El panorama de amenazas cambia rápidamente y las empresas deben prepararse para los riesgos emergentes.
La mala comunicación entre los profesionales de TI y los altos directivos puede hacer que se pasen por alto los riesgos de ciberseguridad.
Para que la ciberseguridad sea realmente eficaz, debe formar parte de la cultura de una organización.
Los miembros de los consejos de administración y los altos directivos se enfrentan habitualmente al reto de gestionar los objetivos empresariales y, al mismo tiempo, mantener satisfechos a los inversores y accionistas. Sus prioridades se centran en metas empresariales como aumentar la rentabilidad de la empresa, aventajar a la competencia, buscar la próxima idea innovadora, fomentar la implicación de los empleados y poder repartir dividendos a los accionistas en un entorno empresarial duro y desafiante. Su manera de pensar los lleva a ver las cosas desde una perspectiva empresarial.
Lamentablemente, esto no favorece a los profesionales de la ciberseguridad, cuyo enfoque suele centrarse de manera más limitada en los objetivos técnicos. Muchos no se toman el tiempo para entender cómo alinear sus metas con los objetivos estratégicos generales de la empresa. Como resultado, a menudo los profesionales de TI no pueden demostrar el impacto neto de los posibles riesgos de seguridad en el negocio. Por este motivo, las necesidades de seguridad suelen pasar inadvertidas para los directivos y los miembros del consejo, y solo se abordan cuando ya se ha producido un incidente grave.
En muchas empresas, la falta de comunicación derivada de la incapacidad para comprender las conexiones entre los objetivos técnicos de una empresa y sus metas estratégicas ha provocado una gran brecha entre el consejo de administración, los altos directivos y los miembros del equipo de ciberseguridad. Pero no tiene por qué ser así.
La ciberseguridad no es un problema técnico, sino empresarial
El panorama de amenazas cambia rápidamente, lo que dificulta que las organizaciones se anticipen a los riesgos emergentes de hoy. Muchas empresas creen que la respuesta a este desafío es invertir más dinero en el problema e implementar diversas soluciones de seguridad para intentar prevenir los ataques.
Sin embargo, los ciberdelincuentes suelen tener éxito no porque sus métodos de ataque sean tan sofisticados que engañen a las soluciones de seguridad, sino porque persisten problemas fundamentales de seguridad corporativa sin resolver. Algunos ejemplos son las conductas problemáticas de los usuarios finales (p. ej., no detectar correos electrónicos de phishing), la falta de seguridad en la cadena de suministro y las deficiencias en los procedimientos, por las que los empleados pueden tener a su disposición la tecnología adecuada, pero no están supervisando las alertas adecuadas o no pueden correlacionar los eventos para tomar las medidas apropiadas.
En esencia, por tanto, la ciberseguridad no es un problema técnico: es un problema empresarial y de comportamiento. Las organizaciones deben adoptar un enfoque distinto de la seguridad, que reconozca que los objetivos de los equipos de TI y los directivos de la empresa están interconectados. La alta dirección debe fijar los objetivos de seguridad y las estrategias para alcanzarlos, y también deben incorporarse objetivos de seguridad específicos a las metas de desempeño del personal y a las mediciones del desempeño de los proveedores para impulsar cambios de comportamiento. Implementar programas de seguridad eficaces y mejorar la concienciación sobre seguridad tanto de los empleados como de los socios puede ayudar a las empresas a proteger mejor sus activos e información y evitar las consecuencias de las brechas de seguridad, contribuyendo así a alcanzar sus objetivos empresariales.
Cerrar la brecha de comunicación
Entonces, ¿cómo se puede lograr? Para superar la brecha de comunicación entre los equipos de TI y los directivos, debe haber un diálogo activo y una interacción continua entre ambas partes. Más concretamente, los equipos de TI deben informar a los miembros del consejo sobre el posible impacto de las brechas de seguridad en el negocio y ayudarles a entender que los objetivos de seguridad y los objetivos empresariales pueden alinearse estratégicamente.
Sin embargo, antes de lograrlo, el personal de ciberseguridad debe tomarse el tiempo para comprender la estrategia y los objetivos empresariales y desarrollar una estrategia de seguridad que los respalde. Demostrar un vínculo claro entre la seguridad y los objetivos empresariales contribuirá en gran medida a que tanto el consejo como los altos directivos comprendan las iniciativas para reforzar la seguridad corporativa y estén dispuestos a aprobarlas.
¿Qué está haciendo el Foro Económico Mundial en materia de ciberseguridad?
El Centro de Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en fomentar la comprensión y la confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a reforzar la ciberresiliencia y abordar desafíos que requieren respuestas colectivas.
Al mismo tiempo, los miembros del consejo y los altos directivos también deben comunicar sus inquietudes y prioridades en materia de seguridad a los equipos de ciberseguridad. Es importante que comprendan que los profesionales de TI tienen una perspectiva técnica y que deben ofrecerles orientación y apoyo estratégicos, comunicando con claridad los objetivos empresariales de la compañía. Y, quizá lo más importante, deben aceptar que una seguridad deficiente es, de hecho, un problema empresarial y establecer sus prioridades en consecuencia.
Un último consejo: los equipos de ciberseguridad deben presentar a los directivos de la empresa informes semestrales y anuales sobre seguridad de la información que muestren cómo se han cumplido los objetivos de seguridad acordados y cómo han respaldado la estrategia empresarial. Esto ayudará tanto al consejo como a los directivos a ver en qué se gasta el presupuesto de seguridad y cuál es el rendimiento de la inversión que obtiene la empresa como resultado.
Dañada, pero no rota
En muchas empresas, los equipos de ciberseguridad y los directivos suelen estar enfrentados en cuanto a prioridades y objetivos, lo que provoca una enorme desconexión y divide a las empresas. Pero, aunque la relación pueda estar dañada, no está rota y se puede reparar.
Como ocurre en cualquier relación, antes de intentar arreglar el proceso de comunicación, es importante que ambas partes coincidan en que el método actual no es sostenible. Cada una debe esforzarse activamente por cambiar su enfoque y comprender la perspectiva de la otra.
Una cultura de ciberseguridad
En su libro Las reglas de la cultura!, John Childress afirma: «Se obtiene la cultura que se ignora».
Para que la ciberseguridad sea realmente eficaz, debe integrarse en el tejido de la cultura de la organización. La comunicación es el primer paso para cerrar la brecha. Esto incluye la transparencia y normalizar las conversaciones sobre desafíos, errores o ideas equivocadas.
Con un poco de flexibilidad y disposición a ceder por ambas partes, pronto estos antiguos adversarios se convertirán en los mejores compañeros de equipo, trabajando para alcanzar objetivos empresariales y de seguridad alineados.
