazgo cuenta con los conocimientos especializados y la autoridad para gestionar la ciberresiliencia de la organización conforme a las mejores prácticas, y tiene incentivos para ampliar sus conocimientos a medida que evoluciona el panorama.
El liderazgo impulsa la cultura: El liderazgo marca la pauta y establece los mecanismos organizativos necesarios para impulsar una cultura de capacidad y rendición de cuentas en materia de ciberresiliencia en todos los niveles de la organización.
Promover la conducta de los empleados: Los empleados comprenden los objetivos definidos de ciberresiliencia, se sienten responsables de la ciberresiliencia de la organización y están empoderados para adoptar conductas ciberresilientes en sus interacciones diarias sin temor a ser sancionados.
Ofrecer formación continua: Se enseña a los empleados los conceptos y las mejores prácticas de ciberresiliencia, su importancia y su papel en las responsabilidades diarias. Practican continuamente estas lecciones, que evolucionan con el panorama de la ciberresiliencia. Además, reciben comentarios oportunos sobre sus acciones.
Fomentar la resiliencia sistémica y la colaboración en todo el ecosistema
La organización comprende las interdependencias de su ecosistema, colabora con otras organizaciones y cumple su función en el mantenimiento de la resiliencia de todo el ecosistema. Este principio comprende las siguientes prácticas:
Confianza mediante el conocimiento, la rendición de cuentas y la transparencia: La organización mantiene la transparencia sobre sus prácticas, operaciones, éxitos y fallos con los socios de su ecosistema, y comparte las mejores prácticas para crear un conjunto más resiliente.
Colaboración en todo el ecosistema. La dirección crea una cultura de colaboración y fija objetivos estratégicos para compartir conocimientos e información. También identifica, comprende y mitiga los riesgos cibernéticos del ecosistema. La organización colabora activamente con sus homólogos del sector y con los responsables de formular políticas.
Capacidades de ciberresiliencia en todo el ecosistema. La organización mejora continuamente las capacidades colectivas de ciberresiliencia junto con otros miembros del ecosistema para compartir conocimientos, aumentar la concienciación y elevar los estándares generales de práctica. Esto aumenta las capacidades colectivas de todos los miembros del ecosistema y permite equilibrar adecuadamente la innovación, la preparación, la protección, la respuesta y la recuperación.
Estos principios y prácticas promueven el tipo de vulnerabilidad cibernética que necesitan las organizaciones y los ecosistemas. Además, no se trata solo de crear un ecosistema más capaz, sino también de aprovechar la oportunidad de obtener una ventaja competitiva sostenible. Las organizaciones que adoptan rápidamente la ciberresiliencia mostrando confianza en su vulnerabilidad pronto se convierten en líderes de su sector y establecen el estándar para su ecosistema.
ISO 31000:2018 subraya que el riesgo es el «efecto de la incertidumbre sobre los objetivos» y que, a pesar de lo que suele pensarse, ese efecto puede ser tanto positivo como negativo. En plena Cuarta Revolución Industrial, la interdependencia sistémica genera tanto costes potenciales derivados del riesgo cibernético como un valor potencial mucho mayor. En ambos sentidos, el efecto de las conductas organizativas resilientes sobre el futuro supera la suma de sus partes. Las organizaciones que nos conducirán al futuro digital son aquellas que no solo son lo bastante vulnerables como para admitir que no pueden hacerlo solas, sino también lo bastante seguras y astutas como para comprender que a las empresas les conviene ni siquiera intentarlo.
