El «fallo de la ciberseguridad» sigue figurando como una amenaza crítica, por lo que es vital que los altos directivos se tomen en serio cómo abordar el problema, afirma el director de Industria y Alianzas del Centro de Ciberseguridad del Foro Económico Mundial.
Las bajas barreras de entrada, las grandes recompensas y un riesgo relativamente bajo de ser procesados hacen que la ciberdelincuencia resulte atractiva para los actores maliciosos.
Los líderes empresariales deben comprender la ciberresiliencia, darle prioridad e integrarla en las principales decisiones estratégicas y operativas.
Durante demasiado tiempo, la ciberseguridad se ha percibido como un problema informático y se ha delegado en especialistas en tecnología. Sin embargo, a medida que aumenta la amenaza, debe entenderse no solo como una cuestión técnica, sino también como una cuestión de estrategia, cultura y cooperación. Esto exige que los líderes empresariales asuman un papel de liderazgo en la gestión del ciberriesgo en sus empresas, para proteger la economía digital de la que dependen cada vez más las personas, las organizaciones y los países. De hecho, un liderazgo eficaz —en materia cibernética y en otros asuntos tecnológicos— será cada vez más decisivo con el paso del tiempo.
Esto es especialmente importante porque el ritmo del cambio se está acelerando, sobre todo en el ámbito digital. Hay indicios de una digitalización creciente por todas partes. Según DataReportal, una empresa de investigación, más de cinco mil millones de personas en todo el mundo utilizan Internet, lo que significa que más del 63% de la población mundial está ahora conectada. La digitalización también ha sido fundamental para la transformación empresarial. Según Statista, otra empresa de investigación, el gasto mundial en transformación digital alcanzará los 2,8 billones de dólares en 2025.
Sin embargo, en medio de estas tendencias acecha otra más siniestra: los actores maliciosos buscan activamente explotar las vulnerabilidades de las personas y las organizaciones. La naturaleza del ciberespacio favorece a los delincuentes por varias razones.
En primer lugar, la barrera de entrada es baja. Por tan solo 10 dólares, se pueden comprar ataques sencillos en la web oscura; incluso los sofisticados cuestan apenas unos cientos de dólares (el llamado «ciberdelito como servicio»).
En segundo lugar, el riesgo de ser procesados es relativamente bajo. A diferencia de los delitos físicos, en los que la víctima y el autor se encuentran en la misma jurisdicción, en la ciberdelincuencia un delincuente radicado en un país puede lanzar un ataque contra una organización de otro y transferir las ganancias a un tercer país. Esto dificulta el procesamiento (y, por cierto, hace aún más importante reforzar la colaboración entre el sector privado y los organismos encargados de hacer cumplir la ley en todas partes).
En tercer lugar, las recompensas son atractivas. Según Sophos, una empresa de seguridad informática, el pago medio de un rescate por parte de las organizaciones afectadas por programas de secuestro es de casi 234.000 dólares, que pueden pagarse con criptomonedas difíciles de rastrear.
Aunque estos problemas no son nuevos —la ciberdelincuencia existe desde hace décadas—, resultan cada vez más alarmantes a medida que avanza la tecnología. Podría decirse que el punto de inflexión que convirtió la ciberseguridad en una preocupación prioritaria para los líderes empresariales de todo el mundo llegó con la filtración, en 2017, del exploit EternalBlue, desarrollado por la Agencia de Seguridad Nacional de EE. UU. Esta dio lugar al ataque del programa de secuestro WannaCry, que afectó al Servicio Nacional de Salud del Reino Unido, así como al ciberataque NotPetya, que afectó a varias organizaciones de Ucrania y otros lugares. No sorprende que los «ciberataques» y el «fraude o robo de datos» figuraran entre los cinco riesgos más probables en el Informe de riesgos globales 2018.
Dada la escasez de talento de calidad, la alta dirección debe invertir en captar y desarrollar el talento existente en las organizaciones
Akshay Joshi
Este problema no desaparecerá por sí solo. Al contrario, la frecuencia y la gravedad de los ciberataques de los últimos años han cambiado la percepción de los líderes sobre las ciberamenazas. Según el Informe de riesgos globales 2022, el «fallo de la ciberseguridad» sigue figurando como una amenaza crítica para el mundo a corto y medio plazo. El hecho de que la ciberseguridad parezca descender en la clasificación cuando se pregunta a los encuestados por el largo plazo apunta a un punto ciego en la percepción de los riesgos, y no a que la amenaza vaya a desaparecer por arte de magia.
