Este titular apareció en las noticias hace unas semanas: “Los piratas informáticos se pasan una megafiltración de 2.200 millones de registros".
Titulares como este son habituales en el ámbito de la ciberseguridad. Lo que no es tan habitual es pensar en cómo influyen estos mensajes en la percepción que tienen las posibles víctimas sobre la ciberseguridad y en cómo los profesionales de la seguridad abordan su propia cadena de valor.
Los usuarios de tecnología ven las ciberamenazas como factores que frenan la economía y la ciberseguridad como una carga económica. Cifras como las anteriores son tan enormes que hacen que los lectores se sientan impotentes desde el principio, como si no pudieran hacer nada. Este tipo de titulares y cifras restan capacidad de acción.
Los profesionales de la ciberseguridad, por su parte, sienten la obligación de enmarcar su trabajo y sus servicios en función del valor económico que ayudan a proteger, sin darse cuenta de que el valor económico que también generan, tanto directa como indirectamente, pasa así desapercibido.
Como consecuencia de estas dinámicas, la estrategia fácil que siguen muchos en el sector de la ciberseguridad consiste en amplificar la percepción de amenaza, lo que se conoce como recurrir a tácticas de miedo.
Sí, es cierto que existen ataques graves que provocan enormes pérdidas de valor. Algunas operaciones en redes informáticas han perturbado procesos democráticos, paralizado infraestructuras críticas y dado lugar a robos gigantescos. Esto es, sin duda, preocupante según cualquier criterio. Y, efectivamente, las noticias deben informar sobre estos casos.
Últimamente, sin embargo, cada vez es más habitual exagerar un poco los hechos, magnificar cifras y amenazas y sacar conclusiones algo precipitadas, por intereses personales, empresariales, políticos e incluso militares.
¿Qué ocurre entonces? Se genera un círculo vicioso: con cada nueva noticia alarmista sobre seguridad, las posibles víctimas se sienten aún más inseguras, impotentes y desinteresadas, lo que allana el camino para más ataques exitosos y más noticias alarmistas...
¿Es sostenible este modelo de crecimiento exógeno? Evidentemente, no.
La ciberseguridad es una responsabilidad compartida, y el eslabón más débil es, con demasiada frecuencia, el factor humano.
Necesitamos que todos se preocupen. Estas son cinco formas de cambiar el relato:
La ciberseguridad como factor diferenciador competitivo
La ciberseguridad puede ser una ventaja competitiva. Y no solo para las empresas de la industria aeroespacial o de la ingeniería nuclear. Es una prioridad máxima para los minoristas, por ejemplo, como destaca este reciente estudio. Los clientes, socios e incluso empleados elegirán cada vez más una empresa con un historial de seguridad mejor.
¿Cómo pueden los profesionales de la ciberseguridad transmitir mejor este relato?
Un poco de teoría ayuda. Convencer a las empresas de invertir en ciberseguridad equivale, en términos económicos, a aumentar su disposición a pagar (WTP, por sus siglas en inglés) por encima del precio de la inversión.
Por ejemplo, cuando una empresa se muestra reticente a someterse a una certificación de seguridad como ISO 27001, los profesionales de la ciberseguridad podrían exagerar fácilmente la percepción de amenaza con estadísticas preocupantes y anuncios para estimular la disposición a pagar de la empresa por esa certificación. O podrían reducir el precio. La primera opción no es muy ética; la segunda, no tan rentable.
¿Por qué no considerar que una disposición a pagar baja puede deberse a la falta de tiempo, de personal, a la cultura empresarial o a las prioridades? Determinar cuáles son estas consideraciones puede ayudar a lograr una situación en la que todos ganen, por ejemplo, proponiendo una certificación de vía rápida o reduciendo el número de equivalentes a tiempo completo que la empresa debe aportar para respaldar el proceso de certificación.
¿Y cómo pueden los proveedores de seguridad determinar qué factores influyen en la disposición a pagar de sus clientes? Es sencillo: preguntando qué le importa al público objetivo; mediante una conversación sobre los factores impulsores y los obstáculos, los profesionales de la ciberseguridad pueden diseñar estrategias empresariales mejor orientadas que ayuden a obtener valor directo de las inversiones en seguridad.
Las encuestas, o formular algunas preguntas cuantitativas a muchos clientes, son medios sencillos para comprender mejor las tendencias generales en términos cuantitativos. Los grupos de discusión son una excelente forma de obtener retroalimentación cualitativa, y los hackatones son un buen ejemplo, cada vez más utilizado en el sector de la ciberseguridad.
Y existen otras soluciones, como analizar el comportamiento de los clientes o inferir sus prioridades mediante análisis conjuntos. El hilo conductor de todas estas técnicas es que sitúan al cliente en el centro del debate y en el centro de la solución. Esto es lo que queremos en ciberseguridad.
Usted forma parte de la solución
Al poner a los clientes en el centro del proceso, los profesionales de la ciberseguridad contribuyen a empoderar a las empresas a las que apoyan. La seguridad es una cultura que las organizaciones modernas necesitan adoptar de forma ascendente y descendente.
Una corporación sin un director de seguridad de la información en el comité ejecutivo es una corporación en riesgo. La seguridad es una mentalidad que debería exigirse a cada empleado de la empresa. Con demasiada frecuencia existe reticencia a crear una cultura de seguridad porque se asocia con la aversión al riesgo. No tiene por qué ser así. La seguridad nunca consiste en no avanzar ni en no asumir riesgos. Al contrario: se trata de avanzar y asumir riesgos siendo conscientes de lo que está en juego. Una mentalidad de seguridad inherente ayuda a empleados y directivos a tomar mejores decisiones.
