Los responsables de ciberseguridad son también líderes empresariales, y trabajan para proteger los datos sin interrumpir la actividad. Sin embargo, la complejidad y la magnitud de los retos actuales en materia de ciberseguridad resultan abrumadoras para muchas organizaciones, y no todos los directivos son profesionales de la ciberseguridad, ni necesariamente tienen que serlo. Lo importante es que quienes tienen la responsabilidad principal de la ciberseguridad en una organización comuniquen los riesgos de forma eficaz entre sus colegas y en toda la empresa.
La recientemente publicada Guía de ciberseguridad para líderes en el mundo digital actual del Foro Económico Mundial ofrece una guía práctica para afrontar los retos de ciberseguridad. ¿Es una defensa infalible contra los ciberataques y las brechas de seguridad? No, no existen soluciones milagrosas, pero sí contiene 10 principios básicos que los líderes empresariales pueden incorporar a las operaciones diarias de sus empresas. La aplicación rigurosa de estos principios, y su integración en la cultura corporativa, contribuirá en gran medida a reducir el riesgo y aumentar la ciberresiliencia.
Zurich Insurance Group utiliza un marco basado en el riesgo para lograrlo. Su Línea de Base Integrada de Seguridad de la Información (IISB, por sus siglas en inglés) unifica los esfuerzos de seguridad en toda la organización global y ayuda a los líderes empresariales —directores generales de unidades de negocio, directores de operaciones y directores financieros— a comprender y gestionar mejor los ciberriesgos críticos. Gestionada conjuntamente por la primera y la segunda línea de defensa, está compuesta por indicadores de riesgo fundamentales que abordan varios de los principios de la guía del Foro Económico Mundial. Su principal ventaja es que contribuye a alcanzar el décimo principio: crear una cultura de ciberseguridad.
Una cultura sólida de ciberseguridad no consiste en convertir a todos los integrantes de una organización en expertos técnicos en las últimas ciberamenazas, sino en tener presentes estos elementos esenciales:
Casi todas las personas de una organización tienen acceso a información valiosa para los ciberdelincuentes. Puede tratarse de información con valor propio, como datos personales identificables que pueden venderse en la internet oscura, o de información como credenciales que pueden explotarse para infiltrarse en los sistemas de red y acceder a otros sistemas críticos.
Muchas filtraciones de datos se producen por comportamientos de riesgo no intencionados, como elegir contraseñas débiles o compartir credenciales de acceso a cuentas.
Y, lo más importante, la mayoría de las ciberamenazas actuales alcanzan su objetivo a través de las personas, mediante la focalización en individuos con técnicas de phishing e ingeniería social.
Las organizaciones pueden fortalecer su cultura de ciberseguridad mediante las siguientes acciones:
Crear un marco para gestionar el riesgo que pueda ser comprendido en toda la organización, incluso por quienes no son profesionales de la ciberseguridad. No es necesario que sea una medición exhaustiva de todos los riesgos, pero sí debe utilizar indicadores de riesgo representativos de las principales áreas de riesgo, de modo que ofrezca tanto un termómetro general del ciberriesgo como garantice que forme parte del debate empresarial.
Asegurarse de que la ciberseguridad forme parte del diálogo en los niveles más altos de la organización. Si el director general habla de la concienciación sobre el phishing, es muy probable que esto se convierta en una prioridad en todos los niveles.
Crear una función de instrucción y concienciación en seguridad, y designar a un directivo sénior responsable de dirigir las campañas de concienciación en seguridad y supervisar la formación en esta materia. Este directivo debe estar facultado para trabajar con colegas de diversas áreas funcionales a fin de diseñar programas que atiendan las necesidades de las distintas especialidades de los empleados.
Crear programas de incentivos para recompensar y reforzar los comportamientos positivos en materia de seguridad. Por ejemplo, la formación mediante simulaciones de phishing podría hacerse más amena mediante la gamificación y pequeños premios para quienes denuncien más intentos de phishing.
Muchas empresas tienen un requisito de formación anual obligatoria, pero también pueden encontrar formas de ofrecer formación en seguridad atractiva y en pequeñas dosis a lo largo de todo el año. Esta puede impartirse mediante cuestionarios divertidos, viñetas o miniseries centradas en la seguridad.
Asegurarse de que los empleados conozcan el canal adecuado para informar con rapidez de actividades sospechosas y de que esta información sea fácil de recordar y de consultar. Mejor aún, ofrezca múltiples canales de comunicación: una mesa de ayuda de TI, una línea telefónica específica para denunciar ciberincidentes, el correo electrónico o, incluso, la mensajería SMS y las redes sociales.
Comunique, comunique y vuelva a comunicar. Para mantener la ciberseguridad en primer plano, es necesario comunicarla con frecuencia y de forma continua a través de múltiples canales. Los boletines internos, los blogs, la señalización digital y los carteles son excelentes medios para promover desde un consejo o eslogan diario sobre ciberseguridad hasta una entrevista con un alto directivo de la empresa sobre el fraude cibernético.
En cada empresa y en cada organización, cada persona es un defensor de la seguridad. Todos tenemos la responsabilidad de mantenernos informados y concienciados, y de apoyar al equipo de ciberseguridad en la implementación de las mejores prácticas.