Las diferencias en la percepción de los ciberriesgos son reales. El informe Panorama de la ciberseguridad global 2022 del Foro indica que, aunque el 85% de los líderes en ciberseguridad está de acuerdo en que la ciberresiliencia es una prioridad empresarial para su organización, conseguir el respaldo de quienes toman decisiones al priorizar los ciberriesgos frente a la pluralidad de otros riesgos sigue siendo un desafío importante. Además, en cuanto a la ciberresiliencia, el 92% de los ejecutivos empresariales encuestados consideró que estaba integrada en las estrategias de gestión de riesgos empresariales, pero solo el 55% de los líderes en ciberseguridad estuvo de acuerdo.
Debemos poder cerrar esta brecha si queremos construir organizaciones ciberresilientes. Para ello, los directores ejecutivos, los consejos de administración y otros miembros de la alta dirección deberán cambiar de mentalidad. En lo que respecta a los ciberataques, la pregunta no es «si» ocurrirán, sino «cuándo». Por tanto, hay que pasar de centrarse en los ciberriesgos a crear ciberresiliencia. Al fin y al cabo, en un entorno donde los ciberataques son inevitables, prepararse para ellos es sin duda crucial, pero también lo es institucionalizar mecanismos para responder y recuperarse.
Estas son cinco medidas que la alta dirección de las organizaciones debería priorizar para incorporar la ciberresiliencia en sus organizaciones:
Reconocer la ciberseguridad como una prioridad estratégica empresarial
Un alto ejecutivo de un gran conglomerado industrial con sede en Asia, que participa en alrededor de 10 operaciones corporativas al año, señala que los equipos de ciberseguridad son los últimos en realizar una diligencia debida de la organización objetivo, si es que la realizan. Como resultado, los adquirentes pueden acabar teniendo que abordar numerosas vulnerabilidades al intentar integrar las empresas objetivo en la entidad matriz, lo que a menudo genera costos considerables e indeseados.
Los inversores afrontan una situación similar: rara vez realizan una diligencia debida en materia de ciberseguridad antes de invertir. En 2019, el Foro publicó un informe, Incentivar la innovación responsable y segura: principios y orientaciones para inversores, con el propósito de ayudar a abordar esta cuestión. La lección es que el ciberriesgo es un riesgo empresarial: hay que comprenderlo, priorizarlo e integrarlo en las principales decisiones estratégicas y operativas.
Garantizar que la gobernanza de la ciberseguridad sea una prioridad del consejo de administración
En la mayoría de las organizaciones, el director de seguridad de la información (CISO) asume la responsabilidad de la ciberseguridad. Sin embargo, como sucede con la mayoría de las cuestiones estratégicas, el consejo de administración y la alta dirección de las organizaciones deben marcar la pauta, desarrollar mecanismos para gobernar los ciberriesgos y asumir la responsabilidad de la ciberresiliencia de la empresa.
El año pasado, el Foro colaboró con la Asociación Nacional de Directores Corporativos, la Alianza para la Seguridad en Internet, PwC y sus socios globales para elaborar un conjunto de seis principios de consenso que ayuden a los directores a comprender la situación actual de la ciberseguridad de su organización, ejercer su función de supervisión y fijar objetivos futuros.
Además, la Comisión de Bolsa y Valores de EE. UU. propuso recientemente nuevas normas que exigirían divulgar la gobernanza de la ciberseguridad de una empresa en los niveles del consejo de administración y la dirección. Una vez aprobadas, estas normas destacarán el papel del consejo en la supervisión eficaz de la gestión de los ciberriesgos y garantizarán que estos sigan siendo parte integral de la estrategia empresarial general.
