Los ciberataques van en aumento, pero muchas organizaciones no están preparadas para hacer frente a las amenazas.
Un balance de riesgos cibernéticos documenta los incidentes cibernéticos que podrían tener un impacto financiero en una organización.
Un nuevo informe explica cómo las organizaciones pueden gestionar y comprender mejor la economía de los riesgos cibernéticos.
Cada día leemos nuevos titulares sobre ciberdelincuencia o noticias de una nueva filtración de datos, y todos los datos indican que el número de hackers está creciendo. Si se tiene en cuenta el crecimiento exponencial de los datos y de los sensores conectados a redes, y se combina con el poder de la IA, la automatización, la realidad aumentada, los dispositivos médicos implantables y los vehículos autónomos, queda claro de inmediato que este problema debe seguir otra trayectoria.
Sin embargo, aunque los ciberataques son cada vez más frecuentes y los daños aumentan con una complejidad alarmante, sigue siendo un reto para las organizaciones saber cuál es la mejor manera de prepararse para estos ataques y mitigarlos. El problema es que a las organizaciones les resulta difícil equilibrar los riesgos cibernéticos con sus medidas. A menudo, las organizaciones subestiman o no comprenden los riesgos cibernéticos.
Las inversiones en ciberseguridad se consideran una disyuntiva frente a las inversiones en I+D de productos, el bienestar de los empleados o la rentabilidad para los accionistas. Sin embargo, la verdad es que todas estas inversiones deben considerarse de forma integral. Con ese fin, el Foro Económico Mundial y sus socios, en colaboración con NACD, ISA y PwC, han publicado Principios para la gobernanza de los riesgos cibernéticos por parte de los consejos de administración para ayudar a las organizaciones a gestionar mejor y comprender cómo desenvolverse ante el registro invisible de riesgos cibernéticos, que sigue creciendo. Un principio clave de estas directrices es que los consejos de administración deben «comprender los factores económicos que impulsan el riesgo cibernético y su impacto».
A medida que evoluciona la comprensión de los miembros de los consejos de administración sobre la economía de los riesgos cibernéticos, podrán impulsar decisiones basadas en los riesgos y liderar a las organizaciones para combatir los incidentes cibernéticos. Según una encuesta de PwC de 2022, el 42,5 % de las organizaciones de todo el mundo han declarado haber logrado avances significativos en la mejora de la evaluación que hacen de la comprensión de los asuntos cibernéticos por parte del consejo de administración.
¿Cómo puede ofrecer protección un balance de riesgos cibernéticos?
Elaborar un balance de riesgos cibernéticos es una de las «medidas decisivas» que pueden tomar los líderes para mejorar de inmediato la toma de decisiones sobre riesgos cibernéticos. Este sencillo cambio en la forma de pensar sobre los riesgos y en el comportamiento corporativo alinea la higiene cibernética con los mecanismos existentes de gestión de riesgos corporativos de tal manera que genera una comprensión más profunda, incentiva inversiones inteligentes y recompensa las buenas prácticas. Esta medida decisiva del balance de riesgos cibernéticos lo consigue haciendo visible el registro invisible de los riesgos cibernéticos ..
Si forma parte de un consejo de administración, anime a sus responsables de ciberseguridad a encargar a sus equipos que elaboren y cuantifiquen un balance de riesgos cibernéticos que documente, en términos financieros, los incidentes cibernéticos que podrían tener un impacto sustancial en la organización. Estos son los pasos clave para elaborar un balance de riesgos cibernéticos:
Defina un marco de cuantificación de riesgos cibernéticos adaptado al perfil de riesgo de su organización. Puede elaborarse aprovechando Factor Analysis of Information Risk (FAIR), junto con otras directrices del sector, como NIST SP 800-53 e ISO 27005. FAIR aprovecha la modelización de escenarios para ayudar a las organizaciones a recopilar distintos factores de riesgo, identificar sus correlaciones y cuantificar el impacto financiero.
Identifique las principales ciberamenazas pertinentes para su organización y evalúe su probabilidad, los activos críticos y la eficacia de los controles cibernéticos existentes para mitigarlas.