Con demasiada frecuencia, los profesionales de la ciberseguridad vemos decisiones tomadas sobre la base de un juicio de seguridad deficiente, ya sea una fusión sin la debida diligencia y cuidado, o la renuncia a una adquisición por una percepción errónea de la amenaza, posiblemente exagerada por la prensa.
Con la explosión de las noticias falsas, una comprensión precisa del propio perfil de riesgo y la realización de una evaluación detallada de riesgos antes de tomar decisiones importantes son algunos de los caminos por los que los profesionales de la seguridad deben guiar a sus clientes.
La ciberseguridad es un proceso
Otra razón por la que muchas empresas invierten de menos o de más en ciberseguridad es que todavía se les hace creer que existen soluciones llave en mano. No existen.
Sea lo que sea lo que puedan argumentar los proveedores de ciberseguridad, ningún dispositivo de protección puede asegurar una organización por completo. Tampoco la seguridad es un servicio que pueda externalizarse totalmente. Incluso las pymes que no tienen recursos para internalizar un centro de operaciones de seguridad y recurren a un proveedor de servicios deben tener una mentalidad de seguridad al hacerlo.
La seguridad es un viaje, no un destino. Es un juego del gato y el ratón: los atacantes mejoran constantemente sus técnicas para encontrar formas innovadoras de entrar en los sistemas. Lógicamente, los defensores deben mejorar constantemente sus técnicas para mantenerlos fuera.
Este paradigma a menudo da la impresión de que la seguridad es un agujero negro: haga lo que haga una organización, siempre puede invertir más.
Esto no tiene por qué ser así: los profesionales de la ciberseguridad pueden empoderar gradualmente a sus clientes para que evalúen de forma independiente sus riesgos y determinen qué inversiones son necesarias, en función de los recursos disponibles. Algunos riesgos deberán mitigarse, mientras que otros pueden simplemente reducirse o transferirse, y algunos aceptarse.
Además, si la ciberseguridad va a tener un coste, ¿por qué no buscar formas de aprovechar estas inversiones para crear valor directo? Las empresas con programas de ciberseguridad sólidos pueden prestar servicios de seguridad a otras empresas de su cadena de suministro o ecosistema, negociar mejores primas con las compañías de seguros o aprovechar la confianza generada con el tiempo con socios y clientes para desarrollar nuevos modelos de negocio, como las plataformas.
La ciberseguridad es posible
La gran mayoría de las víctimas caen por falta de diligencia y cuidado debidos, y no porque una superpotencia extranjera haya aprovechado media docena de vulnerabilidades críticas para eludir sus defensas…
El hecho de que la ciberseguridad tenga su origen en la seguridad informática y de redes implica que, para los no expertos, tenga una connotación técnica muy fuerte. De hecho, existen múltiples elementos del ecosistema de la ciberseguridad que son bastante técnicos. No obstante, no son necesariamente complejos: es cierto que hay escasez de competencias en ciberseguridad, pero la complejidad tecnológica probablemente no sea la razón principal. El discurso del miedo podría ser, en realidad, una causa más plausible.
El principal problema es la falta de procesos que integren la ciberseguridad en las distintas capas de las organizaciones. El departamento jurídico, el de comunicación y el financiero: cada parte de la organización desempeña un papel en la postura de seguridad.
Desarrollar un programa de gobernanza cibernética no es nada del otro mundo. Contar con un plan de gestión de crisis cibernéticas no requiere años de investigación y desarrollo. Puede hacerse en unos pocos días o semanas.
Los altos directivos que no saben lo suficiente sobre ciberseguridad ya no pueden tomarse como prueba de que lo cibernético es una disciplina oscura. Son prueba de falta de responsabilidad. Hay cientos de oportunidades para que todos, en todos los niveles, aprendan sobre lo cibernético: desde niños hasta ciudadanos y políticos.
El Foro Económico Mundial creó el Centro para la Ciberseguridad para potenciar las iniciativas y ofrecer una plataforma global, neutral y pública de oportunidades. Nuestro papel consiste realmente en ayudar a las organizaciones a ayudarse a sí mismas, porque creemos firmemente que pueden hacerlo.
La ciberseguridad es una palabra positiva
Por último, la razón clave por la que las organizaciones todavía se muestran reacias a ser abiertas sobre su postura de seguridad es el temor a que las convierta en objetivos prioritarios de hackers vengativos. Se trata de una fantasía desfasada: los hackers ya no viven en un garaje ni hackean empresas para aumentar su reputación.
Hoy en día, los atacantes van tras el dinero y los datos, no tras la prensa y los elogios. ¿Por qué iban a atacar a una empresa si se reconoce que su postura de seguridad es alta mientras que la de sus competidores es baja?
La seguridad por oscuridad, como se la denomina, es una práctica notoriamente mala. Hablar abiertamente de las inversiones en seguridad puede ser un poderoso elemento disuasorio.
Esto implica confianza: confianza por parte del CEO y, posiblemente, del consejo de administración, de que las inversiones en seguridad se han pensado bien y de que la empresa no va a caer en un ataque sencillo. Esa confianza se gana mediante las interacciones entre los equipos de seguridad y el resto de la organización, materializándose poco a poco en procesos. Desde esta perspectiva, impulsar que la ciberseguridad forme parte del relato de comunicación de una organización ayuda a crear la cultura interna.
La ciberseguridad es una disciplina fascinante en la intersección de la tecnología, la política y los negocios, una disciplina vital para la Cuarta Revolución Industrial.
No debe ser una fuente de miedo. Debe ser una fuente de esperanza.
La ciberseguridad es una palabra positiva. Úsela así.