Fomentar una cultura de ciberresiliencia
La gestión eficaz del ciberriesgo exige abordar tres elementos clave: tecnología, procesos y personas. Estas últimas son posiblemente el eslabón más débil de la cadena. Según Cybint, una empresa de formación y educación en ciberseguridad, el 95% de las brechas de ciberseguridad se debe a errores humanos. Naturalmente, es crucial capacitar a los empleados para que comprendan y adopten comportamientos que contribuyan a la ciberresiliencia de la organización.
Para cambiar la cultura, la alta dirección debe marcar la pauta y establecer mecanismos que promuevan la responsabilidad por la ciberresiliencia en todos los niveles de la organización. La transparencia y la comunicación sobre la estrategia, las prácticas y los conocimientos en materia de ciberresiliencia pueden contribuir a que los empleados se sientan responsables.
Por último, no se puede exagerar la importancia de la formación continua para sensibilizar a los empleados sobre los conceptos de ciberresiliencia y las mejores prácticas.
¿Qué hace el Foro Económico Mundial en materia de ciberseguridad?
El Centro de Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en fomentar la comprensión y la confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a reforzar la ciberresiliencia y abordar los desafíos que requieren respuestas colectivas.
Crear una fuerza laboral de calidad en ciberseguridad
Hay una grave escasez de talento en ciberseguridad en todo el mundo. Según el estudio de la fuerza laboral en ciberseguridad de 2021 de (ISC), todavía hay un déficit de más de 2,7 millones de profesionales, y la fuerza laboral debe crecer un 65% para poder defender eficazmente los activos críticos de las organizaciones.
Al preguntarles si su organización contaba con las competencias necesarias para responder a un ciberataque y recuperarse de él, la mitad de los encuestados en el Panorama de la ciberseguridad global 2022 del Foro afirmó que les resultaría difícil responder debido a la falta de competencias en su equipo. Menos de una cuarta parte de las empresas con entre 5.000 y 50.000 empleados «cuenta hoy con las personas y las competencias que necesita».
Dada la escasez de talento de calidad, la alta dirección debe invertir en captar y desarrollar el talento existente en las organizaciones. En un mercado favorable a quienes buscan empleo, las condiciones laborales adecuadas, que incluyan una combinación de los factores de motivación «intrínsecos» y «extrínsecos» que, según el autor estadounidense Dan Pink, impulsan la motivación, son esenciales para garantizar la satisfacción y la retención de los empleados.
También es necesario idear soluciones innovadoras que ofrezcan al talento existente vías para hacer carrera en ciberseguridad. Para contribuir a ello, Salesforce, Fortinet, la Global Cyber Alliance y el Foro Económico Mundial han creado el Centro de aprendizaje de ciberseguridad, que ofrece módulos gratuitos y orientados al desarrollo profesional para que las personas puedan acceder a estos puestos tan solicitados.
Incentivar la colaboración entre los sectores público y privado
La ciberdelincuencia es un negocio, y los ciberdelincuentes colaboran compartiendo información sobre técnicas y herramientas de ataque. Para anticiparse a las ciberamenazas, es necesario que los actores públicos y privados colaboren más en el ecosistema en general.
El valor de las alianzas está demostrado. En el informe Panorama de la ciberseguridad global 2022, más del 90% de los encuestados afirmó haber recibido información útil de grupos externos de intercambio de información o de sus socios. Un significativo 85% de los encuestados estuvo de acuerdo en que estaría dispuesto a actuar con mayor transparencia y cooperar con las fuerzas del orden si eso permitiera castigar más severamente la ciberdelincuencia.
Sin embargo, también existen importantes obstáculos para la colaboración; por ejemplo, las restricciones normativas y los límites legales suelen impedir el intercambio de información. La alta dirección debe promover la colaboración en materia de ciberseguridad y abordar las barreras organizativas que limitan el intercambio con los actores del sector, entre ellos y con las agencias nacionales de ciberseguridad y las fuerzas del orden. Estas alianzas no solo ayudan a mejorar la preparación, sino que también son muy útiles durante una crisis, cuando el apoyo del ecosistema en general puede marcar la diferencia.
Todo esto convierte la ciberseguridad en una cuestión no solo técnica, sino también de estrategia, cultura y cooperación.
Las empresas líderes del siglo XXI serán aquellas que cuenten con el liderazgo adecuado para priorizar tanto la ciberseguridad como la ciberresiliencia.