Consolide un balance que relacione la probabilidad de las ciberamenazas incluidas en el alcance con los riesgos cibernéticos expresados en términos financieros y con las inversiones en ciberseguridad previstas o existentes asociadas.
¿Qué está haciendo el Foro Económico Mundial en materia de ciberseguridad?
El Centro de Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en fomentar la comprensión y la confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a fortalecer la resiliencia cibernética y abordar desafíos que requieren respuestas colectivas.
Una vez completado el balance, mantenga conversaciones y revisiones periódicas en las que el coste financiero de los riesgos cibernéticos sirva de marco para comprender y traducir sus consecuencias inherentes en el resultado final. Este registro puede utilizarse para evaluar la eficacia de las inversiones actuales en seguridad y exigir a los directores de seguridad de la información (CISO) que justifiquen comercialmente las nuevas inversiones en ciberseguridad en términos que demuestren un ROI positivo. Por ejemplo, una inversión en un control de seguridad costará 2,5 millones de dólares durante los próximos tres años, pero reducirá en 7 millones de dólares los riesgos cibernéticos reflejados en el balance.
Aspectos clave que deben tenerse en cuenta al implementar un balance de riesgos cibernéticos
Exija a sus equipos que rindan cuentas por los resultados y reclame un retorno del capital en forma de una reducción real de los riesgos.
Faculte a los responsables de seguridad para que se esfuercen por conocer a fondo la empresa y crear aliados dentro de las unidades de negocio, ayudándolas a reducir el riesgo de una catástrofe cibernética que podría afectar sus resultados.
Acoja las preguntas que cuestionen los cálculos y reconozca que esto fomenta la participación de las áreas de negocio en la defensa de la seguridad.
Anime a los responsables de seguridad a validar los valores de riesgo colaborando con el director financiero (CFO) o los equipos de gestión de riesgos empresariales (ERM) para revisar y verificar las cifras de riesgo agregadas e incrementar su inversión en los resultados.
Mejore la colaboración entre las funciones del director de seguridad de la información (CISO), el director de tecnología (CTO) y el director de información (CIO), e implique a los equipos del CTO y el CIO para que aporten comentarios sobre el análisis de probabilidad e impacto de cada escenario cibernético y así perfeccionar las estimaciones y los datos del balance.
Una vez elaborado el balance y cuando los líderes de la organización hayan acordado las cifras, el equipo de seguridad debe seguir actualizándolo para incorporar escenarios adicionales y evaluar los casos de negocio de cada inversión en un control cibernético. Este marco ayudará a la organización a exigir un mayor rendimiento de las inversiones existentes en ciberseguridad y a retirar capacidades cibernéticas obsoletas que quizá hayan consumido talento valioso y capital más allá de su vida útil.
Preparar a su organización para el futuro
Esta medida decisiva funciona en las organizaciones gracias a su sencillez y, en lugar de promover el miedo, fomenta la comprensión mediante la transparencia sobre los riesgos cibernéticos existentes. Crea un marco para que los líderes participen en la solución utilizando un lenguaje que todos entienden: el lenguaje de los negocios. Según una encuesta de PwC de 2022, el 76,5 % de las organizaciones de todo el mundo han declarado haber logrado avances de moderados a significativos en el aumento del número de decisiones empresariales que contaron con aportaciones del equipo de gestión de seguridad de la empresa. Independientemente de los sectores y las ramas de actividad en que opere una organización, todos los directivos se enorgullecen del valor que crean y son conscientes de las amenazas a ese valor.
El balance de riesgos cibernéticos fomenta la confianza mediante la transparencia y una colaboración más sólida entre las áreas de seguridad, tecnología y generación de ingresos de la empresa, al alinear los intereses de la compañía con los de las personas que la protegen.
Las empresas deben combatir diversos riesgos, y los riesgos en el ciberespacio crecen cada día. Pero lo que suele ser cierto en el mundo físico también lo es en el ciberespacio: el conocimiento da poder. Cuanto más sepan y comprendan los consejos de administración sobre los riesgos cibernéticos y su impacto económico en sus empresas, mejor podrán gestionarlos.
