La ciberseguridad es una responsabilidad clave de los miembros de los consejos de administración en esta era digital.
Pero existen múltiples formas de abordar el riesgo de ciberseguridad, desde nombrar a un directivo responsable hasta compartir con los socios las mejores prácticas de gobernanza.
En un entorno empresarial en el que la reputación de una compañía depende cada vez más de lo bien que actúe como depositaria de la información de clientes, clientes y socios, los consejos de administración deben estar en condiciones de tomar decisiones informadas sobre ciberseguridad.
Los consejos de administración existen, entre otras muchas tareas importantes, para fijar el apetito de riesgo, exigir cuentas a los directivos y crear las condiciones de contorno adecuadas para que los empleados cumplan con las expectativas que se les imponen. En un mundo cada vez más digital, la ciberseguridad debe ser un componente clave de estas responsabilidades, y los líderes empresariales deben dar ejemplo de que la ciberseguridad es importante para la resiliencia a largo plazo.
Estas son cinco medidas que los miembros de los consejos podrían adoptar para mejorar la ciberseguridad de su empresa.
1. Conozca los riesgos cibernéticos
Los miembros de los consejos no necesitan ser expertos en ciberseguridad, pero sí deben familiarizarse más con el riesgo cibernético. Hoy en día, cuando solo un tercio de las reuniones de los consejos abordan periódicamente cuestiones cibernéticas, este conocimiento puede incorporarse al consejo de diversas maneras. Los ejercicios de mesa, los “wargaming” de crisis cibernéticas y otra formación continua deben formar parte de la práctica común de todos los consejos. Algunas empresas, incluidas algunas tan diversas como Hewlett Packard Enterprise, Goldman Sachs y Spirit Airlines, están incorporando a un miembro del consejo con experiencia y responsable del riesgo cibernético.
Los consejos también necesitan escuchar a expertos cibernéticos internos y externos. Sería prudente que todas las grandes empresas contaran con un directivo responsable de evaluar y gestionar su riesgo cibernético. Este debería informar al consejo periódicamente, con una frecuencia definida, y ser capaz de hacerlo con franqueza e integridad.
2. No dé por sentado que su sector está a salvo
Las empresas de servicios financieros saben desde hace tiempo que garantizar la máxima ciberseguridad es un objetivo corporativo vital, y las empresas de infraestructuras críticas, como las compañías eléctricas, se han adaptado rápidamente. Sectores como el automotriz, aeronáutico y sanitario también reconocen que su dependencia de dispositivos y del internet de las cosas ha aumentado enormemente su probabilidad de ser objetivo de ciberataques y, por ello, han cambiado su perfil de riesgo.
Pero incluso en sectores conscientes de la importancia de la ciberseguridad, la capacidad y la madurez en ciberresiliencia varían considerablemente. Y los sectores que hasta ahora han sido menos blanco de ciberataques, como las industrias extractivas, deberán mejorar su postura de ciberseguridad para proteger la propiedad intelectual y otra información privada o confidencial.
3. Incluya la ciberseguridad desde el principio
Ya no es posible que las empresas innoven primero y prevean la seguridad y la privacidad en segundo lugar. Cuando una empresa considera adaptar o, aún más importante, crear nuevas tecnologías, los consejos deben exigir que estas tecnologías se ajusten a sus determinaciones de riesgo cibernético y que la ciberseguridad se incluya desde el diseño, desde el primer momento.
La inteligencia artificial (IA), que puede cambiar y actuar de formas que ni siquiera su creador puede anticipar, pondrá a prueba especialmente las evaluaciones de riesgo incluso del consejo más experto en ciberseguridad. Por ejemplo, mientras que muchos directivos ven la IA como una herramienta para reforzar la ciberdefensa, lo que sin duda puede ser, a menudo no se dan cuenta de que los actores malintencionados ya utilizan la IA como herramienta de ataque y, peor aún, que la propia IA puede convertirse en objetivo de ataques. Los miembros del consejo deben comprender el grado de riesgo al que pueden enfrentarse sus empresas en relación con la IA.
Del mismo modo, la computación cuántica está pasando de la ciencia ficción a la realidad más rápido de lo que lo hizo la telefonía móvil. La computación cuántica no solo tiene el potencial de generar un enorme valor en determinados casos de uso, sino que también puede acabar con muchas de las formas establecidas de criptografía práctica que se utilizan actualmente en entornos empresariales para proteger datos y transacciones. Las empresas preocupadas por la seguridad de los datos deben empezar a prepararse para lo que se denomina “criptografía poscuántica” o métodos de cifrado que no dependen de los algoritmos de clave pública populares y comunes que pueden ser descifrados de forma eficiente por los ordenadores cuánticos. Los consejos deben garantizar que sus directivos cuenten con su respaldo para experimentar con estos nuevos métodos y asegurar la seguridad futura.
4. Familiarícese con las calificaciones y evaluaciones cibernéticas
Durante años, muchos líderes empresariales creyeron que, al añadir una herramienta o servicio de ciberseguridad más, su empresa se volvería automáticamente más segura. Hoy, con mayor experiencia y sofisticación, los analistas pueden pasar de los insumos (“qué herramientas utilizan”) a los resultados (“qué logran las herramientas”) para evaluar de forma eficaz y precisa el grado en que una empresa garantiza su ciberresiliencia.
Los consejos deberán familiarizarse rápidamente con las calificaciones de ciberseguridad y ciberresiliencia. En un contexto en el que las personas quieren transparencia sobre el grado en que una empresa protege sus datos, la reputación cibernética es la reputación de la empresa. Igual de importante es que las aseguradoras, los departamentos de compras y las agencias de calificación crediticia están comprendiendo la relevancia de estas calificaciones, las utilizan y las hacen suyas. En un futuro muy próximo, garantizar una ciberseguridad eficaz se convertirá en requisito previo para obtener una tarifa de seguro razonable, un contrato o una buena calificación crediticia.
5. Apueste por la cooperación
Antes, los ciberataques eran en gran medida obra de individuos aislados, como delincuentes o activistas informáticos, pero hoy en día son cada vez más obra de adversarios en red, como grupos de delincuencia organizada y actores respaldados por Estados, lo que hace que la defensa individual sea cada vez más difícil. Como ha afirmado Stanley McChrystal, exgeneral del Ejército de los Estados Unidos y miembro sénior del Instituto Jackson de Asuntos Globales de Yale, en referencia a la guerra moderna, “para derrotar a un enemigo en red, tenemos que convertirnos nosotros mismos en una red”.
Para tener éxito en la gestión del cambio cultural que los consejos y sus empresas deben realizar si quieren prosperar en el mundo hiperconectado de la Cuarta Revolución Industrial, no pueden actuar solos. Los consejos de administración establecen la cultura empresarial y deben demostrar desde la cúpula cómo asociarse. Esto implica desempeñar un papel activo trabajando con sus homólogos de otras empresas y en todo su ecosistema para desarrollar y compartir las mejores prácticas de gobernanza.
También implica trabajar con los líderes gubernamentales y asegurarse de que la dirección de la empresa también lo haga. En algunas empresas, puede incluso significar formar parte de la nueva arquitectura global de cooperación en materia de ciberseguridad, como demuestran las nuevas alianzas, como la Carta de Confianza o el Acuerdo Técnico de Ciberseguridad, que están atrayendo a cientos de empresas de todo el mundo. De cara al futuro, la cooperación será la clave del éxito en una época de mayor riesgo cibernético.
Este artículo está relacionado con la Reunión Anual del Foro Económico Mundial en Davos-Klosters, Suiza, del 21 al 24 de enero de 2020.
