La comunicación honesta entre los miembros del consejo y los directores de información es fundamental para una buena ciberseguridad.
Los expertos en ciberseguridad deben transmitir sus conclusiones mediante una narrativa no técnica y presentar un caso de negocio pertinente.
Los líderes empresariales deben aspirar a una cultura de conciencia cibernética que impregne toda la organización.
En un contexto de creciente tensión geopolítica, el auge del trabajo híbrido y la demanda de los empleados de estar conectados en todo momento y en cualquier lugar, las organizaciones se enfrentan a una tarea especialmente exigente en la gestión de sus riesgos cibernéticos.
Para los bancos, esto significa que el modelo tradicional de gestión de riesgos de tres líneas de defensa está sometido a la mayor presión de su historia: la primera línea corresponde al Director de Seguridad de la Información (CISO), que es responsable de los riesgos y los gestiona; la segunda línea corresponde al Director de Riesgos de Seguridad de la Información (CISRO), que ejerce la función de cuestionamiento y supervisión; y la tercera línea ofrece garantía independiente. Dada la interconexión del sector financiero y su condición de objetivo para los actores de amenazas, es fundamental que procuremos mejorar continuamente nuestra resiliencia y garantizar la sostenibilidad de nuestros controles.
Por ello, la relación entre el presidente del consejo y el CISRO es importante, ya que este último debe transmitir al primero la confianza de que la organización gestiona adecuadamente su riesgo cibernético. Sin embargo, pese a su creciente importancia, muchos consejeros siguen considerando la ciberseguridad un tema complejo y ajeno a su experiencia. Una comunicación honesta y periódica entre ambos puede ayudar a salvar esta brecha.
Desglosar los conceptos complejos de ciberseguridad en términos comprensibles
Los CISRO y sus equipos directivos pueden ayudar mediante la narrativa: desglosando los conceptos complicados de ciberseguridad en actualizaciones breves, como documentos de gobernanza y notas informativas que expliquen la relevancia para el negocio de las iniciativas de reducción de riesgos o de los cambios regulatorios.
La ciberseguridad conlleva un cierto nivel de tecnicismo y complejidad, pero es crucial que los líderes en materia cibernética comuniquen con impacto e influencia y sepan traducir lo técnico en términos comprensibles, de modo que los consejeros puedan cuestionar con criterio y desempeñar su función con mayor eficacia.
Existen medidas prácticas que ayudan a animar a los miembros de los comités de gobernanza a participar de forma más eficaz en la gestión del riesgo cibernético. Por ejemplo, crear plantillas reutilizables para la presentación de documentos; elaborar mensajes clave que puedan modificarse y actualizarse en cada sesión; y formular preguntas en un lenguaje sencillo: «¿Qué salió bien?», «¿Qué podría haber salido mejor?» y «¿Cuáles son las implicaciones para el negocio?».
Aunque esto puede suponer un reto para quienes están inmersos en la resolución directa de problemas técnicos complejos en el negocio, ofrecer esta visión estratégica permite a los miembros del consejo utilizar su experiencia como líderes empresariales para analizar el riesgo cibernético con conocimientos procedentes de otros tipos de riesgo.
Ayudar a los consejos a desarrollar una comprensión estratégica
Para que los consejos puedan formular preguntas exigentes y contundentes, las sesiones de concienciación a medida pueden permitirles comprender con eficacia las implicaciones para el negocio, las métricas de apetito de riesgo y los objetivos de reducción de riesgos. Y aunque la experiencia interna generará materiales y escenarios relevantes para el negocio, las perspectivas de fuentes externas, ya sean mesas redondas sectoriales o un «asesor en ciberseguridad» experto, son fundamentales para mantenerse al día en las buenas prácticas y las normas.
En línea con los renovados Principios para la gobernanza del riesgo cibernético en los consejos del WEF, Standard Chartered ha utilizado en los últimos años un foro interno periódico para que los miembros del consejo lleven a cabo debates guiados sobre aspectos de actualidad del riesgo cibernético. Al crear un entorno en el que estén presentes los principales interesados de las tres líneas de defensa y en el que se acojan y faciliten todas las preguntas por parte de un experto en ciberseguridad con experiencia, el foro ha demostrado ser una forma eficaz de desarrollar la pericia del consejo, complementada con un abanico más amplio de actividades de participación y concienciación.
Estos programas siguen un enfoque combinado: estratégico y a largo plazo en lugar de reactivo en su planteamiento, centrado en desarrollos tecnológicos y empresariales más amplios, y que también hace referencia a brechas o incidentes recientes de gran repercusión en el sector y en terceros, que a menudo ya están en el radar de los miembros del consejo.
Construir una cultura sólida de riesgo
Más allá de estas interacciones formales, los líderes en materia cibernética deben ser líderes reflexivos y conscientes dentro de la empresa, e impulsar la creación de una cultura de conciencia cibernética en la organización.
Una cultura sólida permite a los altos directivos dejar de limitarse a «marcar el tono desde la cúspide» e inculcar, en cambio, una mentalidad consciente del riesgo cibernético en una organización receptiva que ya no necesita que se la convenza de la importancia de la ciberseguridad. Esto contribuye a integrar de forma natural el riesgo cibernético en el pensamiento y las acciones cotidianas. Interiorizar esta forma de pensar de abajo arriba, complementando los mensajes de arriba abajo, reforzará la resiliencia cibernética de las organizaciones a largo plazo.
En definitiva, es importante que exista una relación constructiva y exigente. Para el CISRO, la comunicación con el consejo debe ser transparente, adaptada y traducible. Los logros y los fracasos deben describirse de manera precisa y equilibrada, centrada en el negocio. Los informes al consejo deben adaptarse al foro y al contexto específicos, y deben responder a la pregunta «¿Y qué?», vinculando los riesgos con los objetivos generales de la empresa. En el caso de los bancos y las entidades del sector de servicios financieros, también es clave asegurar que la vertiente regulatoria esté bien cubierta.
¿Qué hace el Foro Económico Mundial en materia de ciberseguridad?
El Centro de Ciberseguridad ofrece una plataforma de confianza en la que los líderes se reúnen para comprender la evolución de los riesgos cibernéticos y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a reforzar la resiliencia cibernética y a afrontar retos que requieren respuestas colectivas.
Para el presidente, la clave es abordar el tema con curiosidad. Esta capacidad ayuda a mantener el diálogo honesto, a profundizar en la comprensión de los conceptos y los ámbitos de interés cibernéticos, y a impulsar a los equipos de ciberseguridad a seguir comprometidos con la gestión adecuada del riesgo. Todo ello debe conjugarse en una visión estratégica convincente para la ciberseguridad, que marque tanto la dirección a largo plazo como las prioridades a corto plazo de la organización. El presidente y el CISRO pueden entonces asegurar que esta visión esté alineada con las necesidades del negocio, posicionando la ciberseguridad como un elemento esencial para el éxito futuro.
«La ciberdelincuencia generalizada y la inseguridad cibernética» se encuentra entre las 10 principales amenazas mundiales, según el Informe sobre Riesgos Globales 2023. Lea el informe para obtener más detalles.
